--- id: CP-087 slug: attaques-canal-auxiliaire-spectre-meltdown lang: fr title: Attaques par canal auxiliaire description: "Spectre et Meltdown : comment un code malveillant lit des secrets via le processeur, sans rien afficher à l'écran, et comment s'en protéger." canonical_url: https://startbrain.io/cyberpedia/fr/articles/attaques-canal-auxiliaire-spectre-meltdown/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/attaques-canal-auxiliaire-spectre-meltdown.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Attaques par canal auxiliaire », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/attaques-canal-auxiliaire-spectre-meltdown/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-054 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/attaques-canal-auxiliaire-spectre-meltdown/ en: https://startbrain.io/cyberpedia/en/articles/side-channel-attacks-spectre-meltdown/ de: https://startbrain.io/cyberpedia/de/articles/seitenkanalangriffe-spectre-meltdown/ es: https://startbrain.io/cyberpedia/es/articles/ataques-canal-auxiliar-spectre-meltdown/ sources: - "n": 1 title: Meltdown and Spectre Side-Channel Vulnerability Guidance publisher: CISA url: https://www.cisa.gov/news-events/alerts/2018/01/04/meltdown-and-spectre-side-channel-vulnerability-guidance published: "2018-01-04" accessed: "2026-11-03" - "n": 2 title: Multiples vulnérabilités de fuite d'informations dans des processeurs publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/alerte/CERTFR-2018-ALE-001/ published: "2018-01-04" accessed: "2026-11-03" - "n": 3 title: "Spectre Attacks: Exploiting Speculative Execution" publisher: arXiv url: https://arxiv.org/abs/1801.01203 published: "2018-01-03" accessed: "2026-11-03" - "n": 4 title: Multiples vulnérabilités dans les produits VMware publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/avis/CERTFR-2018-AVI-006/ published: "2018-01-04" accessed: "2026-11-03" - "n": 5 title: Vulnerability management guidance publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/vulnerability-management/guidance accessed: "2026-11-03" --- # Attaques par canal auxiliaire Une attaque par canal auxiliaire observe un effet secondaire du calcul, par exemple le temps qu'une lecture en mémoire met à aboutir, et en déduit une information que l'attaquant n'a pas le droit de lire. Spectre et Meltdown, rendues publiques le 4 janvier 2018 [2], en sont deux exemples. Elles touchent le processeur lui-même. Spectre concerne presque tous les appareils [1], tandis que Meltdown ne touche pas AMD [2]. Rien n'apparaît à l'écran du salarié : son rôle est de garder ses appareils à jour et de n'installer les correctifs que depuis les sources officielles [2]. ## En 30 secondes - Où ça arrive : sur un ordinateur, un téléphone ou un serveur dont le processeur est concerné, dès qu'un code étranger s'y exécute (JavaScript, publicité malveillante, hameçonnage) [1]. - Ce que veut l'attaquant : lire de la mémoire qui ne lui est pas destinée, donc des frappes au clavier, des mots de passe ou des clés de chiffrement [1]. - Le réflexe : installer les correctifs de sécurité dans les plus brefs délais, et uniquement depuis les sources officielles des éditeurs [2]. - Si c'est déjà fait : appliquer quand même les mises à jour suivantes, car certains premiers correctifs étaient partiels [2]. ## Questions directes ### Est-ce que je verrais quelque chose si j'étais visé ? Non, les sources citées ici ne décrivent aucun signe visible à l'écran. Un antivirus classique repose sur des signatures et peut ne pas détecter ces vulnérabilités [1]. Le CERT-FR a toutefois publié des règles Yara pour repérer les binaires liés à une bibliothèque publique de démonstration de Meltdown, ce qui concerne les équipes de sécurité, pas les salariés [2]. ### Faut-il cliquer sur quelque chose pour être attaqué ? L'attaquant doit d'abord faire exécuter du code sur la machine. La CISA cite le JavaScript malveillant, la publicité malveillante et l'hameçonnage comme moyens d'y parvenir [1]. ### Quels appareils sont concernés ? Spectre touche presque tous les appareils : ordinateurs de bureau et portables, serveurs dans le nuage et téléphones [1]. Les chercheurs parlent de processeurs Intel, AMD et ARM utilisés dans des milliards d'appareils [3]. Selon le CERT-FR, AMD est vulnérable à Spectre mais pas à Meltdown [2]. ### Un correctif suffit-il ? Pas toujours. Pour Spectre, la CISA indique que la faille se trouve dans l'architecture du processeur et non dans un logiciel, qu'elle est difficile à corriger, mais plus difficile à exploiter [1]. Les auteurs de l'article de recherche estiment que des solutions solides demanderont de modifier la conception des processeurs [3]. ## Dans la peau de l'attaquant L'attaquant veut les données qu'un autre programme garde en mémoire. Sur un poste de travail, c'est la mémoire du système d'exploitation, qui contient selon la CISA des frappes au clavier, des mots de passe et des clés de chiffrement [1]. Le point de départ est un code qu'il parvient à faire tourner : JavaScript malveillant, publicité malveillante ou hameçonnage [1]. Une fois ce code en place, le CERT-FR explique que Meltdown permet d'accéder, depuis un programme utilisateur, à la mémoire du système d'exploitation [2]. La CISA ajoute qu'un attaquant pourrait aussi élever ses privilèges pour exploiter ces failles [1]. L'impact est plus lourd là où des ressources sont partagées. Le CERT-FR note que depuis un conteneur (Docker, LXC), il pourrait être possible d'accéder aux données de la machine physique qui l'héberge [2]. ## Ce que vous voyez à l'écran Rien de particulier. Les sources citées ici ne décrivent aucun message ni ralentissement comme signal d'alerte. Le seul effet visible est du côté de la défense : après correction, les performances peuvent varier selon l'usage, et la CISA demande aux administrateurs de les surveiller sur les applications critiques [1]. Un piège existe en revanche autour du sujet, et il est visible : des faux correctifs (voir plus bas). ## Sous le capot Les processeurs modernes cherchent à aller vite. Le CERT-FR décrit deux techniques. Dans l'exécution dite out-of-order, les instructions s'exécutent selon la disponibilité des ressources de calcul et non plus de façon strictement séquentielle [2]. Dans l'exécution spéculative, le processeur émet des hypothèses sur des résultats pas encore disponibles et poursuit son travail ; si l'hypothèse est fausse, les effets sont annulés [2]. Meltdown exploite une faiblesse de la première : une instruction peut s'exécuter sans que le niveau de privilège requis soit correctement vérifié. Son résultat n'est pas validé ensuite, mais l'information peut être récupérée par un canal caché [2]. Spectre exploite la seconde. Les effets d'une exécution spéculative erronée sur le cache perdurent, et en mesurant des temps d'accès à des zones mémoires, on connaît l'état du cache. L'attaquant en déduit les résultats intermédiaires de l'exécution erronée [2]. Les auteurs de l'article de recherche décrivent cela comme induire la victime à exécuter spéculativement des opérations qui n'auraient pas lieu normalement et dont l'information fuit par un canal auxiliaire [3]. Trois identifiants désignent les failles initiales : CVE-2017-5753 et CVE-2017-5715 pour Spectre, CVE-2017-5754 pour Meltdown [2]. ## Autopsies ### 3 et 4 janvier 2018 : la révélation La CISA indique avoir eu connaissance de Meltdown et Spectre le 3 janvier 2018 [1]. L'article de recherche sur Spectre est déposé le même jour [3]. Le CERT-FR date du 4 janvier 2018 la publication des deux vulnérabilités [2], et publie le même jour un avis sur les produits VMware : ESXi, Workstation et Fusion sont concernés tant que les correctifs ne sont pas installés [4]. ### Un faux correctif au nom de la BSI Le CERT-FR constate une campagne de pourriels qui profite de la situation. Des attaquants se faisant passer pour la BSI, l'équivalent allemand de l'ANSSI, invitent les destinataires à se rendre sur une copie de son site. L'alerte y est modifiée : l'utilisateur est invité à installer un correctif qui est en réalité un logiciel malveillant [2]. Le CERT-FR rappelle de n'installer les correctifs que depuis les sources officielles des éditeurs [2]. ### Avril 2018 : « Total Meltdown » Selon la CISA, les utilisateurs de Windows 7 64 bits ou Windows Server 2008 R2 64 bits sur processeur Intel, ayant installé le correctif de janvier ou février 2018, devaient installer le dernier correctif sans attendre. D'après le chercheur Ulf Frisk, les correctifs précédents contenaient une faille permettant de lire et d'écrire dans la mémoire du noyau [1]. Elle porte l'identifiant CVE-2018-1038 [1]. ### Mai 2018 : de nouvelles variantes Le 21 mai 2018, deux nouvelles vulnérabilités fondées sur des principes similaires, CVE-2018-3639 et CVE-2018-3640, sont publiées [2]. ## Ce que vous faites - Installez les mises à jour du système et du navigateur. Pour les micrologiciels d'Intel, le CERT-FR recommande une prudence accrue, voire d'attendre la version finale, et de tester les correctifs dans des environnements contrôlés avant de les déployer [2]. - N'installez que des logiciels de confiance. Téléchargez correctifs et micrologiciels directement depuis le site de l'éditeur [1]. - Si votre poste est géré par l'entreprise, laissez le service informatique conduire les mises à jour. Le NCSC recommande une politique de mise à jour par défaut, avec application des correctifs au plus tôt et idéalement de façon automatique [5]. - Ne suivez pas un courriel qui vous demande d'installer un « correctif » : passez par les sources officielles [2]. ## Les pièges Le premier piège est de croire que l'antivirus protège. La CISA invite à vérifier avec l'éditeur de l'antivirus la compatibilité avec les correctifs [1]. Selon le CERT-FR, les correctifs de Microsoft dépendent des antivirus installés [2]. Autre piège : se fier à un premier correctif. Plusieurs éditeurs n'avaient publié que des correctifs partiels [2], et le cas « Total Meltdown » montre qu'un correctif peut lui-même contenir une faille [1]. Enfin, le retard des mises à jour des mises à jour pose aussi problème : le NCSC précise que décider de ne pas mettre à jour est une décision de risque au niveau de la direction [5]. ## Sources 1. CISA, « Meltdown and Spectre Side-Channel Vulnerability Guidance », 4 janvier 2018. https://www.cisa.gov/news-events/alerts/2018/01/04/meltdown-and-spectre-side-channel-vulnerability-guidance (consulté le 3 novembre 2026) 2. CERT-FR (ANSSI), « Multiples vulnérabilités de fuite d'informations dans des processeurs », 4 janvier 2018. https://cert.cyber.gouv.fr/alerte/CERTFR-2018-ALE-001/ (consulté le 3 novembre 2026) 3. arXiv, « Spectre Attacks: Exploiting Speculative Execution », 3 janvier 2018. https://arxiv.org/abs/1801.01203 (consulté le 3 novembre 2026) 4. CERT-FR (ANSSI), « Multiples vulnérabilités dans les produits VMware », 4 janvier 2018. https://cert.cyber.gouv.fr/avis/CERTFR-2018-AVI-006/ (consulté le 3 novembre 2026) 5. NCSC (Royaume-Uni), « Vulnerability management guidance ». https://www.ncsc.gov.uk/collection/vulnerability-management/guidance (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/attaques-canal-auxiliaire-spectre-meltdown/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.