// CLUBIC — CYBERSECURITY
NordVPN corrige une faille permettant à des pirates de désactiver des services Windows, mettez votre application à jour
Une vulnérabilité découverte dans NordVPN pour Windows permettait à un programme malveillant d'arrêter certains services système sans disposer des droits administrateur. Le fournisseur a déjà publié un correctif.
Le CERT Polska vient de communiquer sur une vulnérabilité dans l'application Windows de NordVPN. Référencée CVE-2026-106030 (CVSS 6.8), elle permet à un programme exécuté avec des droits limités d'arrêter certains services Windows ou de modifier leur configuration de démarrage, sans disposer des autorisations normalement nécessaires. Signalée par le chercheur Marcin Ressel, la faille a été corrigée fin septembre par le fournisseur VPN, mais les utilisateurs et utilisatrices qui n'ont pas mis à jour leur application peuvent encore y être exposés.
Dans le détail, le problème résulte d'un défaut de contrôle des autorisations dans le système de communication interne de NordVPN sur Windows. L'application ne vérifiait pas correctement si les programmes qui lui transmettaient des commandes étaient autorisés à le faire. Un logiciel malveillant pouvait alors profiter des privilèges de NordVPN pour effectuer des opérations normalement réservées aux processus autorisés. Selon les services ciblés, l'attaque pouvait perturber le fonctionnement de Windows ou de certaines applications, voire empêcher leur démarrage automatique.
L'exploitation nécessitait toutefois l'exécution préalable d'un programme sur l'ordinateur visé. La faille ne pouvait donc pas être exploitée directement à distance. Les services bénéficiant des protections renforcées de Windows, comme Microsoft Defender, ne pouvaient pas non plus être désactivés de cette manière.
Nord Security avait déjà remédié au problème lorsque le CERT Polska a rendu ses conclusions publiques, au terme d'une procédure de divulgation coordonnée. Le correctif figure dans la version 8.12 de NordVPN pour Windows, publiée le 24 septembre, mais le fournisseur n'en a pas fait mention dans les notes de cette mise à jour. Les utilisateurs et utilisatrices disposant d'une version antérieure à la 8.12 doivent donc mettre leur application à jour pour ne plus être exposés à cette faille.
NordVPN reste un service complet et solide pour le grand public, porté par un réseau étendu, d’excellents débits avec NordLynx et une gamme de fonctions qui dépasse largement le seul tunnel VPN. Meshnet, l’analyse des téléchargements, la protection contre le phishing et les arnaques, ainsi que la surveillance du Dark Web renforcent encore l’ensemble. L’application manque toutefois d’indicateurs pour comparer finement les serveurs et pousse assez clairement à laisser la protection active en permanence.
Une élévation de privilèges locale (LPE) permet à un programme déjà présent sur la machine, lancé avec des droits limités, d’effectuer des actions normalement réservées à des comptes plus puissants (administrateur ou SYSTEM). Dans Windows, ces actions passent souvent par des services, qui tournent avec des privilèges élevés et contrôlent des fonctions sensibles (réseau, sécurité, mises à jour). Contrairement à une attaque à distance, il faut d’abord parvenir à exécuter du code sur l’ordinateur (via un malware, une pièce jointe, un installateur piégé, etc.). L’impact typique est la désactivation de composants, la perturbation du système, ou la préparation d’étapes d’attaque plus graves. Le fait que ce soit “local” réduit la surface d’attaque sur Internet, mais reste sérieux si la machine est déjà compromise.
Les applications Windows utilisent souvent un mécanisme de communication inter-processus (IPC) pour dialoguer entre une interface utilisateur et un composant plus privilégié (service, agent, driver). Si ce canal IPC ne vérifie pas correctement l’identité du demandeur ni ses autorisations, un autre programme peut lui envoyer des commandes comme s’il était légitime. Le composant privilégié exécute alors la demande avec ses propres droits, ce qui contourne les restrictions normales imposées à l’utilisateur. Concr