NTLM

🔍 Contexte Publié le 18 septembre 2026 sur GitHub par l’auteur BoydHacks, ntlmscout est un outil offensif open source en Python 3.7+ (fichier unique, sans dépendances externes) destiné à la reconnaissance des endpoints NTLM exposés sur Internet. ⚙️ Fonctionnement technique L’outil exploite le fait qu’une négociation NTLM non authentifiée (message Type-1 NEGOTIATE) provoque en réponse un message Type-2 CHALLENGE qui divulgue de nombreuses informations internes Active Directory avant toute transmission de credential : ...

Selon un billet technique publié le 2 mars 2026, Microsoft a modifié msv1_0.dll dans Windows Server 2025 pour empêcher la génération d’NTLMv1 côté client, rendant caduque l’attaque de coercition cross-DC suivie d’un relais vers LDAPS basée sur NTLMv1 avec ESS et suppression du MIC. Rappel de l’attaque classique: un DC victime (DC2) avec LmCompatibilityLevel mal configuré (< 3) est contraint d’authentifier vers l’attaquant (ex. via DFSCoerce), qui reçoit un NTLMv1 + ESS. L’attaquant retire le MIC (–remove-mic) et relaie vers LDAPS sur un autre DC (DC1) via ntlmrelayx, permettant la modification d’attributs sensibles comme msDS-KeyCredentialLink (Shadow Credentials) ou l’ajout d’RBCD, menant à une élévation de privilèges. ...

Selon BleepingComputer, Microsoft annonce qu’il désactivera par défaut le protocole d’authentification NTLM, âgé de 30 ans, dans les prochaines versions de Windows. Ce changement est motivé par des vulnérabilités de sécurité qui exposent les organisations à des cyberattaques. Points clés 📝 Protocole concerné : NTLM (30 ans) Changement : désactivation par défaut 🚫 Motif : vulnérabilités de sécurité exposant les organisations à des cyberattaques ⚠️ Périmètre : prochaines versions de Windows Cette décision vise à réduire l’exposition liée à NTLM, compte tenu de ses faiblesses historiques, en le retirant de la configuration par défaut des futures versions du système. ...

SecurityWeek rapporte que Microsoft a désactivé la prévisualisation des fichiers téléchargés pour contrer une fuite potentielle de hachages NTLM. Dans certains fichiers récupérés depuis Internet, des balises HTML pointant vers des chemins externes pouvaient être utilisées pour exfiltrer des hachages NTLM au moment de l’aperçu. • Vulnérabilité: des balises HTML dans des fichiers téléchargés, référencées vers des chemins externes, pouvaient déclencher une demande d’authentification et exposer des hachages NTLM lors de la prévisualisation du fichier. ...

Source : Trellix – Dans son « Bug Report » de septembre 2025, Trellix recense cinq vulnérabilités critiques touchant des composants largement déployés (Chrome V8, Windows NTLM/MSMQ, Sangoma FreePBX, Django), avec deux failles activement exploitées. ⚠️ • Vulnérabilités clés CVE-2025-10585 (Chrome V8) : type confusion permettant une exécution de code à distance (RCE) via du contenu web malveillant. CVE-2025-57819 (FreePBX) : injection SQL dans la validation de modular.php (module endpoint) menant à contournement d’authentification et exécution de commandes root via l’endpoint /admin/ajax.php. CVE-2025-54918 (Windows NTLM) : élévation de privilèges d’un compte peu privilégié vers SYSTEM. CVE-2025-50177 (Windows MSMQ) : use-after-free avec condition de course exploitée à distance (vecteur réseau) mais à haute complexité. CVE-2025-57833 (Django) : mauvaise sanitisation des alias de colonnes dans FilteredRelation/QuerySet, conduisant à injection SQL pouvant atteindre une RCE sur PostgreSQL via COPY…TO PROGRAM. • Exploitation observée et disponibilité d’exploits ...