Des chercheurs de l’Université de Birmingham et de l’Université de Durham ont démontré que les protections les plus avancées de Windows 11 peuvent être contournées par un simple logiciel, sans accès physique à la machine. Présentée cette semaine au symposium USENIX Security 2026 à Baltimore, leur attaque, baptisée « Download More RAM », a décroché le prix du meilleur papier.
Jusqu’ici, ce type de compromission exigeait un tournevis et l’accès direct à l’ordinateur. Désormais, un script suffit. « Les attaques précédentes de ce genre nécessitaient un accès physique. Celle-ci ne demande qu’un script. Cela change qui peut la mener à bien et jusqu’où elle peut se propager », résume le professeur Tom Chothia, de l’Université de Birmingham.
Une faille dans la puce qui dit la vérité sur la mémoire
L’attaque ne cible pas un bug du code Windows mais exploite une faiblesse matérielle des barrettes de mémoire DDR4 et DDR5. Chaque barrette embarque ainsi une puce de configuration (SPD) qui renseigne le système sur la quantité de mémoire installée. Sur certains modules du commerce, cette puce n’est pas protégée en écriture. Un logiciel peut donc modifier ces informations, et faire croire à Windows que la machine dispose du double de sa mémoire réelle.
Les adresses mémoire fantômes ainsi créées servent alors d’aliases vers la mémoire réelle. Résultat : un attaquant peut lire et modifier des zones que Windows et le processeur devaient pourtant isoler, y compris celles que l’OS promet de verrouiller même pour lui-même.
Ce que les chercheurs ont réussi à casser
En créant ces aliases mémoire, l’équipe a réussi à :
- désactiver les antivirus et les solutions EDR ;
- réactiver des centaines de pilotes vulnérables, bannis après leur usage dans des campagnes de malware et de ransomware ;
- pénétrer les enclaves de Virtualization-Based Security (VBS), les environnements les plus isolés de Microsoft ;
- compromettre des machines d’entreprise verrouillées par des politiques de groupe ;
- neutraliser les anti-triche au niveau noyau des jeux vidéo.
La démonstration la plus inquiétante reste un script en un clic qui enchaîne toute l’attaque (création des aliases, redémarrage, désactivation de l’antivirus) sans aucune interaction de l’utilisateur. Une mécanique taillée pour des campagnes automatisées à grande échelle.
Corsair, G.Skill et ADATA en première ligne
Une enquête sur les modules grand public les plus populaires montre que trois fabricants vendent au moins une gamme avec une puce de configuration totalement non protégée : Corsair, G.Skill et ADATA. À eux seuls, ils pèsent environ 55 % du marché de la mémoire grand public haute performance et plus de 70 % du segment gaming. Les barrettes Crucial, Kingston et HyperX offrent, elles, une protection partielle qui bloque l’attaque.
La faille est référencée CVE-2026-23670. Microsoft, prévenu avant la publication, a intégré des atténuations dans ses mises à jour de sécurité d’avril 2026. Les systèmes avec Secure Boot activé sont protégés dans sa forme actuelle. Ceux qui l’ont désactivé restent exposés.
Comment se protéger ?
Les recommandations des chercheurs sont :
- activer Secure Boot sur sa machine Windows ;
- installer la dernière mise à jour Patch Tuesday (août 2026), cumulative sur Windows 10 et 11 ;
- activer la protection en écriture via le logiciel iCUE pour la mémoire Corsair, ou via HWiNFO pour les autres marques ;
- vérifier si la carte mère propose un réglage BIOS bloquant l’écriture vers les puces de configuration mémoire.
Le papier complet, « Download More RAM : Dismantling Windows Operating System Defences with Mischievous Memory », est publié en libre accès. Une vidéo de l’attaque de bout en bout est aussi disponible. Une chose est sûre, Microsoft a bâti son château fort sur la promesse que la mémoire dit la vérité. Sur une large part des barrettes que l’on achète, elle n’est pas obligée de le faire.
