CVE-2026-45585 YellowKey : votre BitLocker ne vous protège plus - patch et mitigation

1. YellowKey CVE-2026-45585 : comment ca fonctionne

La vulnérabilité exploite une faille dans l'utilitaire autofstx.exe (FsTx Auto Recovery Utility), un composant du système de fichiers transactionnel NTFS intégré à l'environnement de récupération Windows (WinRE). En mode WinRE, cet utilitaire démarre automatiquement via l'entrée BootExecute du registre système. YellowKey abuse de ce comportement pour supprimer un fichier clé (winpeshl.ini) et décléncher l'ouverture d'un shell non restreint.

2. Systèmes Windows touchés

YellowKey n'affecte pas toutes les versions de Windows. La faille est spécifique aux systèmes récents qui embarquent la version vulnérable de l'utilitaire FsTx. Les versions antérieures (Windows 10, Windows Server 2019, Windows Server 2022) ne sont pas concernées par cette CVE spécifique.

Pour vérifier rapidement la version de Windows sur vos postes : winver dans Exécuter, ou via PowerShell : (Get-WmiObject Win32_OperatingSystem).Caption. Si vous avez migré vers Windows 11 dans les 18 derniers mois, vous êtes très probablement exposés.

3. Risques concrets pour les PME françaises

La combinaison BitLocker + YellowKey + PoC public crée un scénario de risque immédiat et très concret pour les entreprises françaises. Trois situations typiques illustrent l'exposition réelle :

Du point de vue RGPD, la position de la CNIL est claire : le chiffrement des données est une mesure de sécurité adéquate seulement si l'accès aux données chiffrées est effectivement impossible. Avec un PoC public, cette condition n'est plus remplie pour les systèmes non mitigés. Les PME de Paris et de toutes les grandes métropoles doivent traitér ceci comme une violation potentielle en cours. Notre articlé sur les droits après une fuite de données détaille les obligations de notification.

4. Mitigation immédiate - ce que vous devez faire maintenant

Microsoft a publié deux niveaux de mitigation le 20 mai 2026. Aucun patch binaire n'est disponible à ce jour. Les actions suivantes doivent être déployées en priorité sur tous les postes et serveurs exposés.

# Vérifier l'état BitLocker actuel
Get-BitLockerVolume -MountPoint C:

# Passer en TPM+PIN (demande création du PIN)
Add-BitLockerKeyProtector -MountPoint "C:" -TPMAndPinProtector

# Vérifier que le protecteur TPM-only n'est plus actif
$protectors = (Get-BitLockerVolume C:).KeyProtector
$protectors | Select-Object KeyProtectorType

Pour les environnements avec Intune, activez la stratégie "Require additional authentication at startup" et configurez "Configuré TPM startup PIN" sur "Require startup PIN with TPM". Cette configuration s'applique à la fois aux postes non chiffrés et à ceux déjà chiffrés en mode TPM-only. Pour les PME de Lyon et des grandes métropoles avec des parcs importants, un déploiement via Intune ou SCCM est recommandé plutôt qu'une intervention poste par poste.

5. Contexte et comparaison avec d'autres failles récentes

YellowKey s'inscrit dans une tendance inquiétante de 2026 : la multiplication de vulnérabilités avec PoC public et délai de patch long. En comparaison avec les autres CVE récentes sur lesquelles 2LKATIME a publié des analyses :

Ce qui distingue YellowKey des autres : c'est la première faille de 2026 à cibler directement le chiffrement des données au repos sur Windows, et elle arrive dans un contexte où les contrôles réglementaires CNIL sur la protection des données se renforcent. La combinaison PoC public + pas de patch + impact RGPD direct en fait un sujet prioritaire pour tout RSSI ou DSI de PME française.

FAQ - CVE-2026-45585 YellowKey

Sources