YellowKey : l’exploit qui contourne BitLocker sur Windows 11, les experts confirment le risque

Un exploit zero-day, baptisé YellowKey, permet de contourner complètement la protection BitLocker de Windows 11 en quelques secondes. Publié le 12 mai 2026 par le chercheur Chaotic Eclipse (alias Nightmare Eclipse), l’exploit donne un accès total au contenu d’un disque chiffré, sans avoir besoin de la clé de récupération. Microsoft a reconnu la vulnérabilité sous l’identifiant CVE-2026-45585, mais à ce jour, aucun correctif n’a été déployé.

Comment fonctionne l’exploit YellowKey

L’attaque repose sur une faille dans l’environnement de récupération Windows (WinRE), et non dans le chiffrement BitLocker lui-même. Voici le mécanisme :

Le point critique : le TPM déchiffre automatiquement le disque au démarrage. L’exploit n’a pas besoin de casser le chiffrement, il profite du fait que le volume est déjà accessible lors de l’environnement de récupération. C’est la configuration TPM seul (sans PIN) qui rend l’attaque possible.

La confirmation par des experts indépendants

YellowKey n’est pas une affirmation isolée. Plusieurs experts ont confirmé le fonctionnement de l’exploit :

• Kevin Beaumont, expert en cybersécurité reconnu, a confirmé que l’exploit fonctionne et a qualifié BitLocker de « backdoor » dans sa configuration par défaut
• Will Dormann, analyste principal chez Tharros Labs, a reproduit l’exploit et expliqué le mécanisme technique en détail à BleepingComputer
• Ars Technica a publié une analyse approfondie confirmant que l’exploit permet d’obtenir un accès complet au disque

Chaotic Eclipse a également publié le code de l’exploit sur GitHub, ce qui a permis à d’autres chercheurs de vérifier indépendamment le fonctionnement. La communauté de sécurité a unanimement confirmé la validité de la vulnérabilité.

La réponse de Microsoft : mitigation, pas de patch

Une semaine après la publication de l’exploit, Microsoft a reconnu la vulnérabilité et publié des recommandations de mitigation. Mais il n’y a pas encore de correctif. La distinction est importante :

Will Dormann a souligné un point crucial : « La mitigation manuelle n’est pas triviale à appliquer à grande échelle. Pour les organisations qui gèrent des parcs importants, scripter la modification WinRE et pousser la politique TPM + PIN via GPO ou Intune est faisable, mais nécessite une action délibérée. »

YellowKey s’inscrit dans une série d’exploits

YellowKey n’est pas le seul zero-day publié par Chaotic Eclipse ces dernières semaines. Le chercheur a également dévoilé :

• GreenPlasma : une élévation de privilèges permettant d’obtenir les droits SYSTEM sur Windows
• BlueHammer (CVE-2026-33825) : une autre élévation de privilèges locale, déjà exploitée dans la nature après sa divulgation
• RedSun : une vulnérabilité Microsoft Defender qui donne les privilèges SYSTEM, que Microsoft aurait corrigée silencieusement sans assigner d’identifiant CVE

Le chercheur a annoncé une « grande surprise » pour le prochain Patch Tuesday de Microsoft, laissant penser que d’autres vulnérabilités critiques seront révélées.

Ce que YellowKey signifie pour la sécurité Windows

YellowKey expose une faiblesse structurelle de la configuration par défaut de BitLocker sur Windows 11. Le TPM seul, conçu pour la commodité, crée un faux sentiment de sécurité :

• Le TPM déchiffre automatiquement : n’importe qui avec un accès physique au redémarrage peut tenter l’exploit
• L’accès physique suffit : pas besoin d’être connecté au réseau, pas besoin de credentials
• Windows 10 n’est pas affecté : la vulnérabilité est spécifique à Windows 11 et Windows Server 2022/2025
• La configuration TPM + PIN bloque l’attaque : mais elle n’est pas activée par défaut

YellowKey : questions fréquentes

---

Sources : Ars Technica, BleepingComputer, SecurityWeek, SecurityAffairs, GitHub (PoC YellowKey).