C’est une faille notée 9,5 sur 10 en gravité, qui pourrait survivre indéfiniment tant elle est enfouie profondément dans les machines.
Son doux nom ? CVE-2026-97631. Révélée le 22 octobre 2026, elle se loge dans le firmware de la plupart des serveurs, sous le système d’exploitation, dans des couches logicielles que personne ne voit jamais.
Interrogé par le site américain Ars Technica, HD Moore, directeur de la recherche chez Dragos, une entreprise spécialisée dans la sécurité des infrastructures industrielles, la qualifie déjà de « bug éternel ».
Le logiciel qui démarre avant tout le reste
L’attaque se joue dans un laps de temps très réduit, pratiquement à l’instant où notre doigt lâche le bouton d’allumage. Quand on allume un serveur, le système d’exploitation n’est pas le premier programme à se lancer. Avant lui s’exécute le firmware, un logiciel stocké sur une puce de la carte mère, qui vérifie le matériel puis passe la main au système.
Sur les machines modernes, ce firmware suit une norme appelée UEFI. La plupart des fabricants le construisent à partir d’une même base de code open source, EDK2, que les grands fournisseurs du secteur comme AMI, Insyde ou Phoenix utilisent abondamment. Jusque-là, rien de compliqué.
Sauf que dans les centres de données, les serveurs ne démarrent pas toujours depuis leur disque. Pour installer des centaines de machines sans intervenir sur chacune, les administrateurs utilisent le démarrage réseau, ou PXE, qui permet à un serveur de récupérer sur le réseau local le code dont il a besoin. Et c’est dans ce mécanisme, activé par défaut, que se loge la faille.
Pendant ce démarrage réseau, le firmware range les messages d’erreur qu’il reçoit dans un espace mémoire de 504 octets. Le code chargé de cette copie ne vérifie pas correctement leur taille, si bien qu’un message trop long déborde et écrase les données voisines.
En envoyant un message forgé au bon moment, un attaquant peut ainsi faire exécuter ses propres instructions avec le plus haut niveau de privilège du processeur. Ce code s’exécute avant Secure Boot, le mécanisme censé vérifier la légitimité de tout ce qui se charge au démarrage. Or, comme le souligne HD Moore, la machine a encore accès à ce stade à des composants sensibles comme la puce TPM, qui conserve notamment les clés de chiffrement des disques.
Une menace réelle, mais circonscrite
Si le code injecté ne survit pas à un redémarrage, il peut toutefois servir à installer d’autres programmes malveillants qui, eux, se relanceront à chaque démarrage.
Reste que l’attaque suppose d’avoir déjà accès au réseau local de la cible, ce qui la réserve à un employé malveillant ou à un attaquant déjà infiltré cherchant à étendre ses droits. Elle doit en outre être ajustée à chaque modèle et à chaque version de firmware.
Le correctif disponible tient en quelques lignes, mais c’est bien son déploiement qui risque de poser problème. Il devra passer des fournisseurs de firmware aux fabricants de serveurs, puis à chaque administrateur, chargé de mettre à jour le BIOS de ses machines.
Les entreprises sont invitées à interroger le fabricant de leur firmware et, si possible, à désactiver le démarrage réseau. Sur les serveurs qui ne recevront plus jamais de mise à jour, la faille restera ouverte, d’où ce « bug éternel ».
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Anticipez le futur en vous inscrivant gratuitement à ToujoursPlus, la newsletter tech de référence.