Une faille zero-day contourne les protections BitLocker par défaut de Windows 11
Le chercheur indépendant en sécurité Rafał Wolnik a présenté une faille zero-day qui contourne le chiffrement de disque BitLocker par défaut sous Windows 11. La démonstration a été donnée lors de la conférence de sécurité ConfidenceConf, en Pologne ; M. Wolnik a ensuite publié un compte rendu technique détaillé sur son blog.
BitLocker est l'outil intégré de chiffrement intégral de disque de Microsoft. L'entreprise l'a introduit en 2007 avec Windows Vista, et il est activé par défaut sur les postes de travail d'entreprise sous Windows 10 et 11 depuis de nombreuses années. La faille vise spécifiquement le composant « autounlock », qui supprime l'exigence d'un mot de passe à chaque démarrage.
La méthode de M. Wolnik exige un accès physique. L'attaquant branche un périphérique USB modifié sur un ordinateur éteint ; ce périphérique intervient sur une fenêtre mémoire pendant la séquence de démarrage du Windows Boot Manager. La technique contourne la vérification TPM (Trusted Platform Module) et fonctionne sans droits administrateurs sur la machine cible.
Dans la preuve de concept publiée, M. Wolnik écrit que la méthode « s'attaque directement au modèle de menace théorique de la configuration BitLocker par défaut de Microsoft ». Le chercheur estime que la cause sous-jacente est l'absence de vérification d'un registre de configuration de plateforme (PCR) pendant la phase de démarrage du TPM.
Le Microsoft Security Response Center a indiqué avoir « confirmé le problème et l'examiner activement ». Le MSRC a attribué à cette faille le numéro CVE-2026-32147 et confirmé que toutes les versions de Windows 11 utilisant le composant « autounlock » de BitLocker sont concernées.
Microsoft précise qu'un correctif sera publié dans la mise à jour Patch Tuesday de la semaine prochaine. À titre de mesure intermédiaire, Microsoft recommande de désactiver « autounlock » dans BitLocker et de passer à une configuration exigeant un code PIN à chaque démarrage. L'éditeur indique que les administrateurs informatiques d'entreprise peuvent déployer ce changement de façon centralisée via la stratégie de groupe (Group Policy).
Depuis un certain temps, la documentation de Microsoft Configuration Manager recommande la configuration TPM+PIN pour BitLocker dans le cadre de l'orientation « Enhanced Sign-in Security » destinée aux clients professionnels. Les travaux de M. Wolnik fournissent une démonstration concrète de la nécessité technique de cette recommandation.
Tavis Ormandy, du groupe Project Zero de Google, a qualifié les travaux de Wolnik de « démonstration en conditions réelles d'une faiblesse structurelle inscrite dans le modèle de menace par défaut de BitLocker depuis une décennie ». M. Ormandy estime que des failles structurelles similaires pourraient être identifiées dans d'autres outils de chiffrement de disque lors du réexamen en cours dans les entreprises.
Pour les utilisateurs finaux, la consigne pratique est claire : continuer à utiliser BitLocker, mais désactiver le composant « autounlock » et activer la configuration TPM+PIN. La modification peut s'effectuer sur Windows 11 Pro et Enterprise via la stratégie de groupe, et sur les installations domestiques depuis le panneau de configuration BitLocker.
La faille et le correctif à venir devraient déclencher un nouvel examen des configurations BitLocker dans les équipes de sécurité informatique d'entreprise. Après les vulnérabilités liées au TPM divulguées l'an dernier, il s'agit de la troisième faille majeure touchant directement le chiffrement intégral de disque sous Windows en dix-huit mois.