Windows 11 : le dossier inetpub crée une faille de sécurité

En avril 2025, une mise à jour de Windows a discrètement ajouté un dossier nommé inetpub à la racine de votre disque dur. Vide, sans explication dans les notes de version, et sans impact apparent s’il était supprimé, il a rapidement suscité la curiosité… puis l’incompréhension.

Face aux questions des utilisateurs, Microsoft a fini par s’exprimer : non, ce n’est pas un bug, et non, il ne faut pas le supprimer. Ce dossier fait partie d’un correctif de sécurité censé colmater une faille baptisée CVE-2025-21204, qui permettait d’exploiter les liens symboliques pour contourner certaines protections du système.

Mais comme souvent avec les rustines un peu bricolées, ce patch en introduit un autre. Et pas des moindres.

Pourquoi ce dossier a été ajouté par Microsoft

Le dossier C:\inetpub n’a rien de nouveau dans l’écosystème Windows. Historiquement, il est utilisé par IIS (Internet Information Services), le serveur web de Microsoft. Mais dans ce cas précis, il ne s’agit pas d’un résidu oublié ou d’un composant installé par erreur.

D’après Microsoft, la présence de ce dossier est délibérée. Il a été créé automatiquement lors du Patch Tuesday d’avril 2025, dans le cadre du correctif de la faille CVE-2025-21204. Cette vulnérabilité permettait à un utilisateur malveillant d’exploiter les liens symboliques (ou symlinks) pour accéder à des fichiers protégés ou exécuter du code avec des privilèges plus élevés qu’il ne devrait.

Pour empêcher cette exploitation, Microsoft a tout simplement décidé de précréer le dossier inetpub, de manière à ce qu’il ne puisse pas être détourné plus tard. En théorie, ça tient. En pratique, c’est une toute autre histoire…

Une faille de sécurité… dans le correctif de sécurité

Le souci, c’est que cette solution un peu grossière a ouvert la porte à une nouvelle vulnérabilité. Dans un article publié sur Medium, le chercheur en cybersécurité Kevin Beaumont explique comment ce fameux dossier inetpub peut être détourné pour bloquer toutes les futures mises à jour de sécurité de Windows.

La manipulation ne demande aucun privilège administrateur. Il suffit d’ouvrir l’invite de commandes et d’exécuter :

mklink /j C:\inetpub C:\Windows\System32\notepad.exe

Cette commande crée une jonction (un type de lien symbolique) entre le dossier inetpub et un fichier système comme le Bloc-notes. Une fois la jonction en place, les mises à jour Windows ne peuvent plus s’installer correctement. Elles échouent ou sont annulées automatiquement pendant l’installation.

Autrement dit, un simple utilisateur peut rendre une machine incapable de recevoir les mises à jour de sécurité, sans que personne ne s’en rende compte immédiatement. Un scénario rêvé pour un attaquant souhaitant maintenir un accès à une machine vulnérable.

Microsoft reste silencieux pour l’instant

Face à cette découverte, Kevin Beaumont a contacté le Microsoft Security Response Center (MSRC) il y a plusieurs semaines. Mais à l’heure où nous écrivons ces lignes, aucune réponse officielle n’a été publiée.

Microsoft n’a pas non plus mis à jour ses notes de sécurité pour mentionner ce problème, ni proposé de correctif supplémentaire pour empêcher ce type d’abus. Le dossier inetpub est donc toujours présent sur toutes les machines à jour, et rien ne bloque sa redirection via une jonction.

En attendant un éventuel correctif, la vulnérabilité reste exploitable, même sur un PC flambant neuf, fraîchement mis à jour, et sans aucun logiciel tiers installé. Pas besoin de malware ou de faille obscure : une simple commande suffit.

Ce qu’il ne faut surtout pas faire

À ce stade, vous vous dites peut-être : « Allez, juste pour tester… ». On vous le déconseille fortement.

Même si la commande semble inoffensive, elle peut véritablement bloquer les mises à jour de sécurité de votre système. Et sans message d’erreur explicite, vous risquez de ne vous en rendre compte que bien plus tard, lors d’un échec d’installation ou… d’une infection.

Autre idée à oublier : supprimer le dossier inetpub à la main. Microsoft a clairement indiqué qu’il ne fallait pas le faire. Ce dossier pourrait être réutilisé par d’autres composants système, même si vous ne vous en servez pas directement. Le supprimer n’éliminera pas le problème de sécurité — au contraire, cela pourrait provoquer des comportements inattendus à l’avenir.

Bref, la meilleure chose à faire pour le moment, c’est de ne rien faire. Attendez que Microsoft publie un correctif officiel, et en attendant, laissez ce fameux dossier inetpub tranquille.

Source : Ghacks