Patch Tuesday de Microsoft : le commentaire de Tenable

« Si le mois de février a été relativement limité en volume avec 54 vulnérabilités corrigées, il s’est en revanche révélé particulièrement dense, Microsoft ayant publié des correctifs pour six vulnérabilités de type zero day. Parmi ces six failles divulguées ce mois-ci, cinq faisaient déjà l’objet d’une exploitation active et trois avaient été rendues publiques avant même la mise à disposition d’un correctif.

CVE-2026-21510 correspond à un contournement de mécanisme de sécurité affectant Windows Shell, c’est-à-dire l’interface graphique (GUI) du système d’exploitation Windows, qui couvre le bureau, le menu Démarrer et l’ensemble des composants graphiques. Cette vulnérabilité permet à un attaquant de neutraliser certains avertissements de sécurité susceptibles d’alerter l’utilisateur avant l’ouverture d’un fichier. Son exploitation repose sur une technique d’ingénierie sociale incitant la victime à ouvrir un fichier raccourci (.lnk). Cette faille a non seulement été exploitée dans la nature, mais également divulguée publiquement selon Microsoft, potentiellement via un blog ou un réseau social, même si aucune publication précise n’a pu être identifiée au moment de la rédaction. Cette divulgation est significative dans la mesure où les détails techniques sont susceptibles d’être accessibles à d’autres acteurs malveillants.

CVE-2026-21513 et CVE-2026-21514 sont deux autres vulnérabilités de contournement de mécanismes de sécurité affectant respectivement MSHTML, le moteur de rendu historique de Microsoft également connu sous le nom de Trident, et Microsoft Word. Elles présentent de fortes similarités avec CVE-2026-21510. La différence tient au vecteur d’attaque : CVE-2026-21513 peut être exploitée via un fichier HTML, tandis que CVE-2026-21514 nécessite l’ouverture d’un fichier Microsoft Office.

Les mécanismes de sécurité jouent un rôle de garde-fou en empêchant l’ouverture de fichiers malveillants et en alertant l’utilisateur en cas de risque potentiel. Les utilisateurs étant habitués à ces notifications, toute vulnérabilité permettant de contourner ces dispositifs accroît significativement le risque de compromission des postes de travail.

Deux vulnérabilités zero day d’élévation de privilèges, activement exploitées, ont également été corrigées : l’une affecte Windows Remote Desktop Services (CVE-2026-21533), l’autre le Desktop Window Manager (DWM) (CVE-2026-21519). Il s’agit de vulnérabilités post-compromission, fréquemment observées lors des cycles Patch Tuesday.

Pour les attaquants, cela s’apparente à une chasse au trésor. Ils doivent d’abord trouver un point d’entrée sur la "carte", par exemple via une attaque d’ingénierie sociale ou l’exploitation d’une autre vulnérabilité. Une fois l’accès initial obtenu, il leur suffit ensuite de "creuser", c’est-à-dire d’élever leurs privilèges, jusqu’à atteindre leur objectif final : un contrôle étendu du système ou de l’environnement compromis. »