Faille CVE-2026-40369 dans Windows 11 :
un programme sans droits administrateur peut atteindre le noyau et élever ses privilèges.
Microsoft a corrigé CVE-2026-40369 le 12 mai 2026. La vulnérabilité est classée « élevée » avec un score CVSS de 7,8, et non « critique » au sens de la classification Microsoft. Elle concerne Windows 11 24H2, 25H2 et 26H1 ainsi que Windows Server 2025. Le correctif de mai a lui-même rencontré un problème d’installation sur certains PC, mais Microsoft a depuis publié une résolution.
CVE-2026-40369 : ce que permet réellement la faille du noyau Windows
CVE-2026-40369 est une vulnérabilité d’élévation de privilèges dans le noyau Windows. Microsoft l’a rendue publique lors du Patch Tuesday du 12 mai 2026. Sa fiche officielle la classe avec une sévérité élevée et un score CVSS 3.1 de 7,8 sur 10. Cette précision compte : parler d’une « faille critique » traduit bien la gravité potentielle d’une prise de contrôle, mais la qualification officielle publiée pour cette CVE est « High », et non « Critical ».
L’attaque ne donne pas spontanément le contrôle d’un ordinateur à n’importe quel internaute situé à distance. Le vecteur CVSS est local : l’attaquant doit déjà être en mesure de faire exécuter du code dans un contexte faiblement privilégié. En revanche, une fois cette première étape obtenue, la vulnérabilité permet de franchir une frontière de sécurité essentielle entre un processus limité et le noyau du système.
Le noyau est la partie centrale de Windows. Il gère la mémoire, les processus, les pilotes, les ressources matérielles et les mécanismes qui séparent les niveaux de privilèges. Un programme ordinaire n’est donc pas censé pouvoir écrire librement dans sa mémoire. CVE-2026-40369 rend précisément possible une opération d’écriture qui peut ensuite être transformée en élévation de privilèges.
Le chercheur Ori Nimron a publié une preuve de concept technique montrant qu’un processus non administrateur pouvait atteindre la primitive vulnérable. D’autres chercheurs, notamment VoidSec, ont ensuite détaillé une chaîne permettant de passer d’un processus de niveau moyen à NT AUTHORITY\SYSTEM. SYSTEM dispose de privilèges supérieurs à ceux d’un compte administrateur Windows classique pour de nombreuses opérations internes.
Une fois SYSTEM obtenu, un code malveillant peut théoriquement modifier des éléments protégés, installer des mécanismes de persistance, manipuler des comptes ou accéder à des données normalement inaccessibles au processus initial. Ce sont des conséquences possibles d’une exploitation réussie ; elles ne signifient pas que tous les PC vulnérables ont été compromis.
La nuance est la même que pour d’autres campagnes de sécurité : une vulnérabilité exploitable et une attaque effectivement observée à grande échelle sont deux informations différentes. Pour comprendre cette distinction dans un autre contexte, WY-Créations suit également le botnet KimWolf et les appareils compromis, où l’existence d’une infrastructure d’attaque doit être séparée de l’exposition théorique d’un équipement.
Pourquoi une écriture dans la mémoire du noyau Windows est si sensible
La vulnérabilité se situe autour de la fonction système NtQuerySystemInformation et du traitement interne ExpGetProcessInformation. Les recherches publiques décrivent un problème de validation d’un pointeur fourni par un processus utilisateur. Dans une combinaison particulière de paramètres, Windows peut poursuivre un traitement alors que la longueur transmise vaut zéro.
La conséquence technique est une primitive d’écriture limitée mais exploitable dans la mémoire du noyau. Le code vulnérable peut modifier une zone de douze octets liée à l’adresse choisie par l’attaquant. Pris isolément, cela paraît très restreint. En exploitation de vulnérabilités, une capacité d’écriture contrôlée dans le noyau peut cependant devenir une brique extrêmement puissante lorsqu’elle est combinée à la connaissance de la structure mémoire et à d’autres techniques.
Le chercheur qui a publié la preuve de concept explique que la vérification ProbeForWrite ne produit pas le contrôle attendu lorsque la longueur vaut zéro. Une fonction interne constate ensuite que la longueur est insuffisante, mais ne quitte pas immédiatement le traitement avant certaines écritures. C’est ce décalage logique qui crée la primitive.
La fiche CVE de Microsoft a évolué dans sa description au fil des mises à jour. Les bases publiques ont notamment repris les notions d’« untrusted pointer dereference » et de problème mémoire dans le noyau. Pour le lecteur non spécialiste, l’essentiel n’est pas la terminologie exacte de bas niveau : une donnée provenant d’un contexte non privilégié peut influencer une écriture dans un espace qui devrait être strictement protégé.
Cette vulnérabilité est donc différente d’un vol de mot de passe ou d’un fichier piégé qui dérobe directement des données. Elle sert surtout à augmenter la puissance d’un code déjà présent. Dans une chaîne d’attaque, le premier composant obtient l’exécution ; CVE-2026-40369 permet ensuite de sortir du niveau de privilèges initial et d’atteindre le cœur du système.
Cette logique de chaîne est fréquente en cybersécurité moderne. Un attaquant n’a pas toujours besoin d’une seule faille capable de tout faire. Plusieurs faiblesses plus spécialisées peuvent être assemblées : l’une déclenche du code, une autre contourne une isolation, une troisième élève les privilèges. C’est pourquoi les mises à jour du système, du navigateur et des applications doivent être considérées ensemble.
Windows 11 24H2, 25H2, 26H1 et Windows Server 2025 sont concernés
Les informations publiées pour CVE-2026-40369 identifient plusieurs branches récentes de Windows : Windows 11 version 24H2, Windows 11 version 25H2, Windows 11 version 26H1 et Windows Server 2025, y compris l’installation Server Core. Les systèmes x64 et ARM64 sont concernés selon les éditions.
Pour Windows 11 24H2, les versions antérieures au build 26100.8457 sont indiquées comme vulnérables. Pour Windows 11 25H2, la limite correspond au build 26200.8457. Les informations de vulnérabilité publiées mentionnent également Windows 11 26H1 avant le build 28000.2113.
Une affirmation du fichier initial devait donc être corrigée : Windows 10 n’est pas simplement à présenter comme « potentiellement vulnérable » sans confirmation. Les données officielles associées à CVE-2026-40369 listent les versions affectées et Windows 10 n’y figure pas. Ajouter Windows 10 par prudence créerait une information non vérifiée.
Le fait qu’une version ne figure pas dans la liste de cette CVE ne signifie évidemment pas qu’elle est exempte de vulnérabilités. Cela signifie seulement qu’elle n’est pas identifiée comme produit affecté par CVE-2026-40369. Chaque faille possède son propre périmètre.
Les entreprises qui gèrent un parc informatique doivent raisonner en numéro de version et en build plutôt qu’en simple nom « Windows 11 ». Deux ordinateurs portant la même marque Windows 11 peuvent appartenir à des branches différentes et ne pas recevoir exactement le même package cumulatif.
La question des versions devient d’autant plus importante que Microsoft fait évoluer rapidement Windows. Les changements touchent aussi la sécurité des comptes et des usages numériques. WY-Créations suit parallèlement les évolutions de confidentialité, notamment les déductions que l’intelligence artificielle peut produire à partir des publicités vues par un utilisateur et les nouvelles limites de contacts bloqués annoncées dans iOS 26.6.
KB5089549 : le correctif de mai 2026 et le problème d’installation désormais résolu
Microsoft a corrigé CVE-2026-40369 dans les mises à jour de sécurité de mai 2026. Pour Windows 11 24H2 et 25H2, la mise à jour cumulative KB5089549 a été publiée le 12 mai et porte les builds respectifs à 26100.8457 et 26200.8457. Elle ne corrige pas uniquement cette CVE : comme toute mise à jour cumulative mensuelle, elle regroupe plusieurs corrections de sécurité et améliorations.
Le fichier initial indiquait que certains PC refusaient d’installer la mise à jour. Cette information était exacte au moment de la publication, mais elle doit être actualisée. Microsoft a reconnu le 15 mai un échec d’installation avec l’erreur 0x800f0922 sur certains appareils dont la partition système EFI disposait de très peu d’espace libre, en particulier 10 Mo ou moins.
Le scénario observé était caractéristique : l’installation avançait, le PC redémarrait, puis l’opération échouait autour de 35 à 36 % avant l’annulation des modifications. Ce problème ne venait donc pas d’un défaut du correctif CVE lui-même, mais d’une contrainte d’espace dans la partition EFI lors de la maintenance des fichiers de démarrage.
Depuis le 29 mai 2026, Microsoft indique que ce problème est résolu par KB5089573. Il n’est donc plus exact, en septembre 2026, de présenter l’échec de KB5089549 comme un problème toujours sans solution. Les utilisateurs concernés doivent laisser Windows Update appliquer les mises à jour cumulatives plus récentes plutôt que chercher à rester volontairement sur le package de mai.
C’est un point essentiel du fonctionnement de Windows Update : une mise à jour cumulative récente inclut les correctifs de sécurité précédents applicables à la même branche. En septembre, l’objectif n’est pas de rechercher à tout prix KB5089549 si le PC a déjà reçu des mises à jour cumulatives ultérieures. Il faut vérifier que Windows Update est à jour et que le numéro de build est postérieur au niveau corrigé.
Microsoft signale par ailleurs un autre chantier de 2026 : l’expiration progressive de certificats Secure Boot à partir de juin. L’entreprise déploie de nouveaux certificats de manière contrôlée via Windows Update. Ce sujet est distinct de CVE-2026-40369, mais il renforce la même conclusion pratique : désactiver les mises à jour pour éviter un incident ponctuel expose à des problèmes de sécurité plus importants.
Le principe vaut également pour les applications mobiles. Lorsqu’un logiciel est retiré ou identifié comme dangereux, les plateformes renforcent progressivement leurs alertes, comme l’explique l’évolution des alertes Google lorsqu’une application Android est retirée du Play Store.
Quel est le risque réel pour un PC Windows non mis à jour ?
Le risque doit être évalué sans minimisation ni dramatisation. CVE-2026-40369 offre un impact technique potentiellement total après exploitation : confidentialité, intégrité et disponibilité sont toutes notées à un niveau élevé dans le vecteur CVSS. Un attaquant capable de transformer la primitive en élévation de privilèges peut atteindre SYSTEM.
Mais le scénario exige une première capacité d’exécution locale. Un ordinateur simplement connecté à Internet n’est pas automatiquement compromis par l’existence de la faille. Le danger augmente si un logiciel malveillant, une pièce jointe, une autre vulnérabilité ou une compromission de navigateur permet déjà à l’attaquant d’exécuter du code.
Le score de 7,8 reflète précisément ce mélange : l’impact final est élevé, la complexité d’exploitation est considérée comme faible, mais le vecteur est local et de faibles privilèges sont requis. Il faut donc la corriger rapidement sans la présenter comme une faille réseau universelle.
Autre élément important en septembre 2026 : aucune source publique de référence consultée n’indique que CVE-2026-40369 figure dans le catalogue CISA des vulnérabilités connues comme activement exploitées. Des preuves de concept publiques existent, ce qui augmente la possibilité de réutilisation par des attaquants, mais preuve de concept et campagne d’exploitation massive ne sont pas synonymes.
La publication de code de démonstration change néanmoins le niveau d’urgence pour les machines qui seraient encore vulnérables plusieurs mois après le correctif. Un attaquant n’a plus besoin de découvrir seul la faiblesse. Il peut étudier des recherches techniques publiques et tenter de les intégrer à une chaîne adaptée à sa cible.
Pour un particulier, la meilleure réponse reste donc simple : maintenir Windows et les logiciels à jour, utiliser Microsoft Defender ou une protection équivalente, éviter les exécutables provenant de sources inconnues et ne pas désactiver les mécanismes de sécurité pour résoudre un problème de compatibilité sans comprendre les conséquences.
Pour une entreprise, l’enjeu est plus large. Il faut vérifier les builds réellement déployés, surveiller les échecs Windows Update et traiter les postes qui restent en retard. Une vulnérabilité corrigée depuis plusieurs mois devient souvent plus dangereuse pour les machines oubliées, précisément parce que la documentation technique disponible augmente avec le temps.
Comment vérifier que son PC Windows 11 est protégé contre CVE-2026-40369
La première vérification consiste à ouvrir Paramètres, Windows Update, puis à rechercher les mises à jour. En septembre 2026, un PC correctement maintenu doit normalement avoir dépassé depuis longtemps les builds de mai qui ont corrigé CVE-2026-40369. Il n’est donc pas nécessaire de retrouver exactement KB5089549 dans l’historique si des mises à jour cumulatives ultérieures ont été installées.
Pour connaître précisément la version, la commande winver permet d’afficher l’édition, la version et le build de Windows. Sur Windows 11 24H2, le niveau corrigé commence à 26100.8457 ; sur Windows 11 25H2, à 26200.8457. Un build supérieur appartenant à la même branche intègre normalement le correctif cumulatif.
Si Windows Update affiche l’erreur 0x800f0922, il ne faut plus se limiter aux anciens conseils publiés juste après le Patch Tuesday de mai. Microsoft a documenté le problème d’espace de la partition EFI et l’a résolu avec une mise à jour ultérieure. L’action prioritaire consiste à installer les mises à jour disponibles et à consulter l’état de la version Windows si l’échec persiste.
Évitez de redimensionner ou modifier manuellement une partition EFI sans sauvegarde ni maîtrise technique. Une erreur sur cette partition peut empêcher le démarrage de Windows. Pour un poste professionnel ou une machine contenant des données importantes, une intervention encadrée est préférable à une manipulation improvisée trouvée sur un forum.
Microsoft Defender doit également rester actif et à jour. Un antivirus ne « corrige » pas une vulnérabilité du noyau, mais il peut bloquer certains composants utilisés pour atteindre la phase d’exploitation. Les protections fonctionnent en couches : mise à jour du système, navigateur, filtrage des téléchargements, antivirus, authentification et sauvegardes.
Enfin, une compromission supposée ne se diagnostique pas uniquement en lançant une analyse rapide. Si un exécutable suspect a été lancé sur une machine vulnérable, il faut considérer le contexte : comptes utilisés, données accessibles, connexions réseau, alertes de sécurité et événements inhabituels. Une élévation à SYSTEM peut permettre des modifications qui dépassent le périmètre d’un simple fichier malveillant.
La protection des comptes complète celle du poste. Choisir des messageries et services offrant de bonnes garanties de sécurité participe à la réduction globale du risque ; WY-Créations a notamment comparé plusieurs messageries européennes sécurisées alternatives à WhatsApp, Google Messages et Apple Messages.
Faille CVE-2026-40369 sous Windows : les réponses essentielles.
CVE-2026-40369 est-elle une faille critique ?
Son impact potentiel est majeur, mais la classification officielle publiée est « High » avec un score CVSS 3.1 de 7,8 sur 10. Le terme « critique » ne correspond donc pas à la sévérité officielle de cette CVE.
Un site web peut-il prendre le contrôle du PC uniquement avec cette faille ?
Non. La vulnérabilité est classée avec un vecteur local. Elle peut être utilisée dans une chaîne après une première exécution de code, y compris depuis certains contextes sandboxés de navigateur, mais elle ne constitue pas à elle seule une attaque web distante automatique.
Quelles versions de Windows sont concernées ?
Les données publiées listent Windows 11 24H2, 25H2 et 26H1 ainsi que Windows Server 2025. Windows 10 n’est pas listé comme produit affecté par CVE-2026-40369.
Faut-il encore installer KB5089549 en septembre 2026 ?
Si des mises à jour cumulatives Windows plus récentes sont déjà installées, elles intègrent les correctifs précédents applicables. Il faut surtout maintenir Windows Update à jour et vérifier que le build dépasse le niveau vulnérable.
Le problème d’installation 0x800f0922 existe-t-il toujours ?
Microsoft l’a reconnu après la publication de KB5089549. Il concernait notamment les partitions EFI presque pleines. Microsoft indique que le problème a été résolu par KB5089573.
La faille est-elle exploitée massivement ?
Des preuves de concept publiques démontrent l’exploitation technique. Cela ne suffit pas à établir une campagne massive. Les sources publiques de référence consultées ne la signalent pas comme une vulnérabilité CISA KEV activement exploitée.
- Microsoft Security Response Center — CVE-2026-40369, Windows Kernel Elevation of Privilege Vulnerability.
- Microsoft Support — KB5089549 du 12 mai 2026, Windows 11 24H2 et 25H2.
- Microsoft MSRC — Patch Tuesday de mai 2026.
- NVD — fiche CVE-2026-40369.
- VoidSec — analyse technique de CVE-2026-40369 et élévation jusqu’à SYSTEM.
WY-Créations suit les évolutions de la cybersécurité, des plateformes numériques, des moteurs de recherche et des technologies qui influencent les entreprises et leurs utilisateurs.
Une information numérique utile doit rester exacte lorsqu’elle évolue.
WY-Créations travaille la stratégie digitale, le référencement et la visibilité des entreprises avec des contenus structurés, documentés et régulièrement actualisés.