Cyberpediapar Brain
FRDEEN

Attaques par canal auxiliaire

Spectre et Meltdown : comment un code malveillant lit des secrets via le processeur, sans rien afficher à l'écran, et comment s'en protéger.

En 30 secondes

Où ça arrive
Sur un ordinateur, un téléphone ou un serveur dont le processeur est concerné, dès qu'un code étranger s'y exécute (JavaScript, publicité malveillante, hameçonnage)1.
Ce que veut l'attaquant
Lire de la mémoire qui ne lui est pas destinée, donc des frappes au clavier, des mots de passe ou des clés de chiffrement1.
Le réflexe
Installer les correctifs de sécurité dans les plus brefs délais, et uniquement depuis les sources officielles des éditeurs2.
Si c'est déjà fait
Appliquer quand même les mises à jour suivantes, car certains premiers correctifs étaient partiels2.

De quoi parle-t-on

Une attaque par canal auxiliaire observe un effet secondaire du calcul, par exemple le temps qu'une lecture en mémoire met à aboutir, et en déduit une information que l'attaquant n'a pas le droit de lire.

Spectre et Meltdown, rendues publiques le 4 janvier 20182, en sont deux exemples. Elles touchent le processeur lui-même. Spectre concerne presque tous les appareils1, tandis que Meltdown ne touche pas AMD2. Rien n'apparaît à l'écran du salarié : son rôle est de garder ses appareils à jour et de n'installer les correctifs que depuis les sources officielles2.

Questions directes

Est-ce que je verrais quelque chose si j'étais visé ?

Non, les sources citées ici ne décrivent aucun signe visible à l'écran. Un antivirus classique repose sur des signatures et peut ne pas détecter ces vulnérabilités1. Le CERT-FR a toutefois publié des règles Yara pour repérer les binaires liés à une bibliothèque publique de démonstration de Meltdown, ce qui concerne les équipes de sécurité, pas les salariés2.

Faut-il cliquer sur quelque chose pour être attaqué ?

L'attaquant doit d'abord faire exécuter du code sur la machine. La CISA cite le JavaScript malveillant, la publicité malveillante et l'hameçonnage comme moyens d'y parvenir1.

Quels appareils sont concernés ?

Spectre touche presque tous les appareils : ordinateurs de bureau et portables, serveurs dans le nuage et téléphones1. Les chercheurs parlent de processeurs Intel, AMD et ARM utilisés dans des milliards d'appareils3. Selon le CERT-FR, AMD est vulnérable à Spectre mais pas à Meltdown2.

Un correctif suffit-il ?

Pas toujours. Pour Spectre, la CISA indique que la faille se trouve dans l'architecture du processeur et non dans un logiciel, qu'elle est difficile à corriger, mais plus difficile à exploiter1. Les auteurs de l'article de recherche estiment que des solutions solides demanderont de modifier la conception des processeurs3.

1Dans la peau de l'attaquant1 min

L'attaquant veut les données qu'un autre programme garde en mémoire. Sur un poste de travail, c'est la mémoire du système d'exploitation, qui contient selon la CISA des frappes au clavier, des mots de passe et des clés de chiffrement1.

Le point de départ est un code qu'il parvient à faire tourner : JavaScript malveillant, publicité malveillante ou hameçonnage1. Une fois ce code en place, le CERT-FR explique que Meltdown permet d'accéder, depuis un programme utilisateur, à la mémoire du système d'exploitation2. La CISA ajoute qu'un attaquant pourrait aussi élever ses privilèges pour exploiter ces failles1.

L'impact est plus lourd là où des ressources sont partagées. Le CERT-FR note que depuis un conteneur (Docker, LXC), il pourrait être possible d'accéder aux données de la machine physique qui l'héberge2.

2Ce que vous voyez à l'écran1 min

Rien de particulier. Les sources citées ici ne décrivent aucun message ni ralentissement comme signal d'alerte. Le seul effet visible est du côté de la défense : après correction, les performances peuvent varier selon l'usage, et la CISA demande aux administrateurs de les surveiller sur les applications critiques1.

Un piège existe en revanche autour du sujet, et il est visible : des faux correctifs (voir plus bas).

3Sous le capotÉquipes IT1 min

Les processeurs modernes cherchent à aller vite. Le CERT-FR décrit deux techniques. Dans l'exécution dite out-of-order, les instructions s'exécutent selon la disponibilité des ressources de calcul et non plus de façon strictement séquentielle2. Dans l'exécution spéculative, le processeur émet des hypothèses sur des résultats pas encore disponibles et poursuit son travail ; si l'hypothèse est fausse, les effets sont annulés2.

Meltdown exploite une faiblesse de la première : une instruction peut s'exécuter sans que le niveau de privilège requis soit correctement vérifié. Son résultat n'est pas validé ensuite, mais l'information peut être récupérée par un canal caché2.

Spectre exploite la seconde. Les effets d'une exécution spéculative erronée sur le cache perdurent, et en mesurant des temps d'accès à des zones mémoires, on connaît l'état du cache. L'attaquant en déduit les résultats intermédiaires de l'exécution erronée2. Les auteurs de l'article de recherche décrivent cela comme induire la victime à exécuter spéculativement des opérations qui n'auraient pas lieu normalement et dont l'information fuit par un canal auxiliaire3.

Trois identifiants désignent les failles initiales : CVE-2017-5753 et CVE-2017-5715 pour Spectre, CVE-2017-5754 pour Meltdown2.

4AutopsiesCas réels2 min

3 et 4 janvier 2018 : la révélation

La CISA indique avoir eu connaissance de Meltdown et Spectre le 3 janvier 20181. L'article de recherche sur Spectre est déposé le même jour3. Le CERT-FR date du 4 janvier 2018 la publication des deux vulnérabilités2, et publie le même jour un avis sur les produits VMware : ESXi, Workstation et Fusion sont concernés tant que les correctifs ne sont pas installés4.

Un faux correctif au nom de la BSI

Le CERT-FR constate une campagne de pourriels qui profite de la situation. Des attaquants se faisant passer pour la BSI, l'équivalent allemand de l'ANSSI, invitent les destinataires à se rendre sur une copie de son site. L'alerte y est modifiée : l'utilisateur est invité à installer un correctif qui est en réalité un logiciel malveillant2. Le CERT-FR rappelle de n'installer les correctifs que depuis les sources officielles des éditeurs2.

Avril 2018 : « Total Meltdown »

Selon la CISA, les utilisateurs de Windows 7 64 bits ou Windows Server 2008 R2 64 bits sur processeur Intel, ayant installé le correctif de janvier ou février 2018, devaient installer le dernier correctif sans attendre. D'après le chercheur Ulf Frisk, les correctifs précédents contenaient une faille permettant de lire et d'écrire dans la mémoire du noyau1. Elle porte l'identifiant CVE-2018-10381.

Mai 2018 : de nouvelles variantes

Le 21 mai 2018, deux nouvelles vulnérabilités fondées sur des principes similaires, CVE-2018-3639 et CVE-2018-3640, sont publiées2.

5Ce que vous faites1 min
  • Installez les mises à jour du système et du navigateur. Pour les micrologiciels d'Intel, le CERT-FR recommande une prudence accrue, voire d'attendre la version finale, et de tester les correctifs dans des environnements contrôlés avant de les déployer2.
  • N'installez que des logiciels de confiance. Téléchargez correctifs et micrologiciels directement depuis le site de l'éditeur1.
  • Si votre poste est géré par l'entreprise, laissez le service informatique conduire les mises à jour. Le NCSC recommande une politique de mise à jour par défaut, avec application des correctifs au plus tôt et idéalement de façon automatique5.
  • Ne suivez pas un courriel qui vous demande d'installer un « correctif » : passez par les sources officielles2.
6Les pièges1 min

Le premier piège est de croire que l'antivirus protège. La CISA invite à vérifier avec l'éditeur de l'antivirus la compatibilité avec les correctifs1. Selon le CERT-FR, les correctifs de Microsoft dépendent des antivirus installés2.

Autre piège : se fier à un premier correctif. Plusieurs éditeurs n'avaient publié que des correctifs partiels2, et le cas « Total Meltdown » montre qu'un correctif peut lui-même contenir une faille1.

Enfin, le retard des mises à jour des mises à jour pose aussi problème : le NCSC précise que décider de ne pas mettre à jour est une décision de risque au niveau de la direction5.

Fiche

Identifiant
CP-087
Aile
1. Attaques et techniques
Compétence Brain
Sécuriser ses appareils (secure_devices)
Réflexe Brain
cr-054
Schéma
G3 · Coupe Anatomique
Langues
de, en, fr
Sources
5 sources vérifiées le 3 novembre 2026
Sources5 sources
  1. CISA, « Meltdown and Spectre Side-Channel Vulnerability Guidance », 4 janvier 2018. https://www.cisa.gov/news-events/alerts/2018/01/04/meltdown-and-spectre-side-channel-vulnerability-guidance (consulté le 3 novembre 2026)
  2. CERT-FR (ANSSI), « Multiples vulnérabilités de fuite d'informations dans des processeurs », 4 janvier 2018. https://cert.cyber.gouv.fr/alerte/CERTFR-2018-ALE-001/ (consulté le 3 novembre 2026)
  3. arXiv, « Spectre Attacks: Exploiting Speculative Execution », 3 janvier 2018. https://arxiv.org/abs/1801.01203 (consulté le 3 novembre 2026)
  4. CERT-FR (ANSSI), « Multiples vulnérabilités dans les produits VMware », 4 janvier 2018. https://cert.cyber.gouv.fr/avis/CERTFR-2018-AVI-006/ (consulté le 3 novembre 2026)
  5. NCSC (Royaume-Uni), « Vulnerability management guidance ». https://www.ncsc.gov.uk/collection/vulnerability-management/guidance (consulté le 3 novembre 2026)

Citer cet article

Brain, « Attaques par canal auxiliaire », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/attaques-canal-auxiliaire-spectre-meltdown/

BibTeX 
@misc{brain_cp087_fr_2026,
  author = {Brain},
  title = {Attaques par canal auxiliaire},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/attaques-canal-auxiliaire-spectre-meltdown/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0