Ce que ça change pour une PME
- Une faille du pilote réseau afd.sys, présente sur toutes les versions de Windows encore maintenues, est activement exploitée : elle sert à prendre les pleins droits sur une machine déjà compromise.
- Elle ne s'attrape pas de l'extérieur : il faut d'abord qu'un attaquant ait mis un pied dans la machine, typiquement par un e-mail piégé.
- Windows Update installe le correctif automatiquement sur un poste ou un serveur configuré par défaut — vérifiez simplement qu'aucun serveur ne traîne avec les mises à jour en pause depuis des semaines.
- Deux autres failles rendues publiques ce mois-ci ne sont pas encore exploitées, mais le seront probablement : pas de raison d'attendre pour les corriger.
Microsoft a publié le 11 août son lot mensuel de correctifs : 398 failles selon le décompte de Krebs on Security et de Tenable, que BleepingComputer arrondit à 400. Parmi elles, une seule est signalée par Microsoft comme activement exploitée avant même la sortie du correctif — c'est celle qui doit retenir l'attention d'une PME qui n'a pas d'équipe pour trier les 397 autres.
La faille exploitée : afd.sys, un pilote présent sur toutes les machines
La vulnérabilité, cataloguée CVE-2026-68820, touche l'Ancillary Function Driver for WinSock (afd.sys), le composant du noyau Windows qui gère les connexions réseau — un pilote présent par défaut sur tous les postes et serveurs Windows encore sous maintenance, du poste de bureau au serveur de fichiers. Il s'agit d'un défaut de type use-after-free, une catégorie de bug où le programme continue d'utiliser une zone de mémoire déjà libérée ; en la manipulant au bon moment, un attaquant peut faire exécuter son propre code avec les droits du système.
Le score CVSS retenu est de 7,0 sur 10, ce qui n'en fait pas la faille la plus grave du lot. Quatre autres atteignent 9,8, le maximum pratique pour une exécution de code à distance sans authentification. Elles touchent le serveur DNS Windows (CVE-2026-62878), les services de déploiement (CVE-2026-62893), l'implémentation Microsoft du protocole QUIC (CVE-2026-62815) et le HPC Pack. Aucune des quatre n'est, à la connaissance de Microsoft, exploitée à ce jour. La CVE-2026-68820, elle, l'est déjà — ce qui la rend prioritaire malgré son score plus bas.
L'exploitation demande un accès préalable : ce n'est pas une faille qu'on déclenche depuis Internet sur une machine saine. L'attaquant doit d'abord avoir obtenu une exécution de code sur le poste, par exemple via un document piégé ouvert par un salarié. La faille sert ensuite de deuxième étape, pour passer d'un compte utilisateur standard aux pleins droits système. C'est le schéma classique d'une intrusion en plusieurs temps : le phishing ouvre la porte, la faille du noyau permet de s'y installer durablement.
The Hacker News et BleepingComputer rapportent, en citant les chercheurs de Check Point, que cette faille aurait été exploitée par le groupe nord-coréen Lazarus pour déployer une nouvelle version de FudModule, un rootkit qui s'exécute au niveau du noyau et échappe aux antivirus classiques. Ce pilote a déjà connu plusieurs failles zero-day similaires depuis 2022, dont une exploitée par le même groupe en 2024.
Deux autres failles à surveiller, pas encore exploitées
Le lot d'août contient deux autres vulnérabilités rendues publiques avant leur correctif, sans preuve d'exploitation active pour l'instant : CVE-2026-62832, dans le service de profils utilisateur Windows, et CVE-2026-72971, un défaut de moindre impact. Krebs on Security note que la première pourrait être liée à une technique déjà documentée sous le nom « LegacyHive ». Une fois le détail technique public, elle a de bonnes chances d'être exploitée à son tour : le délai avant les premières tentatives se compte généralement en jours.
Ce qu'il faut vérifier aujourd'hui
Sur un parc Windows 11 et Windows Server administré normalement, Windows Update installe ce correctif sans intervention. Reste l'hygiène de base à vérifier :
| À vérifier | Pourquoi |
|---|---|
| Les mises à jour Windows ne sont pas suspendues sur les serveurs | Une pause décidée pour éviter une régression finit souvent par durer des mois |
| Les postes restés éteints ces derniers jours reçoivent le correctif à leur prochain démarrage | Windows Update n'agit pas sur une machine hors tension |
| Les serveurs qui tournent encore sur une version de Windows Server sortie de support | Ces machines ne recevront jamais ce correctif — c'est un signal pour planifier leur remplacement |
Aucune des sources consultées n'indique de contournement en cas d'impossibilité d'appliquer le correctif dans l'immédiat : Microsoft ne propose pas d'atténuation alternative pour cette faille, seule l'installation de la mise à jour de sécurité la corrige.