La puce censée protéger vos clés de chiffrement, votre session Windows Hello et vos disques BitLocker a elle-même besoin d’un correctif. Le 11 août, AMD a publié le bulletin de sécurité AMD-SB-7064, qui confirme deux vulnérabilités de sévérité « élevée » dans l’implémentation TPM 2.0 utilisée par une immense partie de son catalogue : des Ryzen 3000 aux Ryzen 9000 sur desktop, en passant par les gammes mobiles, les Ryzen AI 300 et 400, les Ryzen AI Max 300, les Threadripper, les puces Z1 et Z2 des consoles portables et plusieurs familles Embedded. Autrement dit : si votre PC gamer tourne sur un processeur AMD sorti depuis 2019, il y a de très fortes chances qu’il soit sur la liste.

Avant de débrancher quoi que ce soit, respirez : les deux failles exigent un accès local à la machine et des privilèges élevés. Personne ne peut les exploiter à distance contre un PC quelconque depuis Internet. Mais elles touchent précisément la brique dont tout le reste dépend — la chaîne de confiance du système — et les correctifs existent déjà. Voici ce qu’il faut comprendre, et ce qu’il faut faire.

Ce que dit exactement le bulletin AMD

Fait notable, AMD classe ces deux CVE comme « non-AMD » : les erreurs ne viennent pas de ses ingénieurs, mais du code de référence TPM 2.0 publié par le Trusted Computing Group (TCG), l’organisme qui définit le standard. Comme le fTPM d’AMD — le TPM « firmware » intégré au processeur, celui-là même que Windows 11 exige — est bâti sur ce code de référence, les plateformes AMD héritent du problème, détaille Igor’s Lab, qui a épluché le bulletin et les avis techniques du TCG.

L’origine de la découverte ne manque pas de sel : selon TechPowerUp, les failles ont été identifiées par des chercheurs en sécurité travaillant chez Intel, puis remontées via l’équipe de réponse aux vulnérabilités du TCG. Le concurrent direct d’AMD a donc contribué à sécuriser ses processeurs — c’est le fonctionnement normal (et plutôt sain) de la recherche en sécurité, où les découvertes sont partagées de façon responsable avant toute divulgation publique.

Deux failles, deux mécanismes très différents

La première, CVE-2026-6726, est notée 8,5 sur l’échelle CVSS 4.0. D’après la description du TCG relayée par Igor’s Lab, elle repose sur une erreur de séparation des types d’objets dans le code de référence : une condition de type « use-after-free » permet à des informations d’un objet TPM précédemment utilisé de rester accessibles alors que la même zone mémoire sert déjà à autre chose. La commande touchée, TPM2_Certify, est celle qui sert d’« attestation » — la signature qui prouve qu’une clé cryptographique existe bel et bien à l’intérieur du TPM et y est protégée. Un attaquant disposant des privilèges nécessaires pourrait amener une autorité de certification à émettre des identifiants pour une clé TPM manipulée, puis falsifier des attestations. Concrètement : faire passer une machine compromise pour une machine saine.

La seconde, CVE-2026-6727 (score 8,3), joue sur un tout autre registre : le déchiffrement RSA-OAEP du code de référence présente des temps de traitement variables lors de la vérification du padding. En envoyant des requêtes répétées et en chronométrant précisément les réponses, un attaquant peut mener une attaque dite « de Manger » — un canal auxiliaire temporel. Conséquences possibles selon le TCG : déchiffrement de blobs protégés par RSA (credentials, imports, sessions) et génération de fausses clés d’attestation.

Vulnérabilité	Score CVSS 4.0	Mécanisme	Prérequis
CVE-2026-6726	8,5 (élevé)	Séparation d’objets défaillante / use-after-free, touche l’attestation TPM2_Certify	Accès local + privilèges élevés
CVE-2026-6727	8,3 (élevé)	Canal auxiliaire temporel dans le déchiffrement RSA-OAEP (attaque de Manger)	Accès local + privilèges élevés

Pourquoi c’est sérieux — sans être une urgence absolue pour un PC gamer

Un score de 8,5 impressionne, mais le contexte compte. Les deux attaques sont locales et réclament des privilèges élevés : un assaillant qui les détient a déjà, par définition, largement compromis la machine par d’autres moyens. Comme le résume Igor’s Lab dans sa conclusion, « ce n’est pas une raison pour déconnecter précipitamment chaque système Ryzen du réseau » — mais ce n’est pas non plus une raison pour repousser indéfiniment la mise à jour, car TPM, Secure Boot et attestation sont désormais profondément intégrés à Windows, à BitLocker et aux environnements d’entreprise.

C’est d’ailleurs en entreprise que le risque est le plus concret : intégration de nouveaux appareils, attestation à distance, contrôles « zero trust » qui décident de la confiance accordée à un poste sur la foi des preuves fournies par le TPM. Si ces preuves peuvent être falsifiées, c’est tout l’édifice qui vacille. Pour un joueur sur son PC personnel, le risque immédiat reste limité — mais votre TPM protège aussi vos données au quotidien, souvent sans que vous le sachiez.

Qui est concerné, et où en sont les correctifs

La liste des produits touchés est longue parce que le fTPM équipe presque tout le catalogue AMD moderne : Ryzen 3000 à 9000 sur desktop, gammes mobiles, Ryzen AI 300/400 et AI Max 300, Threadripper, Z1/Z2, Embedded — et jusqu’aux EPYC des serveurs, précise Igor’s Lab. Bonne nouvelle : selon eTeknix, AMD a livré les firmwares corrigés aux fabricants de cartes mères dès le mois de mai. ASUS, Gigabyte, MSI et ASRock ont donc eu le temps d’intégrer les correctifs AGESA à de nouveaux BIOS pour leurs plateformes AM4 et AM5, dont beaucoup sont déjà en ligne.

Dans le détail, le bulletin cite par exemple ComboAM4PI 1.0.0.11 comme base corrigée pour les Ryzen 3000, et les branches ComboAM5PI 1.2.0.3k ou plus récentes pour de nombreux processeurs AM5. Les versions corrigées ont été distribuées aux fabricants entre mai et juin selon les plateformes. Cas particulier : sur certaines puces Ryzen AI utilisant le TPM Pluton de Microsoft plutôt que le fTPM classique, le bulletin évoque des correctifs planifiés pour août 2026 — certains portables récents peuvent donc encore attendre leur mise à jour.

Que faire concrètement ce week-end

La marche à suivre tient en trois étapes. Un : identifiez précisément votre carte mère (ou votre modèle de portable). Deux : rendez-vous sur la page de support officielle du fabricant — et uniquement là — pour vérifier si un BIOS récent mentionne les correctifs AGESA ou le bulletin AMD-SB-7064. Trois : mettez à jour en suivant la procédure du fabricant, sur une alimentation stable, sans interrompre le processus.

Deux précautions d’usage : une mise à jour de BIOS réinitialise généralement les réglages aux valeurs d’usine — pensez à réactiver votre profil mémoire EXPO ensuite, sous peine de voir votre RAM tourner à vitesse réduite. Et si BitLocker est actif, assurez-vous d’avoir votre clé de récupération sous la main avant de flasher : une modification du firmware TPM peut déclencher une demande de récupération au redémarrage. C’est le même réflexe d’entretien que pour le suivi de garantie de votre matériel : dix minutes de prévention valent mieux qu’une soirée de dépannage.

Le TPM, ce pilier discret que l’actualité remet en lumière

Cette affaire rappelle une réalité peu visible : la sécurité d’un PC gamer ne se joue pas que dans les mots de passe. Elle repose sur une chaîne — firmware, TPM, Secure Boot, OS — dont chaque maillon peut devenir le point faible. Ces derniers mois l’ont illustré de plusieurs façons : les données d’acheteurs de hardware Steam ont fuité chez un transporteur de Valve sans qu’aucun PC ne soit piraté, et le TCG recommande aujourd’hui aux infrastructures concernées d’aller au-delà du simple correctif — révoquer et régénérer les clés d’attestation, et privilégier des clés ECC plutôt que RSA lorsque c’est possible.

Pour AMD, l’épisode reste mineur sur le plan commercial — le groupe sort d’un trimestre record à 11,5 milliards de dollars — et il touche un code de référence commun à l’industrie plutôt qu’une erreur maison. Il n’empêche : à l’heure où les fondeurs réfléchissent à intégrer toujours plus de fonctions dans le processeur, du cache à la mémoire en passant par la sécurité, chaque brique intégrée devient aussi une responsabilité de plus à maintenir. Votre BIOS, lui, n’attend que cinq minutes de votre temps.

FAQ — Failles TPM sur processeurs Ryzen

Mon PC est-il attaquable à distance à cause de ces failles ?

Non. Les deux vulnérabilités exigent un accès local à la machine et des privilèges élevés. Un attaquant qui les réunit a déjà compromis votre système par d’autres moyens. Le danger de ces failles n’est pas l’intrusion initiale, mais ce qu’elles permettent ensuite : falsifier les preuves de confiance que le TPM fournit à Windows ou à un réseau d’entreprise.

Comment savoir si mon processeur est concerné ?

La liste est très large : Ryzen 3000 à 9000 sur desktop, la plupart des gammes mobiles depuis 2019, Ryzen AI 300/400 et AI Max 300, Threadripper, Z1/Z2 et de nombreuses puces Embedded. Le plus simple est de consulter le bulletin AMD-SB-7064 sur le site d’AMD, qui détaille chaque famille et la version de firmware corrigée correspondante, puis la page de support de votre carte mère ou de votre portable.

La mise à jour du BIOS est-elle risquée ?

Le risque est faible si la procédure est respectée : fichier téléchargé uniquement depuis le site officiel du fabricant, alimentation stable pendant le flash, aucune interruption. Prévoyez de réactiver votre profil mémoire EXPO après l’opération, car les réglages reviennent aux valeurs d’usine, et gardez votre clé de récupération BitLocker à portée de main si le chiffrement est actif.

Puis-je simplement désactiver le fTPM en attendant ?

C’est déconseillé. Windows 11 exige un TPM 2.0 actif, et sa désactivation peut bloquer BitLocker, Windows Hello et certaines protections du système — voire des jeux dont l’anti-triche s’appuie sur ces mécanismes. La mise à jour du BIOS corrige le problème à la source ; la désactivation ne ferait qu’échanger une vulnérabilité théorique contre des dysfonctionnements bien réels.

Les processeurs Intel sont-ils touchés par ces failles ?

Le bulletin AMD-SB-7064 ne concerne que les produits AMD. En revanche, la cause profonde se situe dans le code de référence TPM 2.0 du Trusted Computing Group, un standard utilisé par toute l’industrie : c’est à chaque fabricant d’évaluer si sa propre implémentation en hérite. Ironie de l’histoire, ce sont des chercheurs d’Intel qui ont découvert et signalé les failles — la sécurité informatique reste un sport collectif, même entre concurrents.