Le cœur numérique de milliers d’entreprises se retrouve sous les projecteurs de Black Hat USA 2026. Deux vulnérabilités touchant Kerberos et Microsoft Active Directory, baptisées KerberLoss et ResetNightmare, montrent qu’un utilisateur disposant de faibles privilèges peut menacer une infrastructure entière. L’une permet de provoquer un déni de service et de pousser l’authentification vers NTLM, un protocole plus ancien. L’autre peut ouvrir une voie vers la compromission de comptes à très hauts privilèges. Pour les groupes internationaux comme pour les PME françaises, le signal est impossible à ignorer.
Présentées ce mercredi 5 août à Las Vegas par le chercheur Shai Laron de Semperis, les deux failles ne relèvent pas d’un scénario théorique lointain. Elles visent Active Directory, l’annuaire qui organise les identités, les droits et l’accès aux ressources dans une immense partie du monde professionnel. Lorsqu’un domaine Active Directory tombe, ce ne sont pas seulement quelques postes qui sont concernés : applications métiers, serveurs, données, sauvegardes et comptes administrateurs peuvent être entraînés dans la crise.
KerberLoss : le mécanisme qui peut affaiblir l’authentification
Kerberos est conçu pour permettre à des utilisateurs et à des machines de prouver leur identité sans transmettre constamment leur mot de passe. Dans un environnement Windows, il constitue une pièce essentielle de la confiance entre les différents composants du réseau. KerberLoss, référencée CVE-2026-25177, contourne selon Semperis un mécanisme de sécurité appliqué à l’échelle de la forêt Active Directory.
Le résultat potentiel est double. Un attaquant peut perturber le fonctionnement du domaine, mais aussi forcer une rétrogradation de Kerberos vers NTLM. Cette bascule compte, car NTLM repose sur une architecture plus ancienne et reste associé à de nombreux scénarios de relais ou de vol d’identifiants. Une défense construite autour de l’idée que Kerberos protège toujours les échanges peut ainsi perdre une partie de sa solidité au moment précis où l’attaquant cherche à avancer.
ResetNightmare : d’un compte ordinaire aux privilèges les plus élevés
ResetNightmare, identifiée sous la référence CVE-2026-27912, porte une menace encore plus spectaculaire. Le bulletin du National Vulnerability Database décrit une autorisation incorrecte dans Windows Kerberos qui permet à un attaquant autorisé d’élever ses privilèges sur un réseau adjacent. L’évaluation signale un impact élevé sur la confidentialité, l’intégrité et la disponibilité.
Semperis explique qu’un utilisateur faiblement privilégié peut exploiter cette logique pour compromettre d’autres comptes, y compris des administrateurs du domaine. Cela ne signifie pas que chaque ordinateur Windows est automatiquement piraté. Il faut un accès préalable au contexte visé et des conditions précises. Mais dans de nombreuses intrusions, obtenir un premier compte standard n’est que le début. La capacité à transformer ce point d’entrée en contrôle du domaine change complètement l’échelle du risque.
Pourquoi la révélation de Black Hat change la perception du danger
Les deux CVE étaient déjà documentées dans les bases de vulnérabilités et ont fait l’objet de correctifs Microsoft. La présentation de Black Hat apporte toutefois un élément décisif : elle relie les failles à une chaîne d’attaque compréhensible et reproductible. Le programme officiel de la conférence place d’ailleurs l’identité, la confiance et le contrôle parmi les grands thèmes de cette édition, aux côtés des risques liés aux GPU, à Unicode et aux chaînes logicielles.
Une vulnérabilité attire souvent peu d’attention tant qu’elle reste décrite dans un bulletin technique. Dès que des chercheurs exposent publiquement sa logique, ses prérequis et son impact, la fenêtre de réaction se resserre. Les défenseurs comprennent mieux le danger, mais les attaquants disposent eux aussi de nouvelles indications. La bonne réponse n’est donc pas la panique : c’est une vérification accélérée et documentée des correctifs.
Windows Server : les versions que les équipes doivent contrôler
Le NVD répertorie pour ResetNightmare plusieurs générations de Windows Server, notamment 2012, 2012 R2, 2016, 2019, 2022, l’édition 23H2 et Windows Server 2025 avant certains niveaux de build corrigés. Les organisations ne doivent cependant pas se fier à une simple liste lue sur Internet. Elles doivent comparer leur inventaire réel avec l’avis Microsoft correspondant à la CVE, vérifier les mises à jour cumulatives installées et confirmer que les contrôleurs de domaine ont effectivement redémarré lorsque cela était requis.
Cette étape est particulièrement importante dans les environnements hybrides. Beaucoup d’entreprises utilisent des services cloud modernes tout en conservant un Active Directory local ancien, relié à de multiples applications. Un serveur oublié, une filiale mal inventoriée ou un contrôleur de domaine maintenu pour une application historique peut suffire à préserver une surface d’attaque critique.
Le plan d’action immédiat pour les entreprises françaises
La priorité consiste à inventorier tous les contrôleurs de domaine et à vérifier les correctifs associés aux CVE-2026-25177 et CVE-2026-27912 dans le guide de sécurité Microsoft. Les responsables doivent ensuite rechercher les authentifications NTLM inhabituelles, surveiller les réinitialisations de comptes sensibles et examiner les événements Kerberos anormaux. Les comptes d’administration doivent être séparés des usages quotidiens, protégés par des postes dédiés et soumis à une surveillance renforcée.
Il faut également tester la restauration d’Active Directory. Une sauvegarde non testée n’est pas une garantie. Les équipes françaises et européennes, déjà soumises à des exigences croissantes avec NIS2 et DORA selon leur secteur, doivent pouvoir démontrer qu’elles savent isoler une compromission, reconstruire un domaine fiable et maintenir leurs fonctions essentielles. L’enjeu dépasse la conformité : une identité compromise peut rendre inutiles de nombreux autres investissements de sécurité.
Le signal que les dirigeants ne peuvent plus déléguer
Active Directory est parfois perçu comme une tuyauterie technique réservée aux administrateurs système. KerberLoss et ResetNightmare rappellent qu’il s’agit en réalité d’un actif stratégique. Une panne ou une prise de contrôle du domaine peut interrompre la production, bloquer les paiements, empêcher les salariés de se connecter et ouvrir l’accès à des informations confidentielles. Le risque devient financier, juridique et réputationnel.
La révélation de Black Hat 2026 ne dit pas que toutes les entreprises seront attaquées demain. Elle affirme quelque chose de plus utile : les organisations qui ont retardé leurs mises à jour, négligé leurs vieux serveurs ou conservé des privilèges excessifs disposent désormais de moins de temps pour corriger leur trajectoire. Le monde regarde les démonstrations de Las Vegas ; les équipes responsables doivent, elles, regarder leurs propres journaux, leurs versions de serveurs et leur capacité de reprise.
