Microsoft corrige une faille de sécurité notée 8,8 dans le Bloc-notes de Windows 11 dans le cadre de sa modernisation ; la mise à jour du Patch Tuesday est en cours.

Microsoft a récemment identifié une importante vulnérabilité d’exécution de code à distance dans l’application Bloc-notes de Windows 11, référencée CVE-2026-20841. L’entreprise travaille actuellement à corriger cette faille grâce à un correctif inclus dans la mise à jour du Patch Tuesday de février 2026.

Évaluée comme importante avec un score CVSS de 8, 8, cette vulnérabilité permet à un attaquant d’exécuter du code malveillant à distance lorsqu’un utilisateur ouvre un fichier Markdown spécialement conçu et interagit avec un lien malveillant qu’il contient, selon le Centre de réponse de sécurité Microsoft (MSRC).

Cela peut paraître surprenant, mais cela concerne le Bloc-notes, l’éditeur de texte simple historiquement limité à l’ouverture de fichiers.txt. Grâce à des améliorations récentes, il prend désormais en charge le rendu Markdown, les liens cliquables et l’intégration de Copilot, ce qui, tout en augmentant ses fonctionnalités, a également introduit de nouvelles vulnérabilités.

Le bloc-notes traditionnel aux fonctionnalités minimalistes

Cette vulnérabilité provient d’un traitement défectueux de certains éléments spécifiques utilisés dans les commandes, un phénomène appelé injection de commandes. Ainsi, le Bloc-notes peut mal interpréter certains liens intégrés dans les fichiers Markdown, permettant à des protocoles non vérifiés de lancer et d’exécuter du contenu distant.

À titre d’exemple, un attaquant pourrait envoyer un courriel d’hameçonnage contenant un fichier.md malveillant. Si le destinataire ouvre ce fichier dans le Bloc-notes et clique sur le lien, le code malveillant pourrait s’exécuter avec les mêmes privilèges que l’utilisateur et potentiellement compromettre l’intégralité de son système.

Heureusement, Microsoft a indiqué qu’aucune exploitation active de cette vulnérabilité n’a été signalée et que celle-ci n’était pas connue du public avant le correctif. Toutefois, son exploitation ne nécessitant qu’une interaction de l’utilisateur, une tentative d’hameçonnage convaincante pourrait facilement permettre une attaque.

Comprendre la vulnérabilité du format Markdown du Bloc-notes

La vulnérabilité CVE-2026-20841 est classée comme une vulnérabilité d’injection de commandes, plus précisément liée à la CWE-77 : Neutralisation incorrecte d’éléments spéciaux utilisés dans une commande. Heureusement, les détails techniques sont relativement faciles à comprendre.

Les fichiers Markdown, qui ont généralement l’extension.md ou.markdown, sont de simples fichiers texte utilisant la syntaxe Markdown pour la mise en forme du texte. Le gestionnaire Markdown du Bloc-notes traite ces fichiers, permettant ainsi aux utilisateurs de les visualiser et de les modifier facilement.

Lorsque le Bloc-notes ouvre un fichier Markdown, il peut rendre les liens cliquables. Cependant, le gestionnaire Markdown de l’application ne parvient pas à valider correctement certains éléments spéciaux intégrés dans un lien malveillant. Si un utilisateur clique par inadvertance sur ce lien, le Bloc-notes pourrait lancer un gestionnaire de protocole non vérifié, chargeant et exécutant du contenu distant.

Ces fichiers Markdown spécialement conçus pourraient déclencher des commandes permettant de télécharger et d’exécuter du code depuis des serveurs distants directement sur l’appareil de l’utilisateur. Microsoft précise que le code exécuté s’effectuerait dans le même contexte de sécurité que l’utilisateur ayant ouvert le fichier. Par conséquent, si l’utilisateur dispose de droits d’utilisateur standard, les dommages pourraient être limités. En revanche, s’il est connecté en tant qu’administrateur, les conséquences pourraient être graves.

Les impacts potentiels de cette vulnérabilité sont classés comme élevés et englobent :

Confidentialité : Risque de vol de données.
Intégrité : Modification possible des fichiers ou des paramètres système.
Disponibilité : Menaces à la stabilité du système.

Valeur d'impact de la vulnérabilité de Notepad Markdown — Évaluation de l’impact de la vulnérabilité Markdown du Bloc-notes

Le score CVSS 3.1 de base de 8, 8 de cette vulnérabilité la classe dans la catégorie des vulnérabilités à haut risque. Les indicateurs clés sont les suivants :

AV:N (Vecteur d’attaque : Réseau) : L’attaque peut être lancée à distance, par exemple par le biais de courriels ou de liens de téléchargement, sans nécessiter d’accès physique.
AC:L (Complexité de l’attaque : Faible) : Aucune condition inhabituelle n’est nécessaire pour l’exploitation.
PR:N (Privilèges requis : aucun) : L’attaquant n’a besoin d’aucun accès préalable au système cible.
UI:R (Interaction de l’utilisateur : requise) : La victime doit ouvrir le fichier Markdown et cliquer sur le lien malveillant.
Portée : Inchangée : La vulnérabilité affecte la même limite de sécurité que le composant affecté.

Il est crucial de souligner que cette vulnérabilité nécessite une interaction de l’utilisateur. Elle ne se propage pas de manière autonome et repose sur des techniques d’ingénierie sociale. Un attaquant devrait donc tromper l’utilisateur pour qu’il ouvre un fichier Markdown malveillant, potentiellement au moyen d’un courriel d’hameçonnage ou d’un téléchargement frauduleux.

Bien que le niveau de maturité de l’exploit reste considéré comme non prouvé et qu’aucune exploitation active n’ait été constatée, la vulnérabilité demeure une préoccupation majeure, notamment dans les environnements d’entreprise où les fichiers de documentation Markdown sont couramment utilisés.

Impact des fonctionnalités modernes sur la sécurité du Bloc-notes

Pendant des années, la simplicité du Bloc-notes en a fait l’une des applications les plus sûres de Windows, principalement parce qu’il permettait une édition de texte basique sans aucune fonctionnalité de mise en forme ni de liens. Cette simplicité était la clé de sa robustesse.

Cependant, avec l’arrivée de Windows 11, Microsoft a transformé le Bloc-notes en une application moderne prenant en charge le rendu Markdown, les liens cliquables, la sauvegarde automatique, les onglets et l’intégration de Copilot. Ces améliorations ont fait évoluer le Bloc-notes d’un simple éditeur de texte vers une application sophistiquée capable de gérer du contenu structuré.

Bloc-notes avec fonctionnalités améliorées

L’introduction de la prise en charge de Markdown a permis au Bloc-notes d’interpréter les liens et de les rendre interactifs. Si une application aussi répandue que le Bloc-notes, disponible sur des milliards d’appareils, commence à traiter des protocoles et du contenu externe, les risques inhérents s’accroissent. Toute vulnérabilité dans la gestion des caractères spéciaux ou des commandes pourrait être exploitée.

Le problème mis en évidence dans CVE-2026-20841 témoigne de ces risques, démontrant comment les nouvelles fonctionnalités d’une application peuvent conduire à des vulnérabilités de sécurité qui n’existaient pas dans les versions précédentes du Bloc-notes.

Le correctif de sécurité qui remédie à cette vulnérabilité est activement déployé avec la mise à jour du Patch Tuesday de février 2026 pour Windows 11.

Source et images