APT28 Tied to CVE-2026-21513 MSHTML 0-Day Exploited Before Feb 2026 Patch Tuesday

Exploitation d’une faille MSHTML par APT28

Une vulnérabilité de sécurité récemment corrigée par Microsoft, identifiée sous le nom de CVE-2026-21513, aurait été exploitée par le groupe de cybercriminels parrainé par l’État russe, APT28. Cette faille critique, affectant le framework MSHTML, permettait à un attaquant non autorisé de contourner une mesure de sécurité via le réseau. Microsoft a publié un correctif dans le cadre de sa mise à jour de février 2026, mais a également confirmé que la vulnérabilité avait été exploitée en tant que “zero-day” avant cette correction.

Points clés :

• Acteur malveillant : APT28 (groupe lié à la Russie).
• Technique d’exploitation : Utilisation de fichiers HTML ou de raccourcis (LNK) malveillants envoyés via des liens ou des pièces jointes d’e-mail.
• Mécanisme : Manipulation du traitement des fichiers par le navigateur et le Shell Windows, permettant l’exécution de contenu en contournant les protections de sécurité.
• Impact : Contournement des mesures de sécurité, potentielle exécution de code à distance.
• Artefact découvert : Un fichier malveillant, associé à l’infrastructure d’APT28, a été détecté le 30 janvier 2026.

Vulnérabilité :

• CVE : CVE-2026-21513
• Description : Défaillance du mécanisme de protection dans MSHTML Framework.
• Impact : Contournement de fonctionnalités de sécurité.
• Score CVSS : 8.8 (Sévérité élevée).
• Composant affecté : Fonctionnalité de navigation des hyperliens dans “ieframe.dll”.
• Cause : Validation insuffisante de l’URL cible, permettant l’injection de données contrôlées par l’attaquant.

Recommandations :

• Application immédiate des correctifs : Il est crucial d’appliquer la mise à jour de sécurité de février 2026 de Microsoft pour corriger la vulnérabilité CVE-2026-21513.
• Vigilance accrue : Les utilisateurs doivent être extrêmement prudents face aux e-mails suspects, aux liens et aux pièces jointes, même s’ils proviennent de sources apparemment légitimes.
• Surveillance des infrastructures : Les organisations devraient surveiller leurs infrastructures à la recherche d’artefacts ou de comportements associés à APT28.
• Attentes de mécanismes de livraison supplémentaires : La vulnérabilité peut être exploitée par d’autres moyens que les fichiers LNK, nécessitant une vigilance au-delà des campagnes de phishing traditionnelles.

Source