Des chercheurs ont réussi à contourner les défenses les plus robustes de Windows 11 en utilisant uniquement un logiciel ; les attaques de ce type nécessitaient auparavant un tournevis et un accès physique à la machine.
Des experts ont démontré que les systèmes de sécurité les plus performants de Windows 11 peuvent être contournés par un attaquant qui ne touche jamais l’ordinateur cible.
Lors du symposium USENIX sur la sécurité 2026 à Baltimore, des chercheurs des universités de Birmingham et de Durham ont présenté leurs conclusions, révélant une faille majeure dans les hypothèses de confiance qui sous-tendent la sécurité moderne de Windows.
Leurs recherches primées démontrent que certains modules de mémoire grand public permettent à un attaquant de contourner les protections de sécurité de Windows, sans accès physique à la machine. Cette attaque, baptisée « Download More RAM » ou « Téléchargement de RAM supplémentaire », exploite le fait que de nombreux modules de mémoire DIMM (Dual In-line Memory Module) ne disposent d’aucune protection en écriture sur la puce de configuration qui indique à l’ordinateur la quantité de mémoire installée.
Notre technique exploite le fait que tous les processus partagent la même mémoire pour contourner les mesures de sécurité les plus robustes de Windows. Auparavant, ce type d’attaque nécessitait un tournevis et un accès physique à la machine. Celle-ci ne requiert qu’un script. Cela change tout : qui peut l’exécuter et quelle est son étendue. Professeur Tom Chothia Professeur de cybersécurité
En modifiant cette configuration par logiciel, un attaquant peut faire en sorte que la machine « voie » deux fois plus de mémoire qu’elle n’en possède réellement. Ceci révèle des adresses supplémentaires qui deviennent des alias des adresses réelles, créant ainsi une porte dérobée vers la mémoire qui contourne tous les contrôles d’accès mis en place par le système d’exploitation et le processeur.
Le professeur Tom Chothia, de l’université de Birmingham, a déclaré : « Nos travaux exploitent le fait que tous les processus partagent la même mémoire pour contourner les mesures de sécurité les plus robustes de Windows. Les attaques de ce type nécessitaient auparavant un tournevis et un accès physique à la machine. Celle-ci ne requiert qu’un script. Cela change tout : qui peut l’exécuter et quelle est son étendue. »
En créant des « alias de mémoire », les chercheurs ont démontré avec succès qu’un attaquant peut :
- Réactiver des centaines de pilotes vulnérables connus et bannis, utilisés dans des campagnes de logiciels malveillants et de rançongiciels antérieures.
- Désactivez les logiciels antivirus et de détection et de réponse aux terminaux (EDR), qui surveillent en permanence les ordinateurs, les téléphones et les serveurs pour suivre l’activité et stopper les cyberattaques.
- Pénétrer dans les enclaves de sécurité basées sur la virtualisation (VBS) – décrypter les secrets des environnements les plus isolés de Microsoft.
- Déjouer la gestion des appareils d’entreprise – compromettre les machines verrouillées par des stratégies de groupe reproduisant un déploiement typique d’entreprise ou d’université.
- Contourner les systèmes anti-triche du jeu au niveau du noyau – désactiver les mécanismes de détection qui n’ont pas réussi à empêcher la falsification sous-jacente.
Bien que la mauvaise configuration de la RAM ait initialement posé un problème de fiabilité, cette attaque démontre l’importance d’adopter et de vérifier les mesures de sécurité, même lorsque le vecteur d’exploitation n’est pas clairement identifié par les fournisseurs. Dans ce cas précis, Microsoft VBS a fait preuve d’une confiance aveugle dans une solution qui reposait sur des bases fragiles. Sam Collins Étudiant chercheur
L’équipe a également conçu un script exécutable en un clic permettant de réaliser toute une série d’actions d’attaque (création d’alias de mémoire, redémarrage et désactivation de l’antivirus) sans aucune interaction de l’utilisateur, démontrant ainsi que l’attaque est adaptée aux campagnes automatisées à grande échelle.
Le professeur Chothia a ajouté : « Il s’agit d’un nouveau vecteur d’attaque que Microsoft semble avoir complètement négligé, permettant aux attaquants de contourner la défense la plus robuste que Windows puisse offrir. »
Sam Collins, de l’Université de Birmingham et principal auteur de l’étude, a déclaré : « Si la mauvaise configuration de la RAM était initialement un problème de fiabilité, cette attaque démontre l’importance d’adopter et de vérifier les mesures de sécurité, même lorsque le vecteur d’exploitation n’est pas clairement identifié par les fournisseurs. Dans ce cas précis, Microsoft VBS a fait preuve d’une confiance aveugle dans une solution qui reposait sur des bases fragiles. »
Les chercheurs ont examiné les modules de mémoire DDR4 et DDR5 grand public et ont constaté que trois fabricants – Corsair, G.Skill et ADATA – livrent au moins une gamme de produits avec la puce de configuration totalement non protégée, contrairement aux recommandations du Joint Electron Device Engineering Council (JEDEC).
Ensemble, ces fournisseurs représentent 55 % du marché de la mémoire grand public haute performance et plus de 70 % du segment gaming. Il a été constaté que les modules de Crucial, Kingston et HyperX, ainsi que certaines gammes G.Skill, utilisent une protection en écriture partielle, suffisante pour bloquer l’attaque.
Windows fait une promesse forte : même un attaquant disposant de droits d’administrateur ne peut pas accéder au noyau sécurisé. Or, nous avons constaté que cette promesse repose sur l’hypothèse que la mémoire est fiable ; avec une grande partie de la mémoire réellement achetée, ce n’est pas le cas. Dr Marius Muench, professeur adjoint
Des chercheurs ont réussi à lire et à modifier n’importe quelle zone de la mémoire du système, y compris celle que Windows garantit comme inaccessible, même au système d’exploitation lui-même. Cette faille compromet non seulement VBS, mais aussi l’intégrité du code appliquée par l’hyperviseur (HVCI), une technologie conçue par Microsoft pour protéger Windows contre les attaques, même celles d’utilisateurs disposant de droits d’administrateur.
Le Dr Marius Muench, de l’Université de Birmingham, a déclaré : « L’attaque « Download More RAM » démontre une fois de plus l’importance de comprendre les systèmes, notamment en matière de garanties de sécurité. Si une couche inférieure est compromise, c’est tout le système qui est menacé. »
« Windows fait une promesse forte : même un attaquant disposant de droits d’administrateur ne peut pas toucher au noyau sécurisé. Nous avons constaté que cette promesse repose sur l’hypothèse que votre mémoire est fiable ; or, pour une grande partie de la mémoire réellement achetée, ce n’est pas le cas. »
Divulgation coordonnée
Ce travail respecte les pratiques de divulgation coordonnée : tous les fournisseurs concernés ont été informés avec tous les détails techniques bien avant la publication.
Microsoft a pris acte des conclusions de l’équipe, a attribué la CVE-2026-23670 et a publié des correctifs dans ses mises à jour de sécurité d’avril 2026. Les machines Windows avec SecureBoot activé sont protégées contre cette attaque dans sa forme actuelle. Les machines sans SecureBoot restent vulnérables, et l’équipe de recherche recommande aux utilisateurs de s’assurer que SecureBoot est activé.
Corsair a ajouté une fonctionnalité à son logiciel iCue permettant aux utilisateurs d’activer a posteriori la protection en écriture sur leurs modules de mémoire, comblant ainsi la faille au niveau matériel. L’outil gratuit HWinfo a également intégré cette fonctionnalité, offrant une solution de contournement pour les modèles non Corsair. Certaines cartes mères proposent une option dans le BIOS permettant de bloquer les écritures sur les puces de configuration de la mémoire ; les utilisateurs peuvent l’activer à titre de mesure provisoire.
