Microsoft a confirmé l’exploitation active d’une vulnérabilité touchant Windows Shell, identifiée sous le nom CVE-2026-32202. Cette faille de type spoofing permettrait à des attaquants de récupérer des hashs NTLMv2 à distance via une connexion SMB automatique, sans interaction directe de la victime.
L’éditeur a mis à jour son avis de sécurité pour préciser que la vulnérabilité est désormais exploitée dans la nature, ce qui en fait une menace prioritaire pour les entreprises et administrations utilisant Windows.
Une attaque zero-click particulièrement dangereuse
Selon les chercheurs en sécurité, cette faille peut être déclenchée via un fichier LNK malveillant. Lorsqu’il est traité par Windows, le système tente automatiquement de résoudre un chemin réseau UNC pointant vers un serveur contrôlé par l’attaquant. Cela déclenche une authentification SMB automatique et transmet le hash NTLMv2 de la victime.
En pratique, cela peut permettre :
- vol d’identifiants réseau
- attaques NTLM relay
- cassage hors ligne des hashs
- compromission de comptes internes
- mouvements latéraux en entreprise
Un lien avec une campagne APT28
La faille serait liée à un correctif incomplet d’une précédente vulnérabilité exploitée dans une campagne attribuée au groupe russe APT28, également connu sous les noms Fancy Bear ou Forest Blizzard. Cette opération ciblait notamment l’Ukraine et certains pays européens.
Cela montre que les groupes étatiques continuent d’exploiter les composants Windows les plus répandus pour mener des opérations discrètes.
Pourquoi Windows Shell est une cible sensible
Windows Shell gère de nombreuses interactions du système : raccourcis, explorateur de fichiers, chemins réseau et objets système. Une faille dans ce composant peut être exploitée à grande échelle car il est présent sur la majorité des postes Windows.
Que doivent faire les entreprises
Microsoft a déjà publié un correctif. Les organisations devraient immédiatement :
- appliquer les mises à jour de sécurité d’avril 2026
- désactiver NTLM lorsque possible
- privilégier Kerberos
- filtrer les connexions SMB sortantes
- bloquer les fichiers LNK suspects
- surveiller les authentifications inhabituelles
Un signal fort sur la fin progressive de NTLM
Cet incident rappelle les limites persistantes du protocole NTLM, encore largement utilisé dans certains environnements hérités. De plus en plus d’experts recommandent sa suppression progressive au profit de mécanismes modernes plus robustes.
Source : The Hacker News
