Vulnérabilités TPM chez AMD (CVE-2026-6726, CVE-2026-6727) : deux failles haute sévérité qui touchent les Ryzen 3000 à 9000 et les EPYC

CVE-2026-6726 : lecture hors limites / réutilisation inappropriée des emplacements d'objets

• Type : Vulnérabilité de lecture hors limites (out-of-bounds read) dans le code de référence du TPM 2.0 .
• Scores CVSS : 8.5 (CVSS v4.0, Élevé) — Vecteur : CVSS:4.0/AV:L/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N ; 7.9 (CVSS v3.1, Élevé) — Vecteur : CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N .
• Conditions d'accès : Un attaquant local disposant de privilèges élevés (PR:H) peut envoyer des commandes malveillantes au TPM depuis des applications en mode utilisateur .
• Impact : Fuite d'informations permettant à un attaquant de récupérer des identifiants auprès d'une autorité de certification (CA) compatible TPM pour une clé TPM falsifiée (par exemple, une clé d'attestation, une clé DevID ou une clé d'authentification TLS). Cela peut conduire à la falsification de clés de chiffrement TPM et d'autres mécanismes d'attestation basés sur le TPM .

CVE-2026-6727 : canal auxiliaire temporel dans le déchiffrement RSA OAEP

• Type : Canal auxiliaire temporel (timing side-channel) dans l'implémentation du déchiffrement RSA OAEP .
• Scores CVSS : 8.3 (CVSS v4.0, Élevé) selon certains rapports ; 5.9 (CVSS v3.1, Moyen) selon CISA-ADP — Vecteur : CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N ; 5.9 (CVSS v3.1, Important) dans le Patch Tuesday de Microsoft .
• Conditions d'accès : Un attaquant local privilégié ayant accès à l'interface de commande du TPM. L'attaque est complexe en raison de la « complexité d'attaque élevée » (AC:H) et nécessite un accès physique ou local au système .
• Impact : Les différences temporelles peuvent être exploitées pour récupérer des informations permettant le déchiffrement de textes chiffrés avec des clés RSA gérées par le TPM, y compris la clé d'endossement RSA (EK), les blobs d'importation, les blobs d'identifiants et les sels de session. Sous certaines conditions, cela peut également permettre la falsification d'attestations TPM 2.0 .

Produits concernés

Les vulnérabilités touchent une gamme exceptionnellement large de processeurs AMD :

• PC de bureau : Ryzen séries 3000, 4000, 5000, 7000, 8000 et 9000
• PC portables : Ryzen AI 300/400, Ryzen AI Max 300, séries mobiles Ryzen 3000–5000
• Stations de travail : Ryzen Threadripper PRO (séries 5000WX, 7000WX) et Threadripper
• Serveurs : EPYC séries 4004 et 4005
• Embarqué : Plusieurs familles Ryzen Embedded et EPYC Embedded
• Autres : Ryzen séries Z1/Z2 (processeurs pour consoles de jeux portables)

Calendrier des correctifs

• Mai-juin 2026 : AMD a commencé à distribuer les correctifs firmware (Platform Initialization) aux partenaires OEM et fabricants de cartes mères. Par exemple, la mise à jour ComboAM5PI 1.2.0.3k (couvrant les EPYC 4004 et Ryzen 7000/9000) a été publiée le 31 mai 2026 .
• Au 17 juin 2026 : Les enregistrements NVD montrent des listes de produits affectés mises à jour avec les versions des packages PI et les dates de publication .
• 11-13 août 2026 : AMD a divulgué publiquement les deux vulnérabilités via AMD-SB-7064 ; ASUS, MSI, Gigabyte et ASRock avaient déjà poussé des mises à jour BIOS .

Contexte du Patch Tuesday d'août 2026

Les deux CVE ont été republiées par MITRE et sont apparues dans le Patch Tuesday d'août 2026 de Microsoft (11 août 2026) sous la balise « Windows TPM », avec une sévérité Importante . Cependant, Microsoft n'a pas publié de correctif de sécurité côté Windows ni d'article KB pour l'une ou l'autre de ces CVE — seule la mise à jour du firmware TPM (BIOS/UEFI) du fabricant de matériel corrige la faille . Le Patch Tuesday d'août 2026 a traité un total de 421 CVE, ces vulnérabilités TPM étant des éléments très médiatisés en raison de la large gamme de produits AMD concernée et de l'origine de la divulgation (des chercheurs d'Intel signalant des bugs TPM affectant des systèmes AMD) .

Que doivent faire les utilisateurs ?

Les deux vulnérabilités nécessitent un accès local privilégié, ce qui signifie que le risque pour les utilisateurs domestiques est faible, mais les entreprises doivent prioriser les mises à jour BIOS sur les systèmes partagés ou multi-utilisateurs. Pour atténuer le risque :

1. Consultez le site Web de votre fabricant de carte mère (ASUS, MSI, Gigabyte, ASRock, etc.) pour une mise à jour BIOS faisant référence à AMD-SB-7064 ou ComboAM5PI 1.2.0.3k ou version ultérieure.
2. Appliquez la mise à jour BIOS en suivant les instructions du fabricant.
3. Vérifiez que la mise à jour inclut les correctifs d'initialisation de plateforme (PI) datant de mai-juin 2026 ou ultérieurs.