Windows : CVE-2026-85880 et CVE-2026-81963 au CISA KEV — élévation vers SYSTEM

Le 8 septembre 2026, jour du Patch Tuesday, la CISA a ajouté deux vulnérabilités Windows à son catalogue KEV — le jour même de leur publication par Microsoft. Toutes deux sont des élévations de privilèges locales, toutes deux mènent à SYSTEM.

Ajout KEV : 2026-09-08. Échéance CISA : 2026-09-22.

NVD n'a publié ni score CVSS, ni vecteur, ni liste de versions au moment de la rédaction. Je m'appuie donc uniquement sur les descriptions CISA et je ne vais pas inventer de numéros de build : pour identifier le correctif applicable, il faut passer par le bulletin Microsoft du mois.

Pourquoi une élévation locale mérite votre attention

C'est le réflexe le plus répandu et le plus coûteux en priorisation : voir « élévation de privilèges locale » et reléguer la CVE derrière les failles réseau. Deux raisons de ne pas le faire.

Une élévation locale n'est pas le début d'une attaque, c'en est la deuxième moitié. Un attaquant arrive par du phishing, une pièce jointe, une application web compromise — et se retrouve avec les droits d'un utilisateur standard. À ce stade il ne peut ni désactiver l'antivirus, ni extraire les identifiants de la mémoire, ni installer un service persistant, ni se déplacer latéralement. Tout cela demande SYSTEM. L'élévation est exactement ce qui transforme un poste compromis en compromission de domaine.

Le fait qu'elles soient au KEV signifie qu'elles sont déjà utilisées. La CISA n'ajoute pas une CVE sur une hypothèse. Que ces deux-là y figurent le jour même de leur publication indique que l'exploitation était observée avant la disponibilité du correctif.

CVE-2026-85880 — débordement de tas dans ALPC

Microsoft Windows Advanced Local Procedure Call contains a heap-based buffer overflow vulnerability that allows an attacker to elevate privileges locally.

ALPC est le mécanisme de communication inter-processus interne de Windows. Il est utilisé en permanence par les composants du système pour dialoguer entre eux, y compris entre des processus de niveaux de privilèges différents — c'est précisément sa fonction.

Cette caractéristique en fait une cible historique. Un processus non privilégié peut légitimement ouvrir un canal ALPC vers un service tournant en SYSTEM : c'est le fonctionnement normal. Si le traitement d'un message dans ce canal comporte un débordement de tas, l'attaquant écrit dans la mémoire d'un processus privilégié en utilisant une voie de communication autorisée.

ALPC a déjà servi à plusieurs élévations exploitées à grande échelle par le passé. C'est une surface dense, ancienne, et difficile à durcir sans casser la compatibilité.

CVE-2026-81963 — suivi de lien dans le Windows Update Stack

Microsoft Windows Update Stack contains a link following vulnerability that allows a local attacker to escalate privileges locally up to SYSTEM.

Le link following (CWE-59) désigne une famille de failles où un composant privilégié suit un lien symbolique ou une jonction contrôlée par l'attaquant, et écrit donc à un emplacement qu'il n'aurait pas dû atteindre.

Le schéma est stable : un utilisateur non privilégié crée un lien depuis un répertoire où il a le droit d'écrire vers une cible protégée ; un service privilégié écrit « dans le répertoire temporaire » ; l'écriture atterrit sur la cible.

Le Windows Update Stack est un candidat idéal : il tourne en SYSTEM, il manipule beaucoup de fichiers temporaires, et il s'exécute régulièrement sans intervention. Un attaquant n'a même pas besoin de déclencher quoi que ce soit — il pose le lien et attend le prochain cycle de mise à jour.

Ironie notable : le composant chargé de corriger les vulnérabilités est ici le vecteur de l'élévation.

Versions et correctifs

Microsoft distribue ces correctifs dans les mises à jour cumulatives de septembre 2026. Il n'y a pas de numéro de version applicable indépendamment : le correctif est le KB du mois pour ta branche de Windows.

Vérifier les mises à jour installées :

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10

# Build exact du système
[System.Environment]::OSVersion.Version
Get-ComputerInfo | Select-Object OsName, OsVersion, OsBuildNumber, WindowsVersion

Sur un parc :

# Postes n'ayant pas reçu de mise à jour depuis une date donnée
Get-ADComputer -Filter * -Properties Name |
  ForEach-Object {
    $last = (Get-HotFix -ComputerName $_.Name -ErrorAction SilentlyContinue |
             Sort-Object InstalledOn -Descending | Select-Object -First 1).InstalledOn
    [PSCustomObject]@{ Machine = $_.Name; DernierCorrectif = $last }
  } | Where-Object { $_.DernierCorrectif -lt (Get-Date "2026-09-08") }

Détection

Les élévations de privilèges laissent peu de traces directes — la détection porte sur ce qui les précède et ce qui les suit.

Processus enfants anormaux

C'est le signal le plus exploitable :

# Processus SYSTEM dont le parent n est pas un processus système attendu
Get-CimInstance Win32_Process |
  Select-Object ProcessId, Name, ParentProcessId, CommandLine |
  Where-Object { $_.Name -match "cmd|powershell|rundll32|regsvr32" }

Un cmd.exe ou un powershell.exe tournant en SYSTEM dont le parent n'est ni services.exe ni un service légitime mérite une investigation immédiate.

Liens symboliques et jonctions

Pour CVE-2026-81963 spécifiquement :

# Jonctions dans les répertoires temporaires accessibles en écriture
Get-ChildItem "$env:TEMP", "C:\Windows\Temp" -Force -ErrorAction SilentlyContinue |
  Where-Object { $_.LinkType -in @("SymbolicLink","Junction") } |
  Select-Object FullName, LinkType, Target

Un lien pointant depuis un répertoire temporaire vers C:\Windows\System32 ou un emplacement protégé est un indicateur non ambigu.

Journaux d'événements

# Créations de services — persistance classique après élévation
Get-WinEvent -FilterHashtable @{LogName='System'; ID=7045} -MaxEvents 50 |
  Select-Object TimeCreated, Message

# Tâches planifiées créées
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-TaskScheduler/Operational'; ID=106} -MaxEvents 50

Accès à LSASS

Un attaquant qui obtient SYSTEM va presque toujours chercher les identifiants en mémoire. L'événement Sysmon 10 (ProcessAccess) ciblant lsass.exe depuis un processus inattendu est l'un des signaux les plus fiables de toute la chaîne.

Mitigation

1. Déployer les mises à jour de septembre 2026

L'échéance CISA était le 22 septembre. Sur un parc bureautique, cela veut dire piloter le taux de couverture, pas simplement déclencher WSUS et supposer que ça a fonctionné.

2. Réduire ce qu'une élévation permet d'atteindre

Ces deux CVE seront suivies d'autres — l'élévation locale est une catégorie permanente. Les mesures qui gardent leur valeur :

• LSA Protection (RunAsPPL) pour compliquer l'extraction d'identifiants depuis LSASS
• Credential Guard là où le matériel le permet
• Pas de comptes d'administration de domaine utilisés sur des postes bureautiques : c'est ce qui fait la différence entre un poste compromis et un domaine compromis
• LAPS pour que le compte administrateur local ne soit pas identique partout

3. Surveiller plutôt que seulement corriger

Les élévations locales continueront d'apparaître. La détection des processus SYSTEM anormaux et des accès à LSASS reste valable indépendamment de la CVE du mois — c'est un investissement qui ne se périme pas.

Pourquoi surveiller en continu votre parc Windows

Le Patch Tuesday publie chaque mois plusieurs dizaines de CVE, dont une poignée seulement est réellement exploitée. Distinguer les deux demande de croiser le bulletin Microsoft avec le catalogue KEV et avec l'inventaire réel de son parc — un travail manuel que peu d'organisations font tous les mois, et qui aboutit soit à tout patcher en urgence, soit à rien prioriser du tout.

Avec cveo.tech, inventorie tes systèmes Windows avec leur build exact et reçois une alerte automatique dès qu'une CVE critique — en particulier une CVE au CISA KEV — concerne une de tes versions. Pour que le Patch Tuesday devienne une liste courte d'actions plutôt qu'un bulletin de cent pages.