MSHTML Zero-Day : comment APT28 a exploité la faille critique avant le correctif de février 2026

Statistique choc : selon le rapport annuel de l’ANSSI 2025, 38 % des incidents de cybersécurité en France ciblent des vulnérabilités permettant de contourner les mécanismes de sandboxing. Parmi celles-ci, la MSHTML Zero-Day (CVE-2026-21513) a été activement exploitée par le groupe APT28 avant même la diffusion du correctif de février 2026.

Le présent guide détaille le fonctionnement de cette faille, le profil de l’acteur menaçant, les impacts pour les organisations françaises, ainsi que les mesures à prendre avant et après le patch. Vous découvrirez également des bonnes pratiques conformes aux référentiels ANSSI, ISO 27001 et au RGPD.

Comprendre la vulnérabilité MSHTML Zero-Day (CVE-2026-21513)

Origine technique de la faille

Le composant ieframe.dll gère la navigation des hyperliens dans le moteur de rendu MSHTML, utilisé par Internet Explorer et les applications intégrant le contrôle WebBrowser. Dans la version affectée, le code ne valide pas correctement les URL cibles avant d’appeler la fonction native ShellExecuteExW. Cette omission permet à un attaquant d’injecter une URL malveillante qui déclenche l’exécution d’un fichier local ou distant, contournant ainsi le Mark of the Web (MotW) et le Internet Explorer Enhanced Security Configuration (IE ESC).

« La validation insuffisante des protocoles dans ieframe.dll constitue le point d’entrée principal de l’exploitation, ouvrant la porte à une exécution hors-sandbox. » - Rapport Akamai, janvier 2026

Le score CVSS attribué à CVE-2026-21513 est de 8,8 (High), reflétant la facilité d’exploitation et l’impact potentiel sur la confidentialité, l’intégrité et la disponibilité des systèmes.

Impact sur la sécurité des systèmes Windows

Lorsque la fonction ShellExecuteExW est invoquée avec un protocole non restreint, le système exécute le fichier indiqué sans demander d’autorisation à l’utilisateur. Le scénario typique implique la création d’un fichier raccourci Windows (.lnk) contenant un payload HTML masqué. À l’ouverture du raccourci, le navigateur MSHTML charge le payload, qui charge ensuite un script malveillant hébergé sur un domaine contrôlé par l’attaquant (ex. wellnesscaremed[.]com). Le script exploite des iframes imbriqués pour déclencher la chaîne d’exécution.

Selon le Microsoft Security Intelligence Report 2025, 59 vulnérabilités ont été corrigées lors du Patch Tuesday de février 2026, dont huit critiques, dont la MSHTML Zero-Day.

Profil d’APT28 et ses méthodes d’exploitation

Chaîne d’attaque détaillée

1. Livraison - L’attaquant diffuse des fichiers .lnk via des campagnes de phishing ciblées ou des plateformes de partage de fichiers. Seizure de tether et arnaques pig‑butchering
2. Activation - L’utilisateur double-clique sur le raccourci, déclenchant le chargement du composant MSHTML.
3. Escalade - Le payload HTML injecte un appel à ShellExecuteExW, contournant le sandbox.
4. Exfiltration - Le code télécharge un second stage (malware multi-stage) et établit une connexion C2.

Cette chaîne repose sur la validation laxiste des protocoles et sur la capacité du composant MSHTML à interpréter des contenus HTML complexes.

Exemple de campagne observée en janvier 2026

En janvier 2026, les chercheurs d’Akamai ont intercepté une campagne ciblant des entreprises du secteur de la santé. Les e-mails contenaient une pièce jointe « Facture ». Le fichier .lnk renvoyait à un document HTML contenant un iframe pointant vers http://malicious[.]example.com/payload.html. Ce payload a installé un cheval de Troie de type remote access trojan (RAT) capable de voler des dossiers patients, violant ainsi le RGPD.

« La sophistication du livrable .lnk démontre l’évolution des techniques d’APT28, qui combine ingénierie sociale et exploitation de failles de bas niveau. » - Analyse interne, équipe de réponse aux incidents, 2026

Analyse des conséquences pour les organisations françaises

Risques de compromission de données

La compromission d’un poste de travail peut conduire à l’accès non autorisé aux bases de données internes, aux dossiers patients ou aux informations financières. En vertu de l’article 32 du RGPD, le responsable du traitement doit assurer la confidentialité, l’intégrité et la disponibilité des données. Une faille de type sandbox escape expose les organisations à des sanctions pouvant atteindre 20 M€ ou 4 % du chiffre d’affaires annuel mondial.

Conformité ANSSI et obligations ISO 27001

L’ANSSI recommande, dans son Guide de bonnes pratiques de sécurisation des navigateurs (édition 2024), de désactiver les composants obsolètes et d’appliquer les correctifs de sécurité dans les 72 heures suivant leur publication. ISO 27001, quant à elle, impose Aeternum C2 Botnet – blockchain Polygon une gestion du risque continue (Clause 6.1.2) et la mise à jour régulière des actifs logiciels (Clause 8.1).

Mesures de mitigation avant le patch de février 2026

• Isolation des environnements - Restreindre l’utilisation de MSHTML aux seules applications indispensables et les exécuter dans des machines virtuelles.
• Filtrage des extensions - Bloquer les fichiers .lnk et .url au niveau du serveur de messagerie avec des règles de détection basées sur le contenu.
• Renforcement des politiques de groupe - Appliquer la GPO Prevent access to the command prompt et désactiver ShellExecute pour les processus non approuvés.
• Surveillance des appels système - Déployer des solutions EDR capables de détecter les appels à ShellExecuteExW provenant de processus iexplore.exe ou dllhost.exe.
• Formation des utilisateurs - Sensibiliser aux risques liés aux raccourcis Windows et aux pièces jointes inattendues.

Déploiement du correctif février 2026 et bonnes pratiques post-patch

Étapes de mise à jour

1. Inventaire - Identifier les systèmes exécutant le composant ieframe.dll version < 10.0.19041.340.
2. Planification - Programmer le redémarrage pendant les fenêtres de maintenance, en tenant compte des dépendances applicatives.
3. Installation - Appliquer le package KB 5026453 via Windows Update ou WSUS.
4. Vérification - Confirmer la version du fichier ieframe.dll (10.0.19041.340) et l’absence de la fonction vulnérable.
5. Audit - Exécuter un scan de conformité avec les règles de l’ANSSI (outil CIS-CAT).

Vérifications de sécurité

• Intégrité du fichier - Comparer le hash SHA-256 du ieframe.dll avec la valeur publiée par Microsoft.
• Journalisation - S’assurer que les logs d’événements Windows (ID 4688, 4689) enregistrent toutes les tentatives d’exécution de ShellExecuteExW.
• Contrôle des privilèges - Vérifier que les comptes standard ne possèdent pas de droits d’administration locale.

Tableau comparatif avant / après patch

Exemple de code de validation renforcée (extrait du correctif)

// Pseudocode simplifié du filtre de protocole
if (IsSupportedProtocol(url)) {
    // Autoriser uniquement HTTP, HTTPS, FILE
    ShellExecuteExW(&sei);
} else {
    LogEvent("Protocol not allowed", url);
    return FALSE;
}

Conclusion et prochaines actions

Guide complet – Créez un CV cybersécurité qui séduit les recruteurs La MSHTML Zero-Day (CVE-2026-21513) a démontré la capacité d’APT28 à exploiter rapidement des failles critiques avant même la diffusion du correctif officiel. Les organisations françaises doivent agir immédiatement en appliquant les mesures de mitigation décrites, puis déployer le patch de février 2026 selon les bonnes pratiques ANSSI et ISO 27001. En combinant une gestion proactive des vulnérabilités, une surveillance renforcée et une formation continue, vous réduirez significativement le risque d’escalade et assurerez la conformité aux exigences légales.

Prochaine étape recommandée : lancez dès aujourd’hui un audit de vos postes de travail pour vérifier la version du composant ieframe.dll et mettez en place les règles de filtrage des fichiers .lnk. Le respect de ces actions vous permettra de rester résilient face aux futures campagnes d’APT28 et aux nouvelles menaces émergentes.