À l’occasion de la Black Hat USA 2026, Semperis a dévoilé une nouvelle faille de sécurité liée à l’Active Directory et à l’authentification Kerberos : ResetNightmare (CVE-2026-27912). Elle permet de réinitialiser le mot de passe de n’importe quel compte Active Directory, y compris un compte Administrateur du domaine, sans jamais connaître l’ancien. Voici l’essentiel à savoir sur cette faille de sécurité.
Réinitialiser un mot de passe sans connaître l’ancien
Cette faille de sécurité a été découverte par Shai Laron, chercheur chez Semperis, et présentée lors de la conférence Black Hat USA 2026 aux côtés d’une seconde vulnérabilité Kerberos surnommée KerberLoss (CVE-2026-25177). Si je vous parle de cette seconde faille, c’est parce qu’elles partagent une même logique : elles sèment la confusion sur l’identité des objets auprès des contrôleurs de domaine. Je vous explique comment.
Dans le cadre de ses travaux, Shai Laron s’est intéressé à une conférence de Yossi Sassi consacrée aux techniques de persistance dans Active Directory, et notamment à l’ajout de caractères Unicode invisibles dans les attributs des objets. Deux comptes portant en apparence le même nom, mais séparés par un caractère que personne ne voit. Tous ces caractères ne sont pas traités de la même façon par l’annuaire LDAP :
Seuls 106 caractères sur 385 caractères se révèlent réellement filtrables.
Certains sont assimilés à des espaces, ce qui fait remonter tous les objets dont le nom en contient (comme le groupe “Admins du domaine”, par exemple).
D’autres sont ignorés par le contrôleur de domaine. Une requête portant sur l’un d’eux a renvoyé au chercheur l’intégralité de son annuaire de test, soit 11 704 objets.
C’est cette anomalie qui permet de contourner les vérifications d’unicité des UPN et des SPN mises en place par Microsoft en 2021. C’est ce qui a donné naissance à la première faille : KerberLoss.
Le principe de ResetNightmare est le suivant : un attaquant qui contrôle un compte utilisateur, ou qui dispose du droit de créer des comptes dans l’annuaire, peut forcer la réinitialisation du mot de passe d’un autre compte. Le petit détail qui tue : il n’a pas besoin de détenir le mot de passe actuel du compte ciblé (sinon aucun intérêt). À partir d’un compte utilisateur standard, il est envisageable de compromettre le domaine Active Directory.
“Le simple fait de pouvoir créer un UPN a suffi à compromettre le domaine.”, précise Shai Laron dans son rapport. Cette faille de sécurité associée à la référence CVE-2026-27912 est associée à un score CVSS de 8.0 sur 10 par Microsoft. Si elle n’est pas critique, c’est probablement parce qu’il faut disposer d’un accès authentifié au domaine Active Directory ciblé.
Pour comprendre d’où vient la faille de sécurité ResetNightmare, il faut remonter quelques années en arrière. Plus particulièrement en 2021, car c’est à cette époque que Microsoft avait corrigé l’attaque Dollar Ticket (noPac) associée aux failles CVE-2021-42278 et CVE-2021-42287. Elle reposait déjà sur une confusion au niveau du nommage et Microsoft avait intégré des mesures préventives. En effet, le ticket d’authentification (TGT) embarque désormais toujours un PAC, et ce PAC contient un champ PAC_REQUESTOR_SID portant le SID du compte ayant réellement demandé le ticket. Cette valeur est ensuite vérifiée lors de l’échange TGS, ce qui empêche toute tentative d’usurpation.
Comme l’explique Shai Laron, le problème, c’est que le protocole de changement de mot de passe Kerberos ne passe jamais par cette étape. Ainsi, le contrôle de SID introduit en 2021 ne s’applique pas. Reste à obtenir un TGT portant le nom d’un autre compte qui est pris pour cible, et qui de préférence, dispose de privilèges élevés. C’est là que l’attribut userPrincipalName (UPN) entre en jeu.
Nul besoin de contourner le contrôle d’unicité, l’attaquant inscrit simplement dans son propre UPN la valeur du sAMAccountName de sa cible, ce qui reste autorisé puisque le vrai UPN de la victime comporte le suffixe du domaine et que les deux chaînes diffèrent. En demandant un ticket avec le type de nom Kerberos NT-ENTERPRISE, qui résout les comptes par leur UPN, il obtient un TGT affichant le nom de la cible. Il efface alors son propre UPN, si bien que plus aucun compte ne correspond au nom inscrit sur le ticket. Une usurpation classique échouerait ici avec une erreur KDC_ERR_TGT_REVOKED, preuve que le correctif de 2021 fait son travail, mais le même ticket, employé pour construire une requête de changement de mot de passe, passe à travers l’ensemble des mécanismes !
Le mot de passe de la cible est réinitialisé, et l’attaquant peut alors prendre le contrôle du code cible ! Et si je vous en parle aujourd’hui, c’est parce qu’un code d’exploitation (PoC) a été publié sur GitHub par Semperis. Cela signifie qu’il est désormais aisé d’exploiter cette faille.
Source : Semperis
Vous pouvez retrouver tous les détails dans le rapport de Semperis.
La bonne nouvelle, c’est que Microsoft a déjà publié un correctif de sécurité pour cette vulnérabilité, lors du Patch Tuesday d’avril 2026. La faille ResetNightmare a donc été patchée en avril 2026, tandis que la faille KerberLoss a été patchée plus tôt, en mars 2026. De quoi se protéger de cette technique.
Vous devez donc avoir installé, à minima, les mises à jour suivantes sur vos serveurs (si vous avez installé celles d’août 2026, c’est encore mieux).
Windows Server 2012 : KB5082127.
Windows Server 2012 R2 : KB5082126.
Windows Server 2016 : KB5082198.
Windows Server 2019 : KB5082123.
Windows Server 2022 (21H2 et 22H2) : KB5082142.
Windows Server 2022 23H2 : KB5082060.
Windows Server 2025 : KB5082063.
En complément, pour cartographier les chemins d’attaque au sein de votre Active Directory, vous pouvez lire notre article qui explique comment générer un rapport de sécurité Active Directory avec AD-Miner et BloodHound.
Cofondateur d’IT-Connect et Microsoft MVP “Cloud and Datacenter Management”. Mon obsession depuis près de 15 ans ? Rendre l’administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu’un métier, l’IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.