5 min de lecture<\/p>\n
Une vuln\u00e9rabilit\u00e9 critique dans le composant .NET le plus utilis\u00e9 permet aux attaquants une \u00e9l\u00e9vation de privil\u00e8ges sans connexion. Les correctifs existent depuis longtemps, mais les entreprises du secteur interm\u00e9diaire h\u00e9berg\u00e9es chez un fournisseur externe ou un \u00e9diteur de logiciels ind\u00e9pendant (ISV) n\u2019ont souvent aucun contr\u00f4le sur la mise \u00e0 jour.<\/strong><\/p>\n En lien :<\/span>Portefeuille EUDI apr\u00e8s le lancement pilote en 2026<\/a> \/<\/span> D\u00e9penses IA selon Gartner en 2026<\/a><\/p>\n Qu\u2019est-ce que CVE-2026-40372 ?<\/strong> CVE-2026-40372 est une vuln\u00e9rabilit\u00e9 critique d\u2019ASP.NET Core, dans laquelle la v\u00e9rification des signatures cryptographiques est insuffisamment impl\u00e9ment\u00e9e. Un attaquant peut envoyer des requ\u00eates falsifi\u00e9es avec des signatures contrefaites ou contourn\u00e9es, et ainsi \u00e9lever ses privil\u00e8ges \u2014 sans s\u2019\u00eatre authentifi\u00e9 au pr\u00e9alable. Microsoft \u00e9value cette faille avec un score CVSS de 9,1, soit un niveau critique. Elle a \u00e9t\u00e9 publi\u00e9e le 21.04.2026 dans la NVD et affecte toutes les versions actuellement support\u00e9es de .NET.<\/p>\n Le composant exact se situe au niveau de la couche d\u2019authentification et de v\u00e9rification des jetons. Les applications utilisant des jetons JWT, des cookies sign\u00e9s ou des flux OAuth sont les cibles \u00e9videntes. En pratique, cela concerne presque toutes les applications ASP.NET Core avec syst\u00e8me de connexion. L\u2019attaque peut \u00eatre men\u00e9e depuis Internet d\u00e8s lors que le point d\u2019acc\u00e8s (endpoint) est accessible.<\/p>\n Les statistiques du march\u00e9 cloud indiquent qu\u2019ASP.NET repr\u00e9sente une part moindre compar\u00e9 \u00e0 Java ou Node. En revanche, la r\u00e9alit\u00e9 dans les PME de la r\u00e9gion DACH est diff\u00e9rente. Trois configurations sont fr\u00e9quemment rencontr\u00e9es.<\/p>\n Premi\u00e8rement : les logiciels m\u00e9tiers bas\u00e9s sur .NET. De nombreuses solutions destin\u00e9es \u00e0 l\u2019artisanat, \u00e0 la logistique, \u00e0 la sant\u00e9 ou \u00e0 la construction m\u00e9canique ont \u00e9t\u00e9 d\u00e9velopp\u00e9es sur une architecture Windows et se sont dot\u00e9es d\u2019une interface web avec ASP.NET Core. Souvent, un prestataire informatique ou un revendeur h\u00e9berge l\u2019application. Celui qui ne v\u00e9rifie pas activement l\u2019\u00e9tat des correctifs risque de ne pas appliquer la mise \u00e0 jour avant la prochaine fen\u00eatre de maintenance.<\/p>\n Deuxi\u00e8mement : les portails clients d\u00e9velopp\u00e9s en interne. La plupart des portails destin\u00e9s aux commandes, au suivi de statut ou \u00e0 la gestion des tickets de service sont cr\u00e9\u00e9s avec .NET 6 ou 8, car les comp\u00e9tences .NET sont d\u00e9j\u00e0 pr\u00e9sentes en interne. Ces d\u00e9veloppements internes sont rarement mis \u00e0 jour de mani\u00e8re centralis\u00e9e, contrairement aux logiciels standards achet\u00e9s. En l\u2019absence d\u2019un responsable clairement d\u00e9sign\u00e9 pour les mises \u00e0 jour du framework, cette situation constitue une faille ouverte.<\/p>\n Troisi\u00e8mement : les syst\u00e8mes h\u00e9rit\u00e9s sur .NET 7. Microsoft a mis fin au support de .NET 7 en mai 2024. Les utilisateurs encore sur cette version ne recevront officiellement aucun correctif pour CVE-2026-40372. La r\u00e9alit\u00e9 dans de nombreuses entreprises : la migration vers .NET 8 a \u00e9t\u00e9 report\u00e9e en raison d\u2019autres priorit\u00e9s. Ces environnements n\u00e9cessitent d\u00e9sormais une d\u00e9cision d\u00e9lib\u00e9r\u00e9e \u2013 migrer ou mettre en place des mesures compensatoires telles qu\u2019un pare-feu applicatif (WAF) dot\u00e9 de r\u00e8gles de validation des signatures.<\/p>\n \n\u00ab Microsoft a class\u00e9 CVE-2026-40372 comme critique le 21.04.2026 : une erreur de v\u00e9rification de signature dans ASP.NET Core permet \u00e0 des attaquants non authentifi\u00e9s d\u2019obtenir une \u00e9l\u00e9vation de privil\u00e8ges via le r\u00e9seau. \u00bb\n<\/p><\/blockquote>\n Premi\u00e8rement : l\u2019inventaire. Identifier toutes les applications utilisant ASP.NET Core. Contacter les prestataires informatiques pour conna\u00eetre la version .NET en production et v\u00e9rifier si la mise \u00e0 jour corrigeant CVE-2026-40372 a \u00e9t\u00e9 appliqu\u00e9e. Pour les h\u00e9bergements internes, utiliser la commande dotnet –version<\/a> sur le serveur.<\/p>\n Deuxi\u00e8mement : d\u00e9ploiement des correctifs selon un ordre de priorit\u00e9. Commencer par les applications expos\u00e9es au public, c\u2019est-\u00e0-dire toutes celles accessibles depuis l\u2019ext\u00e9rieur via une connexion. Puis proc\u00e9der aux applications internes. Pour les environnements encore sur .NET 7, \u00e9laborer un plan d\u2019att\u00e9nuation : lancer la migration vers .NET 8 ou, en attendant, activer une r\u00e8gle WAF.<\/p>\n Troisi\u00e8mement : v\u00e9rification des journaux. Examiner les applications pour s\u2019assurer qu\u2019elles enregistrent bien les anomalies d\u2019authentification. Si un attaquant tente de contourner la v\u00e9rification du jeton, cet \u00e9v\u00e9nement doit appara\u00eetre dans les journaux applicatifs. De nombreuses applications de PME enregistrent les connexions r\u00e9ussies, mais pas les tentatives de v\u00e9rification \u00e9chou\u00e9es \u2013 or, c\u2019est pr\u00e9cis\u00e9ment cette t\u00e9l\u00e9m\u00e9trie qui fait d\u00e9faut aujourd\u2019hui.<\/p>\n Les versions concern\u00e9es sont ASP.NET Core 6.0, 7.0 et 8.0. Microsoft a publi\u00e9 des correctifs pour les versions LTS 6 et 8. .NET 7 n\u2019est plus pris en charge depuis mai 2024, aucun correctif officiel n\u2019est donc disponible. Les utilisateurs encore sur .NET 7 doivent migrer ou mettre en place des mesures compensatoires.<\/p>\n<\/details>\n Oui, mais avec une priorit\u00e9 moindre. Les applications internes restent accessibles \u00e0 un attaquant ayant obtenu une emprise sur le r\u00e9seau. CVE-2026-40372 \u00e9tant une vuln\u00e9rabilit\u00e9 bas\u00e9e sur le r\u00e9seau, elle inclut \u00e9galement les r\u00e9seaux internes. Priorit\u00e9 aux applications expos\u00e9es au public, puis aux applications internes, mais les deux doivent \u00eatre corrig\u00e9es dans un d\u00e9lai de deux semaines.<\/p>\n<\/details>\n Uniquement comme mesure transitoire. Une WAF dot\u00e9e de r\u00e8gles d\u00e9tectant les anomalies de validation de signature peut identifier l\u2019attaque si celle-ci est visible dans les en-t\u00eates ou dans le corps de la requ\u00eate. En revanche, elle ne sera pas efficace contre des chemins de v\u00e9rification plus profonds int\u00e9gr\u00e9s \u00e0 la logique applicative. Le correctif reste la solution la plus s\u00fbre.<\/p>\n<\/details>\n Envoyez une demande \u00e9crite avec une date pr\u00e9cise pour l\u2019application du correctif. Pour les applications critiques, d\u00e9finissez un canal d\u2019escalade vers la direction du prestataire. V\u00e9rifiez votre contrat : existe-t-il une clause SLA pr\u00e9voyant un d\u00e9lai pour les correctifs de s\u00e9curit\u00e9 ? La plupart des contrats standards pr\u00e9voient un d\u00e9lai de 7 \u00e0 30 jours pour les vuln\u00e9rabilit\u00e9s critiques.<\/p>\n<\/details>\n Des journaux d\u2019authentification inhabituels : de nombreuses r\u00e9ponses 401 suivies d\u2019une r\u00e9ponse 200 sur le m\u00eame endpoint. Des jetons (tokens) qui semblent corrects structurellement, mais provenant d\u2019\u00e9metteurs inconnus. Des requ\u00eates avec une dur\u00e9e de vie anormalement courte du jeton. Si vous disposez d\u2019un SIEM ou d\u2019un outil d\u2019agr\u00e9gation de logs, cr\u00e9ez une r\u00e8gle d\u2019alerte bas\u00e9e sur ces motifs, et non sur des \u00e9v\u00e9nements isol\u00e9s.<\/p>\n<\/details>\n Source image titre : Pexels \/ Pixabay<\/p>\n","protected":false},"excerpt":{"rendered":" Une faille critique dans le composant .NET le plus utilis\u00e9 permet aux attaquants une \u00e9l\u00e9vation de privil\u00e8ges sans connexion.<\/p>\n","protected":false},"author":205,"featured_media":99057,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_yoast_wpseo_focuskw":"Portail Microsoft Stack PME","_yoast_wpseo_title":"La porte ouverte du Microsoft\u202fStack de la banque des PME","_yoast_wpseo_metadesc":"Une faille critique dans .NET affecte les infrastructures des PME chez les h\u00e9bergeurs et \u00e9diteurs.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"featured_post_sortierung":0,"featured_post":0,"pre_headline":"","bildquelle":"","teasertext":"","language":"de","_evm_translation_lang":"","_wp_old_slug":[],"footnotes":""},"categories":[2224],"tags":[],"class_list":["post-99264","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-tech","entry"],"evm_reading_time_minutes":8,"wpml_language":"fr","wpml_translation_of":99058,"acf":[],"yoast_head":"\nLes points cl\u00e9s en bref<\/h2>\n
\n
Ce que permet concr\u00e8tement la vuln\u00e9rabilit\u00e9<\/h2>\n
Pourquoi les PME sont plus touch\u00e9es que ne le montre la statistique<\/h2>\n
Trois \u00e9tapes \u00e0 accomplir dans les 14 prochains jours<\/h2>\n
Foire aux questions<\/h2>\n
Quelles versions de .NET sont concern\u00e9es par CVE-2026-40372 ?<\/strong><\/summary>\n
Avons-nous besoin du correctif si notre application n\u2019est accessible que depuis l\u2019interne ?<\/strong><\/summary>\n
Une Web Application Firewall (WAF) suffit-elle comme mesure temporaire ?<\/strong><\/summary>\n
Que faire si un prestataire informatique ne r\u00e9agit pas ?<\/strong><\/summary>\n
Quels indicateurs signalent une attaque active ?<\/strong><\/summary>\n
Plus d\u2019informations depuis le r\u00e9seau MBF Media<\/h2>\n
\n