Windows 11 face à Project Zero : un bilan sévère sur la sécurité d’administration
Windows 11, la dernière mouture de Microsoft, ne cesse de surprendre. Alors qu’on attendait un durcissement sécuritaire drastique avec la nouvelle fonction Administrator Protection, mise en place pour remplacer le vieillissant User Account Control (UAC), Project Zero frappe un grand coup. Neuf vulnérabilités critiques y sont pointées, révélant que le système d’exploitation reste exposé aux failles critiques d’élévation de privilèges et d’exploitation silencieuse.
Le défi est clair : Microsoft voulait fermer la porte aux malware grâce à un modèle d’administration basé sur un compte administrateur shadow, qui élimine le partage de jetons entre comptes limités et administrateurs. En théorie, fini l’auto-élévation sans contrôle. Mais en réalité, il s’agit plus d’une frontière de sécurité très fine plutôt qu’une forteresse infranchissable.
Les limites historiques de User Account Control : un héritage compliqué
Depuis Windows Vista, UAC a tenté de régler le problème des privilèges administratifs, permettant une élévation temporaire. Mais la compatibilité logicielle a poussé Microsoft à maintenir des structures partagées entre contexte limité et élevé, ouvrant des failles exploitées depuis des années.
Windows 7 a ajouté de l’auto-élevage pour les binaires signés, réduisant les prompts mais créant de nouvelles portes d’entrée. Ces pratiques ont transformé UAC en une simple commodité plus qu’en un pilier de sécurité informatique, laissant un terrain fertile à des outils comme UACMe qui répertorient les contournements encore valides dans Windows 11.
La stratégie de Microsoft illustre que corriger la sécurisation sans briser la rétrocompatibilité est un exercice d’équilibriste, visible dans les réactions tardives aux rapports de Project Zero.
Un fonctionnement innovant mais encore vulnérable : le cas d’Administrator Protection
Administrator Protection vise à remplacer le modèle d’élévation « admin approval » par la création d’un compte shadow administrateur géré en interne par le service UAC. Lorsqu’une élévation est nécessaire, le système lance le processus sous ce compte, demandant une authentification via mot de passe ou biométrie.
Cette architecture évite la partage de profils ou tokens entre comptes utilisateur, diminue les risques d’usurpation et élimine l’auto-élévation. Pourtant, une analyse approfondie par James Forshaw de Project Zero démontre que neuf enchaînements d’exploits permettent de contourner ce mécanisme sans alerter l’utilisateur.
Le point faible clé : le hijacking de la directory DOS
Au cœur des contournements se trouve le détournement de la gestion des objets DOS utilisés pour résoudre les lettres de lecteur dans les sessions de logon. Chaque token shadow administrateur a une session unique avec sa propre directory DOS, créée « lazy » par le kernel.
Forshaw exploite une « race condition » via l’API RAiProcessRunOnce du service UAC, qui permet le lancement silencieux de processus élevés (comme runonce.exe). Le kernel, en créant la directory DOS, fait du compte limité l’owner, ce qui ouvre un accès complet.
Il devient alors possible de créer un lien symbolique vers des fichiers sensibles et d’injecter du code malveillant chargé en pleine élévation, sans le moindre prompt ni confirmation utilisateur.
Les forces et limites du modèle sécuritaire de Windows 11
| Aspect | Améliorations Windows 11 Administrator Protection | Limites et vulnérabilités |
|---|---|---|
| Modèle de compte | Compte shadow indépendant pour chaque élévation | Tokens partageant parfois des identifiants système |
| Gestion des processus | Élévation via token shadow sans auto-prompt | Race condition exploitable sur la création de directory DOS |
| Interaction utilisateur | Authentification requise lors de l’élévation par biométrie ou mot de passe | Exploitation silencieuse possible sans prompt dans certains cas |
| Compatibilité | Nouveau modèle destiné à durcir la surface d’attaque | Problèmes de compatibilité, feature désactivée en 2025 temporairement |
La complexité de ces enchaînements relève davantage d’un héritage structurel que de simples bugs identifiables. Microsoft a déjà patché toutes les vulnérabilités identifiées dans Windows 11 25H2, notamment via les mises à jour d’octobre 2025 et des correctifs d’urgence ciblés.
Recommandations en matière de cybersécurité pour l’administration Windows 11
- Ne jamais exécuter un poste en mode administrateur de façon permanente.
- Activer Administrator Protection dès sa réintégration stable dans Windows 11.
- Surveiller les publications Patch Tuesday pour appliquer rapidement les patchs de sécurité.
- Former les équipes IT à détecter les activités inhabituelles exploitant les vulnérabilités d’élévation silencieuse.
- Utiliser les outils complémentaires de sécurité basée sur l’IA dans Windows 11 pour renforcer la détection.
La vigilance et la rapidité d’application des correctifs restent les clés pour éviter qu’un contournement d’administration ne devienne porte ouverte à des attaques plus graves.
La route vers une sécurisation complète : entre legacy et modernité
L’analyse de Project Zero illustre que repousser les limites de la sécurité informatique sur des bases aussi complexes que celles de Windows demande bien plus que des réglages : un redesign du modèle s’impose.
Une approche type Linux avec sudo ou capabilities évite ces dérives, car elle s’affranchit du partage implicite de sessions ou de profils. Pour Microsoft, le défi est double : maintenir une compatibilité étendue tout en sécurisant efficacement l’élévation des privilèges, ce qui explique les limitations actuelles.
Pour l’instant, Windows 11 propose une hausse sensible des exigences, même si les chaînes d’exploitation complexes restent possibles au prix d’une expertise pointue. Tous les administrateurs doivent donc s’appuyer sur ce modèle durci, rester informés des dernières mises à jour et ne pas hésiter à intégrer des solutions tierces pour pallier les failles structurelles.
Les prochaines versions pourraient enfin tourner cette page en adoptant des paradigmes radicalement différents, mais d’ici-là, la prudence s’impose.
Pour creuser davantage sur les évolutions de Windows 11 autour des nouvelles fonctionnalités et des mises à jour, les ressources disponibles sur nouvelles fonctionnalités Windows 11 ou sur les Patch Tuesday Windows 11 sont indispensables.
Source: www.matricedigitale.it
- Windows 11 accélère : Copilot se déploie partout, scepticisme des utilisateurs face à l’IA et sécurité renforcée avec Defender - février 5, 2026
- Apex Thermal Putty X1 : Alphacool dévoile une nouvelle solution innovante face aux pads thermiques traditionnels - février 5, 2026
- Windows 11 : cette mise à jour corrige le plantage d’Explorer.exe au démarrage - février 5, 2026
