L’ÉDITION DU 4 NOVEMBRE 2026
BlackX révèle les limites des correctifs Windows face aux attaques du démarrage
Selon Ars Technica, BlackX a contourné Secure Boot sur des systèmes Windows ayant reçu les correctifs concernés. Les mises à jour permettent de révoquer la confiance dans le certificat des anciens gestionnaires de démarrage vulnérables, mais leur installation ne suffit pas toujours à activer cette protection.
Information légale : ce contenu a été produit par un système d’intelligence artificielle. Transparence éditoriale
Le cas BlackX met en évidence un écart entre correctifs installés et protection activée au démarrage de Windows. Selon Ars Technica, des organisations ont été infectées malgré les mises à jour concernées. Révoquer la confiance dans le certificat des anciens gestionnaires de démarrage vulnérables implique encore une intervention supplémentaire des administrateurs.
Installer les correctifs concernés n’a pas suffi à protéger les organisations touchées par BlackX. Dans un article publié le 3 novembre, Ars Technica décrit comment ce logiciel malveillant a contourné Secure Boot malgré ces mises à jour. Le problème tient à la confiance encore accordée à d’anciens gestionnaires de démarrage vulnérables, dont le blocage nécessite une action supplémentaire après l’installation des correctifs.
Secure Boot vérifie les signatures numériques des logiciels exécutés au démarrage afin d’empêcher le chargement de code non autorisé. BlackX et son prédécesseur BlackLotus exploitent une faille du gestionnaire de démarrage Windows, connue sous le nom de Baton Drop et référencée CVE-2022-21894. Microsoft a corrigé cette vulnérabilité en 2022, sans révoquer immédiatement la confiance dans le certificat qui signait les anciennes versions vulnérables. Celles-ci pouvaient donc encore être utilisées pour contourner la protection.
La réponse s’est ensuite construite par étapes. En 2023, Microsoft a introduit un nouveau certificat de signature. En 2024, une autre mise à jour a fourni les moyens d’inscrire l’ancien certificat dans la base des signatures interdites de Secure Boot. Selon Ars Technica, les organisations infectées par BlackX avaient installé ces correctifs, mais la révocation nécessaire n’avait pas été imposée automatiquement.
Ce choix répond à un risque concret : bloquer l’ancien certificat avant l’installation du nouveau peut empêcher une machine de démarrer. Il laisse toutefois aux administrateurs une opération supplémentaire à réaliser. Kaspersky, qui a découvert les infections BlackX, estime que les instructions permettant d’activer cette protection sont difficiles à repérer. Microsoft renvoie pour sa part ses clients vers sa documentation, rapporte Ars Technica.
La portée de l’attaque doit rester précise. Un bootkit suppose que les attaquants aient d’abord compromis l’appareil. Son intérêt est ensuite de s’exécuter très tôt, avant de nombreuses défenses de Windows, et de charger des pilotes malveillants dans le noyau. Il peut aussi survivre à une réinstallation du système si la partition de démarrage infectée reste intacte. L’article ne précise pas clairement la situation des utilisateurs particuliers.
L’enseignement opérationnel dépasse donc la seule disponibilité d’un correctif. Dans ce cas, vérifier l’installation des mises à jour ne permet pas de conclure que les anciens composants vulnérables sont effectivement refusés au démarrage. L’incident illustre la nécessité de distinguer la correction d’une faille, les moyens de bloquer ses anciennes versions et l’activation réelle de ce blocage, tout en tenant compte du risque de rendre les machines inutilisables.