Vulnérabilité d'exécution de code à distance dans Windows Hyper-V

Cette vulnérabilité est particulièrement critique car elle permet une exécution de code à distance sans authentification. Un attaquant pourrait exploiter cette faille pour prendre le contrôle complet d'un serveur Hyper-V, compromettant ainsi toutes les machines virtuelles qu'il héberge. L'impact potentiel est donc considérable, allant de la perte de données à la perturbation des services critiques. L'attaquant pourrait également utiliser le serveur compromis comme point de pivot pour se déplacer latéralement au sein du réseau, en exploitant d'autres vulnérabilités sur les machines virtuelles ou les systèmes connectés. Bien qu'aucune exploitation active publique n'ait été signalée à ce jour, la facilité potentielle d'exploitation rend cette vulnérabilité particulièrement préoccupante, rappelant les risques associés aux vulnérabilités RCE critiques comme celles observées dans le passé.

Organizations heavily reliant on Hyper-V for virtualized workloads are at significant risk. This includes businesses using Hyper-V to host critical applications, development environments, or test servers. Environments with older, unpatched Windows versions are particularly vulnerable. Shared hosting providers utilizing Hyper-V also face increased exposure.

• windows / supply-chain:

Get-WinEvent -LogName Security -Filter "EventID = 4688 -MessageText '*Hyper-V*'"

• windows / supply-chain:

Get-Process -Name HyperVHostProcess | Select-Object -ExpandProperty Path

• windows / supply-chain:

Get-ScheduledTask | Where-Object {$_.TaskName -like '*HyperV*'}

1. 2024-05-14Disclosure

   disclosure

1. Réservé2024-03-22
2. Publiée2024-05-14
3. Modifiée2025-05-03
4. EPSS mis à jour2026-04-02

La mitigation principale consiste à appliquer le correctif publié par Microsoft en version 10.0.25398.887 ou ultérieure. Si l'application du correctif est impossible en raison de problèmes de compatibilité ou de temps d'arrêt, des mesures temporaires peuvent être mises en place. Il est recommandé de désactiver temporairement les fonctionnalités Hyper-V non essentielles et de renforcer la segmentation du réseau pour limiter l'impact potentiel d'une exploitation. La configuration de pare-feu pour bloquer le trafic réseau entrant non autorisé vers le serveur Hyper-V peut également aider à réduire le risque. Il n'existe pas de signature Sigma ou YARA spécifique à cette vulnérabilité à l'heure actuelle, mais la surveillance des processus Hyper-V suspects est recommandée.