CVE-2026-23669 : le Print Spooler Windows reprend du service, pour le pire

Le service Windows Print Spooler continue de s'accrocher à son statut de relique dangereuse dans les systèmes d'information modernes. Avec la CVE-2026-23669, Microsoft corrige une nouvelle vulnérabilité d'exécution de code à distance touchant ce composant décidément incapable de rester discret.

Ce n’est pas juste un bug embarrassant de plus dans un service historique. C’est une faille qui rappelle, encore une fois, qu’un composant présent partout, souvent activé par défaut, et exécuté avec des privilèges élevés, reste une cible idéale pour un attaquant qui veut accélérer sa progression dans un réseau Windows.

Ce que l’on sait sur la vulnérabilité

La CVE-2026-23669 affecte le spouleur d’impression Windows et permet une exécution de code à distance dans le contexte du service.

En pratique, cela signifie qu’un attaquant capable d’interagir avec ce composant sur le réseau peut exploiter la faille pour obtenir l’exécution de code avec des privilèges élevés, souvent dans le contexte :

Et là, la journée devient moins agréable pour l’équipe infra. Parce qu’une RCE sur un service aussi répandu, ce n’est pas une anomalie technique anodine. C’est potentiellement une porte d’entrée, un point de pivot, ou un tremplin vers un mouvement latéral plus large.

Pourquoi cette CVE est importante

• Le Print Spooler est présent sur une grande partie du parc Windows.
• Il reste souvent activé par défaut, même là où il n’a aucune utilité.
• Le service fonctionne avec des privilèges élevés.
• Il constitue un vecteur d’attaque récurrent depuis plusieurs années.

En clair, cette vulnérabilité n’est pas seulement critique à cause de son score ou de son intitulé. Elle l’est parce qu’elle touche un composant omniprésent que beaucoup d’organisations laissent tourner “au cas où”. Une philosophie technique admirablement inefficace.

Scénario d’exploitation plausible

1. Un attaquant obtient un premier accès à un environnement Windows.
2. Il repère des machines sur lesquelles le service Spooler est actif.
3. Il exploite la vulnérabilité à distance via les interfaces exposées du service.
4. Le code malveillant s’exécute avec des privilèges élevés.
5. Il poursuit sa progression vers des serveurs sensibles ou des comptes à privilèges.

Remédiation recommandée

La remédiation de référence est simple sur le principe, même si elle déclenche parfois des soupirs dans les équipes d’exploitation : appliquer les correctifs de sécurité Microsoft publiés pour mars 2026.

Actions de remédiation

• Déployer les correctifs sur l’ensemble des systèmes Windows supportés.
• Prioriser les serveurs d’impression, les serveurs exposés et les postes d’administration.
• Vérifier que les correctifs sont effectivement installés via vos outils de gestion de parc.
• Inclure le service Spooler dans les revues de durcissement système.

Quick win : atténuation immédiate du risque

La meilleure atténuation rapide consiste à désactiver le service Print Spooler partout où il n’est pas strictement nécessaire. Cela concerne très souvent :

• les contrôleurs de domaine,
• les serveurs applicatifs,
• les serveurs d’administration,
• les jump servers,
• une partie des serveurs de production.

Une machine qui n’imprime pas n’a généralement aucune raison d’exposer ce service. Ce concept paraît presque insultant par sa simplicité, et pourtant il reste trop rarement appliqué.

Stop-Service -Name Spooler -Force
Set-Service -Name Spooler -StartupType Disabled

Mesures complémentaires

• Segmenter les serveurs d’impression et limiter leur exposition réseau.
• Restreindre les flux RPC lorsque cela est possible.
• Surveiller les appels inhabituels au service Spooler.
• Auditer régulièrement les systèmes où le service reste actif sans justification métier.

Conclusion

La CVE-2026-23669 rappelle une évidence que l’on redécouvre à chaque nouvel incident lié au spooler : les vieux composants omniprésents restent souvent les plus utiles aux attaquants.

Entre la correction officielle et la réduction immédiate de la surface d’attaque, la feuille de route est assez claire : patcher vite, et désactiver ce qui ne sert à rien.

Finalement, le Print Spooler continue de faire exactement ce qu’on attend de lui depuis des années : générer plus de travail pour les équipes sécurité que pour les imprimantes.

Source : veille technique et analyse ADNC

---