top of page
Rechercher

Votre DNS n'est pas exposé sur internet, il est quand même attaquable (CVE-2026-69730)

Photo du rédacteur: Loïc Castel
Loïc Castel
il y a 14 heures
4 min de lecture

CVSS 9.8 · Pré-authentification · Wormable · Patché au Patch Tuesday de septembre 2026


Résumé

Le 8 septembre 2026, Microsoft a publié un Patch Tuesday corrigeant 973 vulnérabilités. C'est le plus important de son histoire, devant le précédent record établi en juillet.


Parmi les plus graves, CVE-2026-69730, un use-after-free dans le rôle DNS Server de Windows. Un attaquant non authentifié peut exécuter du code à distance, sans interaction d'un utilisateur. Score CVSS 9.8.


Un serveur DNS interne, non exposé sur Internet, reste concerné. La résolution récursive suffit à lui faire traiter des données choisies par l'attaquant.


La Zero Day Initiative compte cette faille parmi les vingt vulnérabilités wormables de ce Patch Tuesday, et la rapproche de SigRed, la faille DNS de 2020 qui ouvrait la voie au compte Domain Admin. Le rôle DNS est installé sur la plupart des contrôleurs de domaine.


Une vulnérabilité est dite wormable quand elle réunit trois conditions : exploitable à distance, sans authentification préalable, sans aucune interaction utilisateur.


Aucun code d'exploitation public n'est connu à ce jour.


Ce que l'on sait de la vulnérabilité

Microsoft la classe en CWE-416, use-after-free. Le service DNS accède à une zone de mémoire qu'il a déjà libérée pendant le traitement d'enregistrements, Un attaquant capable de contrôler ce qui occupe cette mémoire entre la libération et l'accès peut détourner l'exécution du programme


Schéma simplifié du fonctionnement


Vecteur CVSS 3.1 : AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H


Métrique

Valeur

Ce que ça signifie

Attack Vector

Network

Exploitable par le réseau

Attack Complexity

Low

Aucune condition particulière à réunir

Privileges Required

None

Aucun compte nécessaire

User Interaction

None

Aucun clic, aucune ouverture de fichier

C / I / A

High

Compromission totale du système


Le service DNS de Windows s'exécute en tant que SYSTEM. Une exécution de code dans ce processus donne les droits les plus élevés de la machine.


Seul le rôle DNS Server est concerné. Aucune version cliente de Windows 10 ou 11 ne figure dans l'enregistrement CVE publié par Microsoft. Les postes de travail ne sont pas exposés par cette faille.


Microsoft indique un niveau de maturité d'exploitation Unproven (E:U dans le vecteur temporel). Aucun code d'exploitation n'est connu publiquement.


Un successeur de SigRed ?


En juillet 2020, Microsoft corrigeait SigRed (CVE-2020-1350), une faille du même service DNS notée 10.0. Elle était présente depuis dix-sept ans et affectait toutes les versions de Windows Server depuis 2008. Check Point, qui l'a découverte, montrait qu'elle menait au compte Domain Admin.

Le point important est le chemin d'attaque, un simple serveur DNS.


L'attaquant enregistre un domaine, en confie les enregistrements NS à son propre serveur, puis fait résoudre un nom de ce domaine par la cible. Toutes les réponses suivantes viennent de lui. Le serveur Windows les traite sans avoir jamais été joignable depuis Internet.


La Zero Day Initiative rapproche CVE-2026-69730 de SigRed. Ce rapprochement reste une lecture d'analyste. Microsoft n'a publié ni la fonction vulnérable, ni le type d'enregistrement en cause.


Chronologie

Date

Évènement

3 août 2026

Identifiant CVE réservé par Microsoft

8 septembre 2026

Publication au Patch Tuesday, correctifs disponibles

10 septembre 2026

Dernière mise à jour de l'enregistrement CVE

11 septembre 2026

Aucun code d'exploitation public, aucune analyse technique publiée

Versions affectées

Le rôle DNS Server de Windows Server est concerné depuis la version 2012. Les postes clients ne figurent pas dans l'enregistrement CVE.


Système

Build vulnérable

Correctif

Windows Server 2012

< 6.2.9200.26349

KB5123065

Windows Server 2012 R2

< 6.3.9600.23397

KB5123066

Windows Server 2016

< 10.0.14393.9512

KB5123099

Windows Server 2019

< 10.0.17763.9245

KB5122876

Windows Server 2022

< 10.0.20348.5622

KB5122882

Windows Server 2025

< 10.0.26100.33438

KB5122871


Les installations Server Core sont concernées au même titre que les installations complètes.


Pour vérifier le niveau de correctif d'un contrôleur de domaine :

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5
(Get-Item C:\Windows\System32\dns.exe).VersionInfo.FileVersion

Recommandations

Appliquer le correctif sur les contrôleurs de domaine en priorité. Le rôle DNS y est installé par défaut. Vérifier la version de dns.exe plutôt que la liste des KB, un cumulatif pouvant avoir été remplacé par un plus récent.

(Get-Item C:\Windows\System32\dns.exe).VersionInfo.FileVersion

Si la version retournée est inférieure aux builds listés ci-dessous, le serveur nécessite impérativement un patch.


Restreindre la résolution récursive là où elle n'est pas nécessaire : un serveur qui n'a pas à résoudre de noms externes n'a pas besoin de la récursion.

Attention : désactiver la récursion peut briser la résolution de noms pour les serveurs qui 

n'utilisent pas de forwarders configurés. Assurez-vous de valider votre configuration avant application. À vérifier avec Get-DnsServerRecursion et Get-DnsServerForwarder.


Activer les journaux analytiques DNS et surveiller les arrêts du service. Le canal Microsoft-Windows-DNSServer/Analytical n'est pas actif par défaut. Une tentative d'exploitation qui échoue fait généralement planter le processus, un redémarrage inexpliqué de dns.exe sur un contrôleur de domaine mérite donc une investigation.


Traiter les autres correctifs du même cycle. Ce Patch Tuesday corrige également des exécutions de code à distance dans Netlogon, le centre de distribution de clés Kerberos et les services de domaine Active Directory.


Conclusion

Un serveur DNS interne est tout autant vulnérable qu'un serveur public. Sa surface d'attaque ne se lit pas dans ses ports ouverts mais dans les données qu'il accepte de traiter, et la résolution récursive lui en fait traiter en permanence.


Ce raisonnement vaut au-delà du DNS. Un client de messagerie, un lecteur PDF, un agent de supervision qui interroge une API : tout service qui consomme des données externes hérite de la confiance qu'il accorde à leur source.


Chez Safercy, nos tests d'intrusion internes s'attachent à identifier ces chemins que la cartographie des flux ne fait pas apparaître.


Sources


 
 
bottom of page