Deux failles permettent de s’échapper d’une machine virtuelle

Une machine virtuelle sert entre autres à cela : ouvrir un fichier douteux, tester un logiciel inconnu, isoler ce qui doit l’être, avec l’idée rassurante que si tout part de travers, seule la machine invitée en souffrira. Deux failles corrigées ces derniers jours dans les outils de virtualisation pour poste de travail viennent écorner cette promesse.

Ce que permettent ces failles

La première, la plus grave, se loge dans la carte réseau virtuelle et permet d’exécuter du code sur la machine hôte : autrement dit, de sortir de la boîte. Elle est notée neuf virgule trois sur dix, ce qui la place tout en haut de l’échelle. La seconde vise le mécanisme des dossiers partagés, ceux qui permettent d’échanger des fichiers entre l’hôte et l’invité, et permet d’exécuter du code avec les droits du processus de virtualisation. Elle est notée huit virgule un.

Qui est concerné

Les versions récentes des deux produits de la gamme poste de travail, aussi bien la variante pour Windows et Linux que celle pour macOS. Les correctifs sont disponibles dans la dernière mise à jour publiée ; ceux qui sont restés sur la génération précédente devront migrer, car le correctif n’a pas été porté en arrière. Les dossiers partagés, eux, peuvent être désactivés en attendant, ce qui neutralise la seconde faille sans rien installer.

La bonne nouvelle, et la mauvaise

La bonne : les deux failles demandent des droits d’administrateur à l’intérieur de la machine virtuelle. Un document piégé ouvert dans un compte ordinaire de l’invité ne suffit donc pas, il faut déjà avoir pris la main dessus. La mauvaise : c’est précisément le scénario pour lequel on utilise une machine virtuelle. Personne n’isole un logiciel inoffensif. Celui qui teste un exécutable douteux lui donne souvent les pleins pouvoirs dans l’invité, parce que c’est justement le but de l’exercice.

Ce qu’on ne sait pas

Rien n’indique à ce jour que ces failles soient exploitées, et l’éditeur n’a signalé aucune attaque en cours. C’est rassurant, mais il faut savoir ce que vaut ce genre de silence : personne n’a rien vu, ce qui n’est pas la même chose que personne n’a rien fait. Les détails techniques sont publics, les correctifs aussi, et l’écriture d’un code d’exploitation à partir d’un correctif est un exercice bien rodé. La fenêtre de tranquillité, s’il y en a une, est courte.

En bref

• Deux failles permettent de sortir d’une machine virtuelle pour atteindre le système hôte.
• La plus grave est notée 9,3 sur 10 et vise la carte réseau virtuelle.
• La seconde, notée 8,1, exploite le mécanisme des dossiers partagés.
• Les deux exigent des droits d’administrateur dans la machine invitée.
• Le correctif est disponible dans la dernière mise à jour ; la génération précédente n’est pas corrigée.
• Désactiver les dossiers partagés neutralise la seconde faille en attendant.

Sources : bulletin de sécurité de l’éditeur, IT-Connect.

Le Bien Heureux · Redaction Capibara · Mardi 8 septembre 2026