Des chercheurs des universités de Birmingham et de Durham ont récemment découvert une faille qui leur permet de contourner certaines des protections les plus importantes de Windows 11 en attaquant directement la RAM. Baptisée « Download More RAM », cette attaque fonctionne entièrement par logiciel et concerne certains modules DDR4 et DDR5 vendus dans le commerce.
Présentés lors du USENIX Security Symposium 2026, ces travaux a reçu un Distinguished Paper Award. Microsoft avait été prévenu avant leur publication et attribuait à cette vulnérabilité la référence CVE-2026-23670.
Une attaque qui fait croire au PC qu’il a plus de RAM
Pour connaître les caractéristiques de la mémoire installée, un ordinateur récupère différentes informations stockées sur les barrettes RAM. Le problème est que, sur certains modèles, la puce contenant ces données n’est pas protégée contre les modifications.
Les chercheurs ont pu modifier ces informations directement à l’aide d’un logiciel afin de faire croire au PC qu’il dispose de deux fois plus de mémoire qu’en réalité.
Le système se retrouve alors avec de nouvelles adresses mémoire qui pointent en réalité vers des zones déjà existantes. Ces « alias mémoire » permettent de contourner les contrôles normalement appliqués par Windows et le processeur.
Selon chercheurs de l’Université de Birminghamcette technique leur permettait de lire et de modifier des zones de mémoire qui devaient rester inaccessibles, y compris avec les droits d’administrateur.
VBS, HVCI et antivirus peuvent être contournés
Les chercheurs ont utilisé cette méthode pour contourner la sécurité basée sur la virtualisation (VBS) et l’intégrité du code renforcé par l’hyperviseur (HVCI), deux protections utilisées par Windows 11 pour isoler certaines parties sensibles du système.
Ils ont également réussi à désactiver Windows Defender et d’autres solutions antivirus et EDR, à réactiver les pilotes vulnérables normalement bloqués par Windows, à contourner certaines restrictions appliquées aux PC professionnels et à neutraliser les systèmes anti-triche fonctionnant au niveau du noyau.
L’équipe a même créé un script capable d’enchaîner automatiquement plusieurs étapes de l’attaque : création d’alias mémoire, redémarrage du PC puis désactivation de l’antivirus.
Cependant, une précision importante doit être apportée. Cette attaque ne permet pas à n’importe qui de prendre le contrôle d’un PC Windows 11 à distance. L’attaquant doit déjà être capable d’exécuter du code avec des privilèges élevés sur la machine. « Télécharger plus de RAM » lui permet alors de passer à travers des protections qui sont normalement censées résister même à un utilisateur disposant de droits d’administrateur.
Certains modules DDR4 et DDR5 sont concernés
En étudiant plusieurs bandes grand public, les chercheurs ont découvert qu’au moins une gamme commercialisée par Corsair, G.Skill et ADATA utilisait une puce de configuration dépourvue de protection en écriture.
Toutes les barrettes de ces fabricants ne sont donc pas forcément vulnérables. Les chercheurs indiquent également que les modules testés chez Crucial, Kingston et HyperX, ainsi que certaines références G.Skill, disposent d’une protection partielle suffisante pour empêcher cette attaque.
Microsoft protège déjà Windows contre cette attaque
Si les travaux viennent tout juste d’être rendus publics, Microsoft en avait été informé plusieurs mois auparavant. La société a déployé des mesures de protection avec ses mises à jour de sécurité d’avril 2026.
Les PC Windows à jour avec Secure Boot activé sont protégés contre la forme actuelle de « Télécharger plus de RAM ». Les machines utilisant Windows sans Secure Boot restent cependant vulnérables.
Corsaire a également ajouté iCUE une option pour activer la protection en écriture sur les bandes concernées. HWiNFO offre une fonction similaire pour les modules d’autres fabricants, tandis que certaines cartes mères ont une option directement dans leur BIOS pour bloquer les modifications de ces informations.
