Windows 11, attention la RAM peut se transformer en porte dérobée
L'attaque se nomme "Download More RAM"
Une équipe de chercheurs des universités de Birmingham et Durham dévoile une nouvelle attaque contre Windows 11. Nommée « Download More RAM », elle exploite non pas une faiblesse de cet OS, mais la manière dont certaines barrettes DDR4 et DDR5 stockent leurs informations de configuration.
Cette faille permet à un pirate disposant déjà de privilèges élevés sur le PC de contourner des mécanismes de sécurité que Windows exploite. Ces travaux ont été présentés ors de l’USENIX Security Symposium à Baltimore. Microsoft a associé la vulnérabilité à la référence CVE-2026-23670.
Windows 11 pense profiter de deux fois plus de RAM
Une barrette de RAM embarque des tas d’informations dont certaines permettent au PC de connaître ses caractéristiques. Sur certaines références grand public, la puce contenant ces précieuses données ne bénéficie pas d’une protection suffisante contre l’écriture. Les chercheurs sont ainsi parvenus à modifier ces informations directement depuis un logiciel afin de faire croire à la machine qu’elle dispose de davantage de mémoire physique qu’en réalité.
Dans cette situation, le système crée des adresses supplémentaires qui correspondent en réalité à des zones de mémoire déjà existantes. Ces dernières (alias mémoire) permettent d’accéder alors à certaines zones par un chemin différent de celui attendu par les protections matérielles et logicielles de Windows.
Les conséquences sont importantes car l’équipe est parvenue à neutraliser des logiciels antivirus et des solutions EDR, de compromettre des processus protégés par VBS, de contourner HVCI, de réactiver des pilotes vulnérables normalement bloqués, ou encore de contourner certaines stratégies de gestion appliquées aux PC professionnels ou encore de perturber des systèmes anti-triche fonctionnant au niveau du noyau.
La bonne nouvelle est que cette démonstration de faiblesse suppose que le pirate soit déjà parvenu à exécuter du code avec des privilèges importants sur la machine.
Certaines barrettes Corsair, G.Skill et ADATA sont concernées
Tout ce travail s’est fait autour de plusieurs modules DDR4 et DDR5 disponibles sur le marché grand public. Ils rapportent avoir trouvé des barrettes Corsair, G.Skill et ADATA équipées de puces de configuration ne disposant pas d’une protection suffisante pour bloquer leur méthode.
Enfin si la révélation publique est récente, les chercheurs ont prévenu les constructeurs et Microsoft avant de publier leurs travaux. Microsoft a identifié ce problème sous la référence CVE-2026-23670 et a déployé des mesures de protection lors de ses mises à jour de sécurité d’avril 2026.
merci à Ginjfo
