Le Bloc-notes de Windows 11 a reçu en février 2026 un correctif pour la faille CVE-2026-20841. Le problème concerne le traitement de liens dans des fichiers Markdown. L’exécution de code nécessitait qu’une personne ouvre un fichier malveillant puis clique sur un lien piégé ; la simple ouverture du fichier ne suffisait pas.
Mis à jour le 28 septembre 2026 : mécanisme de la faille précisé, mention erronée de « zero-day » retirée et état du correctif ajouté.
Comment fonctionnait la vulnérabilité ?
Le Bloc-notes sait afficher des fichiers au format Markdown, notamment leurs liens. Selon l’analyse technique de la Zero Day Initiative, certains liens construits avec des protocoles particuliers n’étaient pas suffisamment filtrés. En amenant la victime à cliquer sur l’un d’eux, un attaquant pouvait provoquer l’exécution de commandes avec les droits du compte utilisateur.
Le scénario exige donc plusieurs étapes : obtenir un fichier Markdown piégé, l’ouvrir dans le Bloc-notes, puis interagir avec le lien. La faille tient au traitement de ces liens. L’article initial la rattachait directement à l’IA intégrée à l’application, mais les éléments techniques consultés ne permettent pas d’établir ce lien de causalité.
La faille est-elle encore ouverte ?
Microsoft l’a corrigée pendant son cycle de mises à jour de février 2026. La Zero Day Initiative classe la vulnérabilité CVE-2026-20841 avec un score de gravité de 8,8 et indique qu’une interaction utilisateur est requise. Son bilan de février ne la recensait pas comme exploitée activement ni publiquement divulguée avant le correctif. La qualifier de « zero-day » dans ce contexte était donc trompeur.
Pour un utilisateur, le geste utile est de vérifier que Windows et le Bloc-notes sont à jour, et de ne pas cliquer sur un lien inhabituel contenu dans un fichier reçu d’une source inconnue. La mise à jour de l’application compte ici autant que les correctifs habituels du système.
Sources : analyse technique de la Zero Day Initiative et bilan des correctifs de février 2026.
Je suis Romain Delcourt, rédacteur tech passionné par le numérique et l’intelligence artificielle. J’écris pour décoder les tendances, les outils et les changements qui façonnent nos usages au quotidien.
Un commentaire sur “Bloc-notes de Windows 11 : ce que corrige la faille CVE-2026-20841”