Microsoft a publié un correctif pour une vulnérabilité zero-day Windows déjà exploitée à l'état sauvage pour installer un logiciel malveillant lié à Lazarus, le groupe de pirates informatiques nord-coréen soutenu par un État. La faille, un bug de type use-after-free, permettait aux attaquants d'obtenir un accès plus profond aux systèmes compromis avant d'installer un rootkit conçu pour les y maintenir sans être détecté. Si vous n'avez pas mis à jour Windows récemment, c'est le genre de correctif que vous ne voulez pas reporter.

Ce que fait la vulnérabilité zero-day Windows

Une vulnérabilité de type use-after-free se produit lorsqu'un programme continue d'utiliser une zone de mémoire après qu'elle a déjà été libérée à d'autres fins. Concrètement, cela crée une ouverture permettant aux attaquants de manipuler la manière dont le système gère cette mémoire, leur permettant souvent d'exécuter leur propre code avec des privilèges élevés. Sous Windows, ce type de faille peut faire la différence entre un attaquant disposant d'un accès limité à une machine et un contrôle quasi total de celle-ci.

Comme cette vulnérabilité était une zero-day, c'est-à-dire qu'elle a été activement exploitée avant que Microsoft ne publie un correctif, toute personne utilisant une version non corrigée de Windows pendant la fenêtre d'exploitation était potentiellement exposée. Les zero-days sont particulièrement dangereuses précisément parce qu'il n'y a pas d'avertissement préalable. Les défenseurs ne peuvent pas corriger ce qu'ils ne savent pas être défaillant, ce qui explique pourquoi attaquants et chercheurs en sécurité rivalisent pour découvrir ces failles en premier. Windows et son navigateur compagnon Edge restent des cibles fréquentes dans cette course. Lors de l'édition Pwn2Own Berlin 2026, des chercheurs ont présenté plusieurs exploits fonctionnels contre ces deux produits, rappelant que de nouvelles vulnérabilités dans les logiciels Microsoft de base apparaissent de manière quasi constante.

Comment Lazarus l'utilise pour déployer un rootkit

Une fois que les attaquants ont exploité la faille use-after-free, ils ont utilisé l'accès ainsi obtenu pour déployer un rootkit associé à Lazarus. Un rootkit est une catégorie de logiciels malveillants conçue spécifiquement pour se dissimuler et garder le contrôle d'un système à un niveau profond, souvent au niveau du noyau, ce qui rend sa détection beaucoup plus difficile pour les outils antivirus classiques, voire pour les administrateurs informatiques. Lazarus a une longue expérience des campagnes motivées par l'appât du gain et l'espionnage, et son outillage tend à être sophistiqué, bien doté en ressources et pensé pour un accès à long terme plutôt que pour un vol rapide.

Cette combinaison est importante : une zero-day fournit le premier point d'ancrage, et le rootkit est ce qui transforme cet ancrage en quelque chose de durable. Les attaquants ne veulent pas seulement entrer, ils veulent rester, discrètement, aussi longtemps que possible.

Pourquoi la persistance d'un rootkit est une menace plus grande qu'un logiciel malveillant classique

La plupart des infections par logiciels malveillants finissent par être remarquées, que ce soit par un comportement inhabituel du système, par des logiciels de sécurité signalant des fichiers suspects ou par une hausse du trafic réseau sortant. Les rootkits sont justement conçus pour échapper à ce type de détection. En opérant à un bas niveau du système d'exploitation, parfois même en dessous de l'endroit où regardent les outils de sécurité classiques, un rootkit peut permettre à un attaquant d'observer l'activité, d'exfiltrer des données ou de se déplacer latéralement sur un réseau pendant de longues périodes sans déclencher d'alarme.

Cette persistance est ce qui distingue une intrusion basée sur un rootkit d'une infection par un logiciel malveillant ordinaire. Un logiciel malveillant classique peut souvent être éliminé avec une analyse et un redémarrage. Un rootkit bien dissimulé peut survivre entièrement à ces mesures de remédiation, raison pour laquelle les chercheurs en sécurité considèrent le déploiement d'un rootkit comme une escalade sérieuse, et non comme une simple ligne dans un rapport de menace.

Appliquez le correctif maintenant : les étapes pour sécuriser votre système et réduire l'exposition

Microsoft a déjà publié un correctif pour cette vulnérabilité. L'action la plus importante pour tout utilisateur de Windows est donc simple : mettez à jour immédiatement. Ouvrez Windows Update, recherchez les derniers correctifs de sécurité et installez-les sans attendre. Les mises à jour automatiques doivent être activées à l'avenir afin que les futurs correctifs ne restent pas non appliqués.

Au-delà de ce correctif ponctuel, cet incident est une invitation utile à revoir une hygiène de sécurité plus large. Gardez les outils de protection des terminaux actifs et à jour, car même si un rootkit est difficile à détecter, les logiciels de sécurité modernes sont continuellement mis à jour pour repérer les indicateurs connus. Limiter l'utilisation de comptes de niveau administrateur pour les tâches quotidiennes réduit également les dégâts qu'un exploit réussi peut causer, car de nombreuses attaques par élévation de privilèges dépendent justement de l'obtention d'un accès élevé au départ.

Ce que cela signifie pour vous

Pour la plupart des particuliers et des petites entreprises, il est peu probable que cette campagne spécifique de Lazarus les cible directement, mais la leçon sous-jacente s'applique largement. Les failles zero-day sont découvertes et exploitées en permanence, et l'application rapide des correctifs est l'une des rares défenses qui fonctionne de manière cohérente dans presque tous les scénarios de menace. Les protections en couches, notamment le chiffrement et la surveillance du trafic réseau, l'utilisation d'un VPN réputé sur les réseaux inconnus ou publics et la segmentation des appareils sensibles par rapport à la navigation générale, réduisent toutes les chances qu'une seule vulnérabilité se transforme en compromission totale.

Plus largement, aucun correctif, aussi important soit-il, n'est une solution permanente. De nouvelles vulnérabilités Windows et Edge continuent d'être découvertes lors d'événements comme Pwn2Own Berlin 2026, soulignant que le système d'exploitation sur lequel la plupart des gens s'appuient quotidiennement est sous surveillance constante, tant de la part des défenseurs que des attaquants.

La mesure immédiate est simple : corrigez dès maintenant vos systèmes Windows si ce n'est pas déjà fait. Au-delà, considérez cela comme un rappel de garder les mises à jour automatiques activées, de réduire au minimum les privilèges d'administrateur inutiles et d'associer de bonnes habitudes de mise à jour à des protections réseau en couches afin qu'une seule mise à jour manquée ne devienne pas une porte ouverte.