En Bref

• Une vulnérabilité critique des raccourcis Windows (LNK), identifiée sous le nom CVE-2025-9491, a été exploitée pendant des années avant une correction silencieuse en novembre 2025.
• La faille permettait aux attaquants de cacher du code malveillant dans des fichiers de raccourci, rendant la détection quasiment impossible pour les utilisateurs.
• Plus d’une douzaine d’acteurs malveillants ont utilisé cette astuce, déguisant des malwares en documents inoffensifs.
• Microsoft avait auparavant minimisé le risque, invoquant les avertissements existants et la nécessité d’une interaction utilisateur.
• Le correctif affiche désormais la commande complète derrière les raccourcis, comblant une faille de sécurité de longue date.

Un raccourci pas si anodin

Imaginez un cheval de Troie numérique : une icône de raccourci sur votre bureau, apparemment un document inoffensif, mais cachant une charge secrète. Pendant des années, des hackers ont exploité une faille subtile dans la façon dont Windows affichait les détails des fichiers de raccourci - ces icônes LNK familières sur lesquelles nous cliquons sans réfléchir. En enfouissant du code malveillant au cœur de ces fichiers et en le masquant avec des espaces numériques, les attaquants pouvaient tromper même les plus prudents et lancer des malwares cachés.

Comment la faille fonctionnait

Au cœur de cette vulnérabilité se trouvait une particularité dans l’affichage des propriétés des fichiers de raccourci par Windows. Alors que le champ cible d’un raccourci pouvait techniquement contenir jusqu’à 32 000 caractères, Windows n’en montrait que les 260 premiers. Les hackers remplissaient cette partie visible d’espaces vides, repoussant le code malveillant hors de vue. Même un utilisateur vigilant vérifiant les propriétés du raccourci ne voyait rien de suspect - juste une entrée vide, à l’apparence inoffensive. Mais une fois cliqué, le raccourci pouvait lancer des scripts PowerShell ou BAT, ouvrant la porte aux malwares.

Des années d’exploitation, une correction silencieuse

Ce risque n’était pas théorique. Des chercheurs en sécurité de la Zero Day Initiative de Trend Micro ont alerté sur le fait que près d’une douzaine de groupes de hackers exploitaient cette astuce depuis des années. Encore en octobre 2025, des attaques étaient en cours. Pourtant, Microsoft avait d’abord estimé que la vulnérabilité ne justifiait pas une correction urgente, s’appuyant sur les avertissements intégrés et l’idée que la plupart des utilisateurs ne consulteraient pas les propriétés des raccourcis.

Malgré les preuves croissantes, la correction est arrivée discrètement en novembre 2025, dans le cadre d’une mise à jour de sécurité de routine. Soudainement, Windows a commencé à afficher l’intégralité du champ cible des raccourcis, levant le voile sur tout code caché. Des correctifs alternatifs avaient déjà été proposés par des tiers comme 0Patch d’Acros Security, mais l’intervention de Microsoft a marqué la fermeture officielle de cette faille.

Leçons de l’ombre

Ce cas rappelle des incidents passés où des détails en apparence mineurs sont devenus de véritables vecteurs d’attaque - on pense au célèbre ver .lnk utilisé par Stuxnet, ou aux astuces récentes basées sur des fichiers dans les campagnes de ransomware. La faille LNK illustre la course entre attaquants, qui exploitent de façon créative des fonctionnalités négligées, et défenseurs, qui s’efforcent de les corriger. Elle soulève aussi des questions plus larges : jusqu’où les géants de la tech doivent-ils être transparents sur les vulnérabilités, et où s’arrête la responsabilité des utilisateurs face à celle des éditeurs ?

WIKICROOK

• Fichier LNK : Un fichier LNK est un raccourci Windows qui pointe vers un fichier ou un programme. Les attaquants peuvent exploiter les fichiers LNK pour exécuter des commandes cachées ou des malwares.
• Vulnérabilité : Une vulnérabilité est une faiblesse dans un logiciel ou un système que des attaquants peuvent exploiter pour obtenir un accès non autorisé, voler des données ou causer des dommages.
• Script PowerShell : Un script PowerShell est un ensemble automatisé de commandes pour les ordinateurs Windows, utilisé pour gérer ou modifier des systèmes - parfois exploité par des attaquants.
• Zero Day Initiative (ZDI) : La Zero Day Initiative (ZDI) est un groupe de recherche qui découvre et signale des vulnérabilités logicielles aux éditeurs avant qu’elles ne soient exploitées par des attaquants.
• Interaction utilisateur : L’interaction utilisateur désigne l’action d’une personne, comme cliquer sur un lien ou ouvrir un fichier, ce qui peut permettre ou déclencher des menaces en cybersécurité.