Sur son blog dédié à la sécurité, Google a dévoilé une faille de sécurité présente dans Windows et celle-ci est présentée comme étant « critique ». Comprendre qu’elle permet un certain accès et a, surtout, déjà été exploitée par des hackers auprès de certains utilisateurs.
Il y a comme un problème cependant : la faille… n’a pas été bouchée par Microsoft. En effet, tous les utilisateurs sous Windows sont donc potentiellement des cibles pour les hackers. Google a alerté Microsoft de cette faille (qui passe par le processus win32k.sys) le 21 octobre dernier.
Sans surprise, Microsoft n’est pas tellement ravi d’apprendre que Google ait dévoilé publiquement la faille de sécurité en question. Dans un communiqué transmis à VentureBeat, Microsoft ne donne pas de date pour la sortie du correctif, mais invite les utilisateurs à passer sur Windows 10 et utiliser Microsoft Edge comme navigateur Internet.
Pour information, ce n’est pas la première fois que Google agit de la sorte et dévoile une faille avant le correctif. Il l’avait déjà en 2015 avec Windows 8.1, à deux reprises même. Mais les failles découvertes en 2015 n’étaient pas exploitées par des hackers, contrairement à celle présentée aujourd’hui.
Gageons que Microsoft fera (très) rapidement le nécessaire pour que ses utilisateurs soient en sécurité. Google a déjà bloqué la faille de manière indépendante pour les utilisateurs qui passent par Chrome.
Google dispose d’une équipe spécialisée dans la recherche de failles informatiques. En 2013, elle avait détaillé la façon dont elle comptait divulguer les vulnérabilités repérées : si les failles critiques ne sont pas réparées sept jours après leur signalement, de façon privée, par Google, alors l’entreprise se permettra de les rendre publiques. Un régime sévère, comme elle le reconnaissait elle-même à l’époque :
« Sept jours est un délai très serré, et cela peut être trop court pour que certaines entreprises mettent à jour leurs produits, mais cela devrait suffire pour qu’elles publient des conseils pour limiter les risques. »
Ce que n’a pas fait Microsoft, c’est pourquoi Google s’est permis de mettre en pratique sa propre règle, « afin que les utilisateurs puissent prendre des mesures pour se protéger ». La firme ne donne pourtant pas de conseils précis en ce sens, si ce n’est d’attendre une mise à jour de Windows. Et d’utiliser Chrome… le navigateur de Google.