BitLocker, le chiffrement intégré à Windows, a bel et bien eu son trou dans la raquette. Microsoft a colmaté en juin 2026 la faille baptisée YellowKey, mais la fenêtre d’exposition qui a précédé le correctif a ressorti une vieille règle : sur Windows, la sécurité du disque dépend autant du mode de démarrage que du chiffrement lui-même.
La vulnérabilité visait BitLocker via l’environnement de récupération Windows (WinRE) et non le chiffrement à proprement parler. Un attaquant disposant d’un bref accès physique à la machine pouvait exploiter un port USB et des fichiers préparés pour atteindre les données protégées. Microsoft a rattaché la faille au code CVE-2026-45585 et publié une mitigation avant de livrer le correctif complet dans sa mise à jour de sécurité de juin 2026.
Points clés
- YellowKey (CVE-2026-45585) exploitait WinRE et non le chiffrement de BitLocker lui-même
- L’attaque exigeait un accès physique, une clé USB et une séquence de démarrage particulière
- Les machines en TPM seul restaient exposées, le mode TPM + PIN bloquait l’exploitation
- Microsoft a livré une mitigation puis un correctif complet au Patch Tuesday de juin 2026
Une faille de proximité, pas une attaque à distance
Le point essentiel est là : YellowKey n’ouvre aucune prise de contrôle depuis Internet. L’attaque exige un accès direct à l’ordinateur éteint ou en redémarrage, avec un support USB et une séquence de démarrage qui détourne WinRE. Plusieurs analyses pointent les appareils Windows 11 récents et Windows Server 2025 comme cibles, Windows 10 étant épargné.
Le cœur du problème se loge dans WinRE, l’outil de réparation chargé avant le système principal. Les chercheurs à l’origine de la divulgation ont démontré qu’un composant lancé très tôt au démarrage pouvait être détourné. Selon les analyses techniques de la faille, le défaut réel se situe plus profond que le simple correctif suggère.
« Cette faille permettait à des individus malveillants de contourner entièrement le chiffrement s’ils pouvaient accéder à votre ordinateur assez longtemps pour brancher une clé USB et redémarrer l’appareil. »
PCWorld
TPM seul ou TPM + PIN : toute la différence
Les guides de mitigation insistaient sur un détail décisif : la configuration de BitLocker. Les machines protégées en mode TPM seul restaient exposées, alors que les systèmes configurés en TPM + PIN échappaient à l’exploitation décrite. Le TPM (Trusted Platform Module) stocke des clés matérielles liées au démarrage. L’ajout d’un PIN glisse une étape supplémentaire avant le déverrouillage du disque, et c’est précisément cette étape qui faisait barrage.
Microsoft a d’abord recommandé une mitigation temporaire avant de corriger la faille dans son Patch Tuesday de juin 2026. La mise à jour a été distribuée comme correctif de base, redémarrage à la clé. Les administrateurs ont donc jonglé pendant plusieurs semaines entre contournement provisoire et patch final.
- Nom public de la faille : YellowKey
- Identifiant : CVE-2026-45585
- Surface d’attaque : WinRE, l’environnement de récupération Windows
- Condition d’exploitation : accès physique à l’appareil
- Parade : BitLocker en TPM + PIN
Particuliers tranquilles, parcs d’entreprise sous pression
Pour un utilisateur isolé, le scénario reste ciblé et laborieux : il faut la machine entre les mains, la manipuler localement et enchaîner une séquence de démarrage précise. Pour un parc de portables, un bureau partagé ou des machines baladées hors des locaux, le risque change d’échelle. C’est là que YellowKey a pesé, avec une consigne nette pour les équipes IT : vérifier la politique BitLocker, activer le PIN quand c’est possible et appliquer les correctifs de juin 2026 sans traîner.
La morale tient en une ligne. BitLocker chiffre votre disque, il ne fait pas de miracle si la séquence de démarrage laisse entrer un attaquant déjà devant la machine. Microsoft a fini par livrer son patch, mais ceux qui voyaient dans le TPM seul une muraille suffisante ont eu droit à une piqûre de rappel.
