Connexion
YellowKey : Microsoft publie une mitigation pour le zero-day BitLocker (CVE-2026-45585)
Quelques jours après la publication publique du PoC YellowKey, Microsoft réagit enfin en publiant des mesures de mitigation temporaires pour limiter les risques d’exploitation de cette faille BitLocker désormais suivie sous l’identifiant CVE-2026-45585.
Cette vulnérabilité permet de contourner certaines protections BitLocker sur Windows 11 et Windows Server en exploitant l’environnement de récupération Windows (WinRE).
YellowKey exploite WinRE pour contourner BitLocker
Comme nous l’évoquions dans notre précédent article, YellowKey permettrait à un attaquant disposant d’un accès physique :
- de démarrer dans WinRE
- d’utiliser des fichiers spécialement préparés
- puis d’obtenir un accès aux volumes BitLocker sans clé de récupération
Le PoC publié par le chercheur Nightmare-Eclipse (également connu sous le nom Chaotic Eclipse) exploite notamment des mécanismes Transactional NTFS et certains comportements du système de récupération Windows.
Microsoft confirme désormais officiellement le problème et attribue le CVE-2026-45585 à cette faille.
Microsoft recommande de désactiver autofstx.exe
Le point technique le plus intéressant concerne la mitigation proposée par Microsoft.
La firme recommande de supprimer l’entrée autofstx.exe de la clé de registre BootExecute utilisée par le Session Manager Windows.
Concrètement, autofstx.exe correspond au composant FsTx Auto Recovery Utility utilisé dans WinRE pour rejouer certaines transactions NTFS pendant les opérations de récupération système.
Selon plusieurs analyses sécurité, YellowKey exploiterait justement ce mécanisme Transactional NTFS afin :
- de manipuler certains fichiers système
- de supprimer
winpeshl.ini - puis d’obtenir une invite de commande non restreinte dans WinRE
En désactivant autofstx.exe, Microsoft bloque donc une partie importante de la chaîne d’exploitation.
Microsoft recommande aussi TPM + PIN
Autre point important : Microsoft recommande désormais explicitement d’utiliser BitLocker avec une configuration TPM + PIN plutôt que TPM seul.
Aujourd’hui, beaucoup de PC Windows 11 utilisent BitLocker en mode TPM-only :
- le TPM déverrouille automatiquement le disque au boot
- aucun code PIN n’est demandé
- l’expérience utilisateur reste transparente
Le problème est que ce mode devient plus vulnérable aux attaques physiques ou aux manipulations du processus de démarrage.
Avec TPM + PIN :
- un code doit être saisi avant le boot Windows
- le TPM seul ne suffit plus
- l’attaque YellowKey devient beaucoup plus difficile à exploiter
Microsoft recommande aussi :
- de protéger l’UEFI/BIOS par mot de passe
- de verrouiller l’ordre de boot
- de limiter le démarrage USB
- de surveiller les accès WinRE inhabituels
Pourquoi Microsoft ne publie pas encore de correctif
Pour le moment, aucun patch complet n’est disponible.
Microsoft explique travailler sur une mise à jour de sécurité future mais préfère publier immédiatement des mitigations afin de réduire les risques pendant la période de vulnérabilité publique.
Le contexte est compliqué car :
- le PoC a déjà été publié
- plusieurs chercheurs ont reproduit la faille
- les exploitations pourraient rapidement apparaître
- BitLocker est activé par défaut sur beaucoup de PC Windows 11
Microsoft précise toutefois qu’aucune exploitation active massive n’a encore été observée pour le moment.
Une série de zero-days Windows publiés publiquement
YellowKey s’inscrit dans une série inhabituelle de divulgations publiques réalisées par Nightmare-Eclipse depuis plusieurs semaines :
- BlueHammer
- RedSun
- GreenPlasma
- MiniPlasma
- UnDefend
- YellowKey
Plusieurs de ces PoC visent :
- les privilèges SYSTEM
- BitLocker
- WinRE
- les protections Windows historiques
Le chercheur accuse Microsoft d’avoir ignoré certains rapports de vulnérabilités, ce qui aurait conduit à ces divulgations publiques après Patch Tuesday.
Pour approfondir ces sujets, consultez ces actualités :
Sources :
L’article YellowKey : Microsoft publie une mitigation pour le zero-day BitLocker (CVE-2026-45585) est apparu en premier sur malekal.com.
