Faille BitLocker YellowKey : le correctif est disponible
depuis juin 2026, mais une seconde faille a suivi.
Ce qu’il faut vérifier et configurer sur un PC Windows 11 chiffré.
Le chiffrement n’a pas été cassé. Il a été contourné, ce qui est très différent. L’attaque exploite un composant de l’environnement de récupération qui, lui, dispose déjà d’un accès légitime au disque déverrouillé.
Ce qui s’est passé, et où on en est
L’affaire s’est déroulée en un mois, et l’essentiel s’est joué après la publication initiale.
Le 12 mai 2026, un chercheur en sécurité publie l’existence de la vulnérabilité accompagnée d’une preuve de concept fonctionnelle, sans avoir prévenu l’éditeur au préalable. La faille reçoit le nom de YellowKey.
Le 19 mai, Microsoft reconnaît le problème, lui attribue l’identifiant CVE-2026-45585 avec un score de gravité de 6,8, et publie des mesures d’atténuation en l’absence de correctif.
En juin 2026, le correctif arrive dans la mise à jour de sécurité mensuelle, un lot qui comportait environ deux cents vulnérabilités corrigées. La parade temporaire n’a plus à être maintenue après application du correctif, mais elle n’a pas besoin d’être annulée non plus.
Cette séquence explique pourquoi les articles publiés en mai décrivent une situation qui n’est plus la bonne. Ils indiquaient qu’aucun correctif n’existait et qu’aucune date n’avait été communiquée, ce qui était exact au moment de leur rédaction.
Où se situe réellement la faille
Le point le plus important à comprendre, et celui que les titres alarmistes gomment : le chiffrement de BitLocker n’a pas été cassé. Les algorithmes cryptographiques restent intacts, et personne n’a trouvé le moyen de déchiffrer un disque sans la clé.
La faiblesse se situe ailleurs, dans l’environnement de récupération de Windows. Ce module discret sert à réparer un système qui ne démarre plus, et il a pour cela besoin d’accéder au disque déverrouillé. C’est une nécessité fonctionnelle, pas une négligence.
La vulnérabilité tient à un composant de cet environnement, un utilitaire de récupération de système de fichiers, dont le comportement pouvait être détourné pour obtenir une invite de commandes alors que le volume était déjà accessible. Autrement dit, l’attaquant n’ouvre pas le coffre : il entre pendant que la porte est ouverte pour la maintenance.
Une condition reste indispensable : un accès physique à la machine. Aucune exploitation à distance n’est possible. C’est ce qui limite le risque pour un poste fixe surveillé, et ce qui l’aggrave pour un ordinateur portable en déplacement.
Cette distinction a une conséquence pratique importante. Un disque retiré de son ordinateur et branché sur une autre machine reste illisible : le chiffrement fonctionne parfaitement dans ce scénario, qui reste le plus courant en cas de vol. L’attaque suppose au contraire de garder la machine entière, avec sa carte mère et sa puce de sécurité, puisque c’est précisément le processus de démarrage normal qui est détourné. Un voleur opportuniste ne dispose ni du temps ni des connaissances nécessaires ; un accès ciblé et prolongé à un poste identifié, si.
Qui est concerné
Les systèmes visés
Windows 11 dans ses versions 24H2, 25H2 et 26H1 pour architectures 64 bits, ainsi que Windows Server 2025, y compris en installation minimale. Certaines analyses mentionnent également Windows Server 2022.
Windows 10 n’est pas affecté par cette vulnérabilité précise, contrairement à ce qui a circulé. Le composant en cause n’existe pas sous la même forme dans cette version.
La configuration en cause
Le facteur déterminant n’est pas la version de Windows mais le mode de protection retenu : BitLocker en mode puce de sécurité seule, sans code d’authentification au démarrage.
C’est la configuration par défaut sur la grande majorité des ordinateurs vendus en magasin, celle qui permet un démarrage transparent sans rien saisir. C’est aussi celle que beaucoup d’organisations considèrent comme suffisante.
Une machine configurée avec un code d’authentification au démarrage n’était pas exposée, avant même le correctif.
Un cas mérite une attention particulière : l’ordinateur portable professionnel. Un poste laissé dans une chambre d’hôtel, un bureau partagé ou un véhicule offre exactement la fenêtre d’accès physique dont ce type d’attaque a besoin. Le chiffrement du disque était précisément la mesure censée protéger ces situations, ce qui rend le contournement d’autant plus significatif.
Ce qu’il faut faire maintenant
Quatre actions, par ordre de priorité décroissante.
Installer les mises à jour de sécurité. Celles de juin 2026 corrigent la vulnérabilité signalée. Vérifier dans les paramètres que le poste est à jour, et que les mises à jour automatiques n’ont pas été suspendues, ce qui arrive plus souvent qu’on ne le croit sur les machines professionnelles.
Passer au mode avec code d’authentification. C’est la protection structurelle, indépendante des correctifs successifs. Elle se configure depuis le panneau de configuration, par ligne de commande, ou par stratégie centralisée dans une organisation.
Protéger l’accès au micrologiciel. Un mot de passe défini au niveau du BIOS ou de l’UEFI empêche de modifier l’ordre de démarrage et d’accéder aux environnements de maintenance. C’est une mesure simple, rarement appliquée, et efficace contre toute la famille d’attaques concernée.
Vérifier la sauvegarde de la clé de récupération. Activer un code d’authentification suppose de pouvoir récupérer l’accès en cas d’oubli. Sans clé de secours accessible, un renforcement de sécurité peut se transformer en perte définitive de données.
Le mode TPM avec code, la vraie protection
Cette configuration mérite une explication, car elle constitue la réponse la plus durable à cette famille de vulnérabilités.
En mode par défaut, la puce de sécurité intégrée libère automatiquement la clé de déchiffrement lorsqu’elle constate que le système démarre dans un état attendu. Rien n’est demandé à l’utilisateur, ce qui explique le confort de ce réglage.
En ajoutant un code d’authentification, la clé n’est libérée qu’après saisie de ce code, avant même le chargement du système. L’environnement de récupération ne peut donc pas être atteint avec un volume déjà déverrouillé, ce qui coupe le mécanisme à sa racine.
Le compromis est réel et il faut l’assumer : un code à saisir à chaque démarrage. Sur un poste fixe utilisé en permanence, la contrainte est négligeable. Sur un parc de plusieurs centaines de machines, elle génère des appels au support et suppose une procédure de réinitialisation.
Une alternative existe pour les organisations qui ne peuvent pas imposer un code : le déverrouillage réseau, qui autorise un démarrage transparent uniquement lorsque la machine se trouve sur le réseau interne, et exige une authentification partout ailleurs. La mise en œuvre est plus lourde, mais elle préserve le confort des utilisateurs sédentaires tout en protégeant les postes nomades.
Les deux failles qui ont suivi
L’histoire ne s’arrête pas au correctif de juin, et c’est ce qui rend le sujet préoccupant au-delà du cas initial.
- Une seconde vulnérabilité BitLocker a été publiée dans le même lot de correctifs de juin, sous un identifiant distinct et avec un score de gravité identique. Elle relève d’une absence de vérification d’authentification sur une fonction critique, et permet également, avec un accès physique, de contourner le chiffrement. Elle touche les configurations sans code d’authentification sous Windows 10 comme Windows 11 et les versions serveur récentes.
- Une méthode de contournement de la parade temporaire a été rendue publique, démontrant que la mesure d’atténuation diffusée en mai pouvait elle-même être neutralisée. Elle ne disposait pas d’identifiant officiel à sa publication.
S’y ajoute un antécédent direct : un ensemble de quatre vulnérabilités visant le même environnement de récupération avait été révélé et corrigé en 2025, celles-ci par les équipes internes de l’éditeur.
Deux familles distinctes de contournement passant par l’environnement de récupération en moins de douze mois : c’est ce signal qui compte, davantage que chaque faille prise séparément.
La conclusion pratique est simple. Compter sur les correctifs successifs pour protéger un poste chiffré revient à courir en permanence derrière une surface d’attaque qui n’a pas fini d’être explorée. La configuration renforcée, elle, résiste à toute cette famille.
Le débat sur la divulgation
Un différend a accompagné cette affaire, et il illustre une tension permanente du secteur.
L’éditeur a déclaré publiquement que la preuve de concept avait été rendue publique en violation des bonnes pratiques de divulgation coordonnée. La formulation, inhabituellement directe dans un avis de sécurité, traduit un agacement réel.
Le chercheur a justifié sa démarche par la lenteur du traitement des signalements, invoquant la volonté de forcer une réaction rapide. Il avait déjà procédé de la même manière pour plusieurs vulnérabilités antérieures.
Les deux positions ont leur logique. La divulgation coordonnée laisse le temps de corriger avant que les attaquants ne soient informés. La publication immédiate accélère la réaction mais expose les utilisateurs pendant la période intermédiaire. Dans le cas présent, la reconnaissance officielle est intervenue une semaine après la publication, et le correctif un mois plus tard.
Ce que ce cas révèle
L’enseignement dépasse largement une vulnérabilité particulière, et il vaut pour toute organisation qui chiffre ses postes.
Le chiffrement de disque protège contre un scénario précis : la perte ou le vol d’une machine éteinte. Il ne protège pas contre un accès physique prolongé à un poste dont la configuration facilite le démarrage automatique.
Or la configuration par défaut, celle qui privilégie le confort et le démarrage sans saisie, est aussi celle qui laisse le plus de surface. Les organisations qui l’ont retenue l’ont fait pour de bonnes raisons pratiques, sans nécessairement mesurer le compromis.
La question à se poser n’est donc pas de savoir si un outil est fiable, mais si sa configuration correspond au risque réel. Cette évaluation vaut pour tous les dispositifs de protection, y compris ceux fournis par défaut, comme le rappelle le cas des antivirus imposés par certains fournisseurs d’accès.
Ce constat s’inscrit dans un contexte où les données d’entreprise circulent de plus en plus, entre postes nomades, prestataires et infrastructures partagées, avec les conséquences documentées dans notre article sur le vol de plans industriels subi par un sous-traitant. Les données ainsi obtenues alimentent ensuite des fraudes très personnalisées, du type de celles décrites dans notre analyse des faux appels bancaires ou des sollicitations abusives que nous détaillons dans notre guide sur le démarchage téléphonique. Pour d’autres actualités techniques, nos articles sur la refonte du navigateur Vivaldi et sur notre sélection de liseuses restent disponibles, de même que nos retours clients et notre page contact.
Faille BitLocker : les réponses essentielles.
Un correctif existe-t-il ?
Oui. Après une reconnaissance officielle le 19 mai 2026 sous l’identifiant CVE-2026-45585 et la publication de mesures d’atténuation, le correctif est arrivé dans la mise à jour de sécurité de juin 2026. Installer les mises à jour reste l’action prioritaire.
Le chiffrement a-t-il été cassé ?
Non. Les algorithmes cryptographiques restent intacts. La faille se situe dans l’environnement de récupération de Windows, qui dispose d’un accès légitime au disque déverrouillé pour réparer un système défaillant. L’attaque contourne la protection, elle ne la casse pas.
Un accès à distance est-il possible ?
Non. Un accès physique à la machine est indispensable. Cela limite le risque pour un poste fixe surveillé et l’accroît nettement pour un ordinateur portable laissé sans surveillance en déplacement.
Quelles versions sont concernées ?
Windows 11 dans ses versions 24H2, 25H2 et 26H1 en 64 bits, ainsi que Windows Server 2025 et, selon certaines analyses, Windows Server 2022. Windows 10 n’est pas affecté par cette vulnérabilité précise, contrairement à ce qui a circulé.
Faut-il désactiver BitLocker ?
Surtout pas. Un disque non chiffré s’ouvre sans aucune manipulation particulière, en le branchant simplement sur une autre machine. La bonne réponse consiste à mettre à jour le système et à renforcer la configuration.
La puce de sécurité suffit-elle ?
Non, et cette distinction a souvent été mal comprise. C’est l’ajout d’un code d’authentification au démarrage qui apporte la protection : la clé n’est alors libérée qu’après saisie, ce qui empêche d’atteindre l’environnement de récupération avec un volume déjà déverrouillé.
Le problème est-il réglé ?
Partiellement. Une seconde vulnérabilité BitLocker a été publiée dans le même lot de correctifs de juin, et une méthode contournant la parade temporaire de mai a été rendue publique. Deux familles de contournement via l’environnement de récupération en moins de douze mois.
Que faire avant d’activer un code ?
Vérifier que la clé de récupération est sauvegardée et accessible. Sans elle, un oubli du code d’authentification peut rendre les données définitivement inaccessibles. Un renforcement mal préparé transforme une mesure de sécurité en risque de perte.
- Microsoft Security Response Center — Avis officiel et mesures d’atténuation
- Help Net Security — Reconnaissance de la vulnérabilité et périmètre affecté
- Eclypsium — Analyse technique du mécanisme et comparaison avec les précédents
- The Hacker News — Versions concernées et position de l’éditeur sur la divulgation
- Microsoft Learn — Documentation de configuration de BitLocker
WY-Créations analyse les évolutions du web et de la cybersécurité. Les vulnérabilités décrites font l’objet de correctifs successifs et la situation peut évoluer ; les avis officiels de l’éditeur font foi. Pour une configuration en environnement professionnel, l’appui d’un administrateur système reste recommandé. Pour aller plus loin : toutes les actualités web.
Un outil de sécurité mal configuré protège surtout votre tranquillité d’esprit.
WY-Créations accompagne les entreprises sur leurs sites, leurs outils et leurs usages numériques depuis 2018.