Une vulnérabilité découverte dans NordVPN pour Windows permettait à un programme malveillant d'arrêter certains services système sans disposer des droits administrateur. Le fournisseur a déjà publié un correctif.
Le CERT Polska vient de communiquer sur une vulnérabilité dans l'application Windows de NordVPN. Référencée CVE-2026-106030 (CVSS 6.8), elle permet à un programme exécuté avec des droits limités d'arrêter certains services Windows ou de modifier leur configuration de démarrage, sans disposer des autorisations normalement nécessaires. Signalée par le chercheur Marcin Ressel, la faille a été corrigée fin septembre par le fournisseur VPN, mais les utilisateurs et utilisatrices qui n'ont pas mis à jour leur application peuvent encore y être exposés.
Des privilèges détournés pour agir sur les services Windows
Dans le détail, le problème résulte d'un défaut de contrôle des autorisations dans le système de communication interne de NordVPN sur Windows. L'application ne vérifiait pas correctement si les programmes qui lui transmettaient des commandes étaient autorisés à le faire. Un logiciel malveillant pouvait alors profiter des privilèges de NordVPN pour effectuer des opérations normalement réservées aux processus autorisés. Selon les services ciblés, l'attaque pouvait perturber le fonctionnement de Windows ou de certaines applications, voire empêcher leur démarrage automatique.
L'exploitation nécessitait toutefois l'exécution préalable d'un programme sur l'ordinateur visé. La faille ne pouvait donc pas être exploitée directement à distance. Les services bénéficiant des protections renforcées de Windows, comme Microsoft Defender, ne pouvaient pas non plus être désactivés de cette manière.
Nord Security avait déjà remédié au problème lorsque le CERT Polska a rendu ses conclusions publiques, au terme d'une procédure de divulgation coordonnée. Le correctif figure dans la version 8.12 de NordVPN pour Windows, publiée le 24 septembre, mais le fournisseur n'en a pas fait mention dans les notes de cette mise à jour. Les utilisateurs et utilisatrices disposant d'une version antérieure à la 8.12 doivent donc mettre leur application à jour pour ne plus être exposés à cette faille.
- storage9500 serveurs
- language167 pays couverts
- lan10 connexions simultanées
- moodEssai gratuit 30 jours
- thumb_upAvantage : sécurité polyvalente
NordVPN reste un service complet et solide pour le grand public, porté par un réseau étendu, d’excellents débits avec NordLynx et une gamme de fonctions qui dépasse largement le seul tunnel VPN. Meshnet, l’analyse des téléchargements, la protection contre le phishing et les arnaques, ainsi que la surveillance du Dark Web renforcent encore l’ensemble. L’application manque toutefois d’indicateurs pour comparer finement les serveurs et pousse assez clairement à laisser la protection active en permanence.
- Très bonnes performances avec NordLynx
- Réseau de serveurs très étendu
- Meshnet vraiment pratique au quotidien
- Politique no-log auditée régulièrement
- Support réactif, avec assistance en français
- Pas d’indicateur de charge ou de latence par serveur
- Interface qui pousse à garder le VPN activé en permanence
Une élévation de privilèges locale (LPE) permet à un programme déjà présent sur la machine, lancé avec des droits limités, d’effectuer des actions normalement réservées à des comptes plus puissants (administrateur ou SYSTEM). Dans Windows, ces actions passent souvent par des services, qui tournent avec des privilèges élevés et contrôlent des fonctions sensibles (réseau, sécurité, mises à jour). Contrairement à une attaque à distance, il faut d’abord parvenir à exécuter du code sur l’ordinateur (via un malware, une pièce jointe, un installateur piégé, etc.). L’impact typique est la désactivation de composants, la perturbation du système, ou la préparation d’étapes d’attaque plus graves. Le fait que ce soit “local” réduit la surface d’attaque sur Internet, mais reste sérieux si la machine est déjà compromise.
Les applications Windows utilisent souvent un mécanisme de communication inter-processus (IPC) pour dialoguer entre une interface utilisateur et un composant plus privilégié (service, agent, driver). Si ce canal IPC ne vérifie pas correctement l’identité du demandeur ni ses autorisations, un autre programme peut lui envoyer des commandes comme s’il était légitime. Le composant privilégié exécute alors la demande avec ses propres droits, ce qui contourne les restrictions normales imposées à l’utilisateur. Concrètement, cela peut se traduire par un arrêt de service ou un changement de “Startup type” (Automatique, Manuel, Désactivé) via les API de gestion des services Windows. C’est un schéma classique de “confusion d’autorité” : le contrôle est fait au mauvais endroit, ou pas assez strictement.
Un CVE (Common Vulnerabilities and Exposures) est un identifiant public standardisé qui permet de référencer une faille de manière unique, quel que soit l’éditeur ou la source qui en parle. Le CVSS (Common Vulnerability Scoring System) donne un score de gravité sur 10 à partir de critères comme le vecteur d’attaque (local ou réseau), la complexité, les privilèges requis et l’impact sur la confidentialité, l’intégrité et la disponibilité. Un score de 6.8 se situe généralement dans une zone “moyenne à élevée” : ce n’est pas anodin, mais ce n’est pas non plus le niveau maximal associé à une prise de contrôle à distance sans interaction. Dans ce cas, le besoin d’exécuter d’abord un programme sur la machine pèse souvent sur la note, tandis que l’impact potentiel sur la disponibilité (arrêt de services) la fait remonter. Le CVSS sert à prioriser les correctifs, mais ne remplace pas l’analyse du contexte (poste critique, parc d’entreprise, protections en place).
