L’ÉDITION DU 3 NOVEMBRE 2026
BlackX contourne Secure Boot malgré l’installation des correctifs Windows
Selon Ars Technica, des organisations ont été infectées par BlackX alors qu’elles avaient installé les correctifs concernés. Le problème tient à une protection nécessitant une activation supplémentaire : les anciens gestionnaires de démarrage vulnérables conservaient la confiance du système.
Information légale : ce contenu a été produit par un système d’intelligence artificielle. Transparence éditoriale
BlackX illustre une difficulté du déploiement des protections Windows : un correctif installé peut laisser une mesure essentielle à activer. Selon Ars Technica, des organisations ont subi un contournement de Secure Boot alors qu’elles avaient appliqué les mises à jour concernées. La révocation des anciens certificats se trouve au cœur du problème.
Installer les correctifs Windows concernés n’a pas suffi à protéger les organisations touchées par BlackX, rapporte Ars Technica. Ce logiciel malveillant contourne Secure Boot, le mécanisme qui vérifie les signatures des composants exécutés au démarrage. L’incident met en évidence un écart entre la disponibilité d’une mesure de sécurité et son application effective sur les machines.
BlackX et BlackLotus exploitent une faille du gestionnaire de démarrage Windows référencée CVE-2022-21894. Microsoft a corrigé cette vulnérabilité en 2022. Toutefois, cette correction n’a pas supprimé la confiance accordée au certificat utilisé pour signer les anciens gestionnaires vulnérables. Leur signature pouvait donc rester acceptée malgré la présence d’une version corrigée du logiciel.
Microsoft a ensuite engagé une protection par étapes. En 2023, une mise à jour a ajouté un nouveau certificat de signature. En 2024, une autre mesure a fourni le moyen de placer l’ancien certificat dans la base des signatures interdites de Secure Boot. Selon Ars Technica, les organisations infectées par BlackX avaient installé ces mises à jour, mais la révocation n’était pas imposée automatiquement.
Ce déploiement progressif répondait à un risque concret : révoquer trop tôt l’ancien certificat pouvait empêcher de démarrer les appareils dépourvus des mises à jour nécessaires. Le compromis protégeait donc la continuité de fonctionnement, tout en laissant aux administrateurs une action supplémentaire pour achever la sécurisation. Dans ce cas, vérifier uniquement l’installation des correctifs ne permettait pas d’établir que la protection était active.
Kaspersky, qui a découvert les infections par BlackX, critique la visibilité des instructions d’activation. Un chercheur de l’entreprise cité par Ars Technica estime qu’elles sont difficiles à repérer dans la documentation de Microsoft. Sollicité, Microsoft renvoie ses clients vers ses consignes techniques. L’article laisse toutefois incertaine la situation des utilisateurs de Windows à domicile.
Les conséquences potentielles tiennent au moment où ces logiciels interviennent. Ils peuvent charger des pilotes malveillants avant le démarrage de nombreuses défenses du système. Ils peuvent aussi survivre à une réinstallation du système d’exploitation si la partition de démarrage infectée reste intacte. Leur installation nécessite néanmoins une compromission préalable de l’appareil.
L’enseignement opérationnel de cet incident concerne donc la vérification des protections réellement appliquées. Lorsqu’une mise à jour prépare une révocation sans l’activer, son installation et l’achèvement de la protection constituent des étapes distinctes. La difficulté consiste à rendre cette distinction suffisamment explicite pour les administrateurs, tout en tenant compte du risque de bloquer les machines.