Élévation de privilèges affectant le serveur SMB de Windows
Une vulnérabilité affectant le composant SMB de Windows permettrait à un acteur malveillant disposant d'un accès local à faibles privilèges d'élever ses privilèges sur le système affecté.
Description
Contexte technique et détails de la vulnérabilité
Le serveur SMB de Windows (pilotes srv.sys, srv2.sys et srvnet.sys) est un composant central des systèmes Windows, utilisé pour le partage de fichiers et d'imprimantes ainsi que pour l'authentification réseau via Kerberos. Ce composant est affecté par une vulnérabilité libellée CVE-2026-26128, résultant d'une authentification incorrecte. Son exploitation permettrait à un acteur malveillant disposant d'un accès local à faibles privilèges de manipuler les requêtes d'authentification adressées au composant serveur SMB afin de contourner les contrôles de privilèges et d'obtenir un accès élevé au système. La complexité de l'attaque est jugée faible et aucune interaction de l'utilisateur n'est requise, ce qui rend la vulnérabilité facilement exploitable une fois l'accès local obtenu (par hameçonnage ou toute autre technique d'accès initial). Elle est classée haute avec un score de sévérité de 7.8 selon le CVSS v3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Élévation locale de privilèges ;
- Contournement des contrôles de privilèges depuis un compte local à faibles privilèges ;
- Rebond possible vers des mouvements latéraux ou une compromission plus large du système une fois les privilèges élevés obtenus.
Systèmes affectés
Produits, composants et versions concernés
- Toutes les éditions prises en charge intégrant le composant serveur SMB (srv.sys, srv2.sys, srvnet.sys), à savoir Windows 10 (1607 à 22H2), Windows 11 (23H2 à 26H1), Windows Server 2012, 2012 R2, 2016, 2019, 2022 et 2025.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Appliquer immédiatement la mise à jour de sécurité Microsoft de mars 2026 corrigeant la vulnérabilité sur tous les systèmes affectés ;
- Appliquer le principe du moindre privilège aux comptes locaux et restreindre l'accès local aux systèmes critiques hébergeant le service SMB ;
- En attendant le déploiement du correctif, surveiller les journaux d'événements Windows (ID 4672, 4673, 4674) afin de détecter toute anomalie d'authentification ou d'élévation de privilèges liée au serveur SMB.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.