Le fondateur de Binance, Zhao Changpeng, partage un avertissement sur la vulnérabilité CVE-2026-83844 de Microsoft Paint, appelant à une mise à jour immédiate du système d'exploitation

Dans le monde des cryptomonnaies (120btc.CoM) : Le 7 novembre à 15h19, heure de Pékin, Zhao Changpeng (CZ), co-fondateur de Binance, a partagé sur la plateforme sociale X un avertissement de sécurité grave concernant un composant central du système d'exploitation de Microsoft. L'alerte vise le programme de dessin intégré de Windows (Microsoft Paint), qui présente une vulnérabilité à haut risque d'exécution de code à distance. Dans son tweet, Zhao a lancé un avertissement franc à la communauté concernant la protection des points d'extrémité des actifs cryptographiques, soulignant que "les logiciels d'application ne peuvent pas vous protéger contre les vulnérabilités du système d'exploitation, veuillez mettre à jour immédiatement le système d'exploitation".

La source de cette alerte pour l'ensemble de l'industrie provient d'un rapport de surveillance publié le 6 novembre au matin par Dark Web Informer, une agence de suivi des cybercriminalités et des informations sur le dark web. Les détails techniques révélés dans ce rapport indiquent :

• Évaluation des risques élevée : La vulnérabilité a été officiellement identifiée sous le numéro CVE-2026-83844, avec un score de CVSS atteignant 8.1, la classant dans la catégorie des risques élevés selon le système de notation des vulnérabilités communes (CVSS) ;

• Aucune interaction externe requise : Les premières observations ont indiqué qu'un attaquant externe non authentifié pouvait lancer une attaque sans nécessiter d'action préalable de l'opérateur sur l'appareil cible, permettant ainsi une infiltration à distance pour exécuter du code malveillant ;

• L'étendue des versions exposées s'est considérablement élargie : Les premières informations estimaient que les versions de logiciels concernées étaient celles antérieures à 11.2605.91.0, mais les révisions techniques officielles ultérieures ont contredit cette estimation optimiste.

En fait, depuis le 5 novembre, Zhao Changpeng a exprimé publiquement au moins quatre fois son inquiétude concernant le renforcement de la sécurité des appareils terminaux sur les réseaux sociaux. Le 5 novembre, en partageant un avertissement de l'agence de sécurité SlowMist concernant la vulnérabilité de l'ensemble malveillant iOS DarkSword, il a brièvement demandé aux utilisateurs de maintenir leurs appareils mobiles à jour ; et dans un post le lendemain, il a approfondi la question de la responsabilité dans la finance décentralisée, affirmant qu'aucun logiciel de portefeuille ne pouvait réparer le système d'exploitation en profondeur, l'auto-hébergement signifie être responsable de soi-même, élevant la protection des appareils personnels au rang de première règle de sécurité pour les détenteurs de cryptomonnaies.

Dossier technique de correction de la vulnérabilité par Microsoft

Face à l'escalade des menaces externes, le Centre de réponse aux incidents de sécurité de Microsoft (MSRC) a procédé à des révisions dynamiques du dossier technique concernant cette vulnérabilité. Selon les enregistrements officiels, la vulnérabilité a été initialement enregistrée lors de la mise à jour de sécurité mensuelle le 13 octobre, heure de l'Est (correspondant au 14 octobre, heure de Pékin). Sur le plan technique, cette vulnérabilité appartient à la catégorie classique de lecture hors limites (CWE-125), où le programme lit de manière anormale des données sensibles en dehors des limites de mémoire configurées.

Le 6 novembre, heure de l'Est, Microsoft a apporté des modifications majeures à son guide de correction concernant cette vulnérabilité :

• Augmentation des exigences de version de patch : Microsoft a confirmé que la version de défense 11.2605.91.0, citée précédemment, n'était pas complète, et que les utilisateurs devaient mettre à jour l'application Paint vers la version 11.2609.401.0 pour bloquer complètement les canaux de lecture de mémoire anormale ;

• Couverture totale des anciennes branches de publication : La base de données officielle CVE a également corrigé le champ d'application des produits affectés, précisant que toutes les versions inférieures à 11.2609.401.0 sont considérées comme des cibles potentiellement vulnérables ;

• Renforcement des mises à jour automatiques : Le chemin de correction publié par Microsoft ne peut être distribué que via le Microsoft Store, et Microsoft recommande vivement aux utilisateurs de vérifier manuellement la version de leur logiciel local ou de s'assurer que le canal de mise à jour automatique de l'application store est activé.

Vecteur d'attaque avec une pénétration extrême

En examinant la structure du vecteur sous-jacent, les indicateurs CVSS mettent en évidence le caractère pénétrant de cette vulnérabilité : son vecteur d'attaque est marqué comme accès réseau (AV:N), et le processus d'exploitation ne nécessite aucune autorisation préalable ni interaction utilisateur (PR:N et UI:N). Microsoft a précisé dans ses explications complémentaires que les attaquants peuvent livrer des paquets de données spécialement construits à un processus de service affecté via le réseau, et si la déconstruction de la mémoire échoue, ils peuvent obtenir le contrôle à distance pour exécuter n'importe quelle instruction sur la machine hôte cible.

Cependant, en ce qui concerne la difficulté d'exploitation réelle, les critères d'évaluation présentent des divergences multidimensionnelles :

• Dépendance à des conditions de pénétration personnalisées : Microsoft a classé la complexité d'attaque de cette vulnérabilité comme élevée (AC:H), indiquant que les attaquants doivent avoir une connaissance approfondie de la disposition de la mémoire sous-jacente et de l'environnement d'exécution du système cible, et la réussite de l'attaque dépend fortement de la topologie du réseau, de la configuration du système hôte et d'autres stratégies de défense périphériques ;

• Évaluation de la gravité avec des disparités : La gravité interne fournie par Microsoft est qualifiée d'"importante", un niveau inférieur à celui de l'agence de renseignement sur les menaces tierces qui l'a qualifiée de "critique" (Critical), et le modèle officiel prédit que la probabilité d'une exploitation généralisée de cette vulnérabilité dans un environnement de production est relativement faible ;

• L'exposition des terminaux face à la sécurité auto-gérée constitue un défi structurel : Bien que l'exploitation technique présente des frictions, le fait que les portefeuilles décentralisés dépendent entièrement du mécanisme d'isolation de la mémoire du système d'exploitation local pour le calcul et le stockage des clés privées signifie qu'une fois que les composants natifs du système d'exploitation sont confrontés à une injection de code, la logique de cryptage des phrases mnémotechniques au niveau de l'application sera directement exposée au risque d'être contournée.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.