Intel a publié le nouveau paquet de microcode 20260811, une mise à jour intégrant des corrections de sécurité pour huit vulnérabilités distinctes et neuf CVE, ainsi que des améliorations fonctionnelles pour plusieurs générations de processeurs. La portée s’étend de certains Core de 10e et 11e génération jusqu’aux Core Ultra, Panther Lake, ainsi que diverses familles Xeon, notamment Xeon 6. Il est important de noter que tous les processeurs inclus dans le paquet ne sont pas affectés par toutes les vulnérabilités, et qu’à ce jour, Intel n’a pas communiqué de diminution de performance liée à ces mitigations.

Les points clés du microcode Intel 20260811 en 20 secondes

• Intel corrige neuf CVE réparties sur huit avis de sécurité.
• La mise à jour concerne des processeurs allant du Core 10e génération jusqu’aux familles Panther Lake et Xeon.
• Parmi les vulnérabilités figurent des escalades de privilèges, une exposition d’informations et des dénis de service.
• Les Core de 13e et 14e génération reçoivent également des correctifs fonctionnels.
• Intel recommande d’appliquer les mises à jour de firmware distribuées par les fabricants de cartes mères et appareils.

Le paquet publié le 11 août inclut des mises à jour pour INTEL-SA-01379, INTEL-SA-01404, INTEL-SA-01423, INTEL-SA-01428, INTEL-SA-01435, INTEL-SA-01441, INTEL-SA-01442 et INTEL-SA-01443. Le dépôt officiel de microcodes confirme également des modifications fonctionnelles pour les Core de 10e génération, les Core de 13e et 14e génération, Core Ultra, Core Series 2 et 3, ainsi que différentes familles Xeon Scalable, Xeon D et Xeon 6.

Il est essentiel de souligner que l’identifiant microcode-20260811 ne représente pas une solution unique applicables à tous les processeurs. Intel regroupe dans ce même paquet diverses révisions de microcode pour de nombreuses familles, chacune avec ses propres correctifs et versions.

Xeon 6 : certains des défauts les plus critiques

Parmi les vulnérabilités incluses, on trouve INTEL-SA-01435, CVE-2026-20716, évaluée à 7,2 selon le score CVSS publié par Intel. Ce problème concerne un contrôle d’accès incorrect, pouvant permettre une élévation de privilèges dans certaines configurations de Xeon 6.

Cette vulnérabilité concerne des produits récents en entreprise, tels que Xeon 6 avec P-Cores et diverses variantes destinées aux serveurs et stations de travail.

Une autre correction notable est portée par INTEL-SA-01379, CVE-2025-31936, évaluée à 7,0 en CVSS, qui concerne des régions protégées de mémoire dans le Mode Gestionnaire de Système (SMM) et dans certains environnements utilisant Intel Trust Domain Extensions (TDX).

TDX est la technologie de calcul confidentiel d’Intel destinée à isoler les machines virtuelles et à protéger leur mémoire, même face à des composants privilégiés de l’hôte système. Toute faille dans cette isolation est donc critique pour les fournisseurs cloud et centres de données multitenants.

INTEL-SA-01404, liée à CVE-2025-31938, concerne également TDX. Intel indique une granularité insuffisante dans certains contrôles d’accès, pouvant permettre l’exposition d’informations dans plusieurs familles Xeon récentes.

Le paquet confirme que les plateformes Granite Rapids et Sierra Forest reçoivent de nouvelles révisions. Par exemple, les Xeon 6900/6700/6500 avec P-Cores passent de 01000423 à 01000434, tandis que les Xeon 6900/6700 avec E-Cores passent de 030003a3 à 030003b2.

Meteor Lake, Lunar Lake, Arrow Lake et Panther Lake également mis à jour

Cette mise à jour ne se limite pas aux serveurs.

INTEL-SA-01428, associé à CVE-2025-35973, concerne plusieurs plateformes clientes et familles Xeon spécifiques. Le problème provient d’un traitement incorrect de valeurs provenant de logiciels privilégiés tels que le noyau, l’hyperviseur ou dans des environnements bare-metal, pouvant favoriser une escalade de privilèges.

Les familles concernées incluent Meteor Lake, Arrow Lake Mobile, Lunar Lake et Panther Lake.

Le microcode dans le paquet montre des modifications dans toutes ces plateformes.

Meteor Lake voit son numéro de révision passer de 0x28 à 0x2a, Lunar Lake de 0x126 à 0x128, et plusieurs variantes de Panther Lake passent de 0x11b à 0x11c. La série Arrow Lake 2 reçoit aussi de nouvelles versions selon le modèle.

INTEL-SA-01441, correspondant à CVE-2026-20760, impacte également certaines plateformes récentes telles que Lunar Lake, Arrow Lake Mobile et Panther Lake.

Intel classe ces impacts principalement dans les scénarios de déni de service et de comportement privilégié sous certaines conditions. Comme pour d’autres vulnérabilités firmware, leur exploitation pratique dépend du niveau d’accès préalable et de la configuration du système.

Il est important de comprendre que la présence d’un processeur dans un paquet de microcode ne signifie pas nécessairement qu’il est vulnérable de la même manière que d’autres processors listés, car chaque avis de sécurité dispose de sa propre liste de modèles affectés.

Load Value Injection : une menace persistante dans les anciens processeurs

Les processeurs plus anciens ne sont pas oubliés dans cette mise à jour.

INTEL-SA-01423 corrige CVE-2026-20917, une vulnérabilité liée à la technique d’injection de valeurs de chargement (Load Value Injection) issue du comportement transitoire d’exécution.

L’exécution spéculative permet au processeur d’anticiper la suite des opérations pour améliorer ses performances, mais cette technique est aussi à l’origine de nombreuses attaques par canaux latéraux depuis Spectre et Meltdown.

Ici, un mauvais renvoi de certains données lors de l’exécution transitoire peut entraîner une exposition d’informations sous des conditions spécifiques.

Les familles concernées incluent certains Intel Core de 10e et 11e génération, Xeon Scalable de 3e génération, Xeon D et Xeon E-2300.

Le paquet 20260811 met à jour, entre autres, Ice Lake Mobile de 10e génération de 0xcc à 0xce, Rocket Lake de 11e génération de 0x65 à 0x66, Ice Lake Xeon Scalable de 0x0d000421 à 0x0d000433, et Xeon D-17xx/D-27xx de 0x010002f1 à 0x01000301.

INTEL-SA-01442 : deux CVE dans un seul avis

Une seule des huit avissés comprend deux vulnérabilités distinctes.

INTEL-SA-01442 inclut CVE-2026-20713 et CVE-2026-20901, toutes deux liées à des problèmes de contrôle de flux et de validation des entrées dans le firmware.

Chacune peut mener à une escalade de privilèges dans des circonstances spécifiques.

Les produits concernés incluent notamment les générations récentes de Xeon Scalable, différentes variantes de Xeon 6, ainsi que les familles Xeon W associées à Sapphire Rapids.

Ceci explique la mise à jour simultanée de Sapphire Rapids, Emerald Rapids, et des générations plus récentes dans ce microcode.

Par exemple, Xeon Scalable 4e génération passe de 2b000670 à 2b000685, tandis qu’Emerald Rapids 5e génération passe de 210002e0 à 210002f4.

Enfin, INTEL-SA-01443 corrige CVE-2026-20707, liée à une condition de concurrence susceptible de provoquer un déni de service sur certains Xeon Scalable de 3e génération et Xeon D.

Les séries Core 13e et 14e génération reçoivent un microcode, mais pas pour ces neuf CVE

Un point pouvant prêter à confusion concerne Raptor Lake.

Les Core 13e et 14e génération passent du microcode 0x133 au 0x137, mais recevoir une nouvelle révision dans le paquet 20260811 ne signifie pas qu’ils sont affectés par les neuf vulnérabilités mentionnées précédemment.

Intel a identifié pour ces familles une mise à jour pour des problèmes fonctionnels, en référant à la mise à jour des spécifications pour les Core 13e et 14e générations.

C’est une distinction importante, surtout après les problèmes de stabilité rencontrés par certains Raptor Lake de bureau et les révisions ultérieures de microcode distribuées par Intel.

La version 0x137 remplace désormais 0x133 sur les plateformes RPL-E/HX/S indiquées dans le paquet.

Il n’y a pas dans les notes de publication une indication que cette nouvelle version répond à une vulnérabilité spécifique parmi les neuf CVE d’août.

Nouvelles plateformes : Bartlett Lake et Wildcat Lake

Le paquet ajoute également le support de nouvelles plateformes de microcode.

Intel identifie BTL-S12P et BTL-S816, correspondant à la série Core 2 avec P-Cores, avec une révision initiale 0x137.

Il inclut aussi WCL, Wildcat Lake, dans la série Intel Core Processors Series 3, avec une révision 0x0c.

Ces entrées sont classifiées comme New Platforms, signifiant qu’aucune révision antérieure n’a été remplacée dans le paquet public.

Cela rappelle que Intel utilise le même dépôt pour distribuer à la fois des correctifs de sécurité et le support de nouvelles familles ou corrections fonctionnelles.

BIOS et UEFI : la voie privilégiée pour les mises à jour

Pour les systèmes grand public, serveurs et stations de travail, la méthode la plus courante reste la mise à jour du BIOS ou de l’UEFI par le fabricant de la machine ou de la carte mère.

Le constructeur intègre dans le firmware les microcodes compatibles.

Cela garantit que le processeur est mis à jour dès le démarrage, avant le chargement du système d’exploitation.

Sur Linux, il est aussi possible de charger du microcode au démarrage via les paquets fournis par la distribution. Intel maintient notamment le dépôt Intel-Linux-Processor-Microcode-Data-Files pour faciliter cela.

Le paquet du 11 août est la source en amont, mais un administrateur ne doit pas simplement télécharger ses fichiers manuellement pour les copier sur un serveur sans précautions.

Dans un environnement professionnel, il est conseillé d’utiliser les mécanismes supportés par le fabricant du matériel et la distribution Linux, notamment pour respecter les process de validation et de maintenance.

Pour vérifier la version de microcode chargée sous Linux, on peut utiliser par exemple :

grep microcode /proc/cpuinfo | sort -u

On peut aussi examiner les messages du kernel :

dmesg | grep -i microcode

La version exacte à rechercher dépend du modèle précis du processeur. Il n’existe pas un numéro unique de microcode applicable universellement.

Aucun impact négatif de performance documenté pour le moment

Une question fréquente suite à la publication d’un nouveau microcode concerne la performance : combien de ralentissements peut-on attendre ?

Ce sujet a déjà été étudié lors de précédentes mitigations pour des vulnérabilités d’exécution spéculative, qui ont parfois eu un coût en performance dans certains scénarios, notamment lors de transitions fréquentes entre modes privilégiés, virtualisation ou opérations d’E/S spécifiques.

Concernant le microcode 20260811, Intel indique ne pas documenter de perte de performance associée.

Cela ne garantit toutefois pas que toutes les charges seront impactées de la même façon. Il est conseillé d’attendre des mesures indépendantes pour quantifier l’impact réel.

Jusqu’à ce que des benchmark ou études techniques plus approfondies soient disponibles pour chaque advisory, il faut considérer que aucune pénalité de performance connue ou annoncée par Intel n’est actuellement associée à ce paquet.

Dans les centres de données, il est sage de valider en particulier les systèmes utilisant TDX, virtualisation intensive ou sensibles à la latence, avant un déploiement massif, sans attendre un impact de sécurité inutilement retardé.

Ce microcode 20260811 montre également à quel point la sécurité d’un CPU moderne ne s’arrête pas à sa sortie d’usine. Le silicium ne change pas, mais certains comportements peuvent être modifiés via microcode tout au long de sa vie utile.

Pour les administrateurs système, le message essentiel, même s’il est moins spectaculaire que la liste des CVE, est plus important : vérifier les mises à jour du firmware auprès du fabricant et s’assurer que les modèles concernés sont bien identifiés avant de planifier leur déploiement.

Questions fréquentes

Combien de vulnérabilités sont corrigées dans le microcode Intel 20260811 ?

Le paquet inclut des mises à jour de sécurité correspondant à huit advisories et neuf CVE, ainsi que de nombreuses corrections fonctionnelles pour diverses générations de Core et Xeon.

Les processeurs Intel Core de 13e et 14e génération sont-ils affectés ?

Ils reçoivent le nouveau microcode 0x137, en remplacement du précédent 0x133. Cependant, selon Intel, cela relève d’une mise à jour pour problèmes fonctionnels et non d’une mitigation spécifique aux neuf CVE mentionnées dans les huit avis de sécurité.

Comment installer ce nouveau microcode ?

La méthode privilégiée est de mettre à jour la BIOS ou l’UEFI fournie par le fabricant de votre serveur, portable ou carte mère. Sur Linux, il est aussi possible de charger des microcodes lors du démarrage via les paquets de la distribution.

Ce microcode 20260811 impacte-t-il la performance ?

Pour l’instant, Intel n’a pas documenté de perte de performance. Toutefois, cela ne garantit pas que le impact soit nul dans tous les scénarios. Il vaut mieux attendre des mesures indépendantes pour le quantifier précisément.