CVE-2026-40257 : Faille SHA-3 dans OP-TEE [2026]

Une faille critique dans SHA-3 vient de rappeler une vérité que les cryptographes répètent depuis des années : ce ne sont presque jamais les algorithmes qui cèdent, mais leurs implémentations. Le CVE-2026-40257, publié le 6 juillet 2026, touche l’accélération matérielle de SHA-3 dans OP-TEE, l’environnement d’exécution de confiance utilisé par des centaines de millions d’appareils ARM. Au même moment, l’industrie bascule vers une nouvelle génération d’architectures de transparence fondées sur les arbres de Merkle, portée par Microsoft, Let’s Encrypt et le projet Sigstore. Deux mouvements, une même racine : la confiance numérique repose sur des structures mathématiques bien conçues, mais leur mise en œuvre reste le maillon faible.

CVE-2026-40257 : une faille dans le SHA-3 d’OP-TEE

OP-TEE (Open Portable Trusted Execution Environment) fait tourner un système d’exploitation miniature à l’intérieur de la zone sécurisée TrustZone des processeurs ARM Cortex-A. C’est là que transitent les clés de chiffrement, les données biométriques ou les jetons de paiement mobile. Le rapport publié par basefortify.eu détaille une erreur off-by-one dans la fonction sha3_process(), qui s’appuie sur les ARM Crypto Extensions pour accélérer le hachage SHA-3 directement au niveau du silicium.

Concrètement, un bloc de données complet peut contourner la compression matérielle attendue. L’index interne reste bloqué à la taille du bloc au lieu d’être remis à zéro, ce qui corrompt la mémoire du noyau TEE qui suit l’état de hachage. Résultat : un attaquant capable d’envoyer des données à traiter par SHA-3 dans cet environnement peut provoquer un heap overflow massif, avec un potentiel d’exécution de code dans une zone censée être la plus protégée du système.

La faille touche toutes les versions d’OP-TEE depuis la 3.21.0 jusqu’à la 4.10.0 incluse, sur toute plateforme ARMv8.2+ ayant activé l’option de compilation CFG_CRYPTO_WITH_CE82=y. La correction arrive avec OP-TEE 4.11.0. En attendant le déploiement du correctif sur le parc existant, souvent lent dans l’embarqué, la mitigation immédiate recommandée consiste à désactiver purement et simplement l’accélération matérielle de SHA-3 (CFG_CRYPTO_WITH_CE82=n), au prix d’une perte de performance sur les opérations cryptographiques.

Ce n’est pas un cas isolé. En 2023 déjà, une équipe de chercheurs avait documenté dans un article de l’IACR une vulnérabilité de type buffer overflow dans le eXtended Keccak Code Package (XKCP), le code de référence soumis au NIST par les concepteurs de SHA-3 eux-mêmes. Cette faille, référencée CVE-2022-37454, permettait à des valeurs contrôlées par un attaquant d’être XORées hors des limites d’un buffer sur Windows, Linux et macOS 64 bits, avec un impact documenté sur des intégrations Python et PHP. Le NIST avait publié un avis officiel confirmant que le problème résidait dans l’implémentation, pas dans l’algorithme Keccak lui-même.

Pourquoi OP-TEE est une cible si sensible

OP-TEE n’est pas un projet de niche. Il équipe des smartphones Android, des set-top boxes, des passerelles IoT industrielles et des modules de paiement embarqués un peu partout dans le monde, y compris en Europe où plusieurs fabricants de puces ARM basent leurs offres TrustZone dessus. La zone sécurisée qu’il gère est censée rester hermétique même si le système d’exploitation principal (Android, Linux) est compromis. C’est précisément ce qui rend une corruption mémoire à cet endroit si grave : elle attaque la dernière ligne de défense, pas la première.

Ce nouvel épisode fait écho à une vague de CVE touchant les implémentations de courbes elliptiques sur les mêmes plateformes, documentée plus tôt dans l’année sur ce site (5 CVE ECC frappant Linux, Python et OP-TEE). Là où ces failles ECC touchaient la génération de clés et les signatures, CVE-2026-40257 s’attaque au hachage lui-même, une brique encore plus fondamentale puisqu’elle intervient dans quasiment toutes les opérations cryptographiques, des signatures aux dérivations de clés.

Les responsables sécurité européens qui auditent leurs chaînes d’approvisionnement matérielles pour se conformer à NIS2 ou au Cyber Resilience Act (CRA) se retrouvent donc avec un nouveau point de contrôle à ajouter à leur liste : vérifier la version d’OP-TEE et l’état des Crypto Extensions sur chaque appareil ARM déployé. Pour un parc de plusieurs milliers d’appareils IoT, l’inventaire seul peut prendre des semaines.

SHA-256 et SHA3-256 restent mathématiquement solides

Il faut être précis sur ce que cette faille ne remet pas en cause. Une analyse publiée en juin 2026 le rappelle : à ce jour, aucune collision pratique n’a été trouvée ni pour SHA-256 ni pour SHA3-256, et aucune attaque de préimage praticable n’est connue contre ces deux fonctions. Le problème de CVE-2026-40257 n’est pas mathématique, il est logiciel : une erreur de gestion mémoire dans une optimisation matérielle.

Cette distinction compte pour les équipes qui doivent choisir entre les deux familles. SHA-3, construit sur la fonction éponge Keccak, n’utilise pas la construction de Merkle-Damgård qui sous-tend MD5, SHA-1 et la plupart des variantes SHA-2. Cette différence architecturale rend SHA-3 naturellement immunisé contre les attaques par extension de longueur (length-extension attacks), un problème classique documenté de longue date et qui continue de piéger des développeurs en 2025-2026 selon plusieurs analyses techniques récentes. Les versions tronquées de SHA-2, comme SHA-384 et SHA-512/256, échappent aussi à ce problème, mais SHA-256 brut reste vulnérable si on l’utilise naïvement pour construire un MAC (H(clé || message)) plutôt que de passer par HMAC.

Une deuxième faille récente illustre bien à quel point la confusion entre hachage brut et construction MAC reste dangereuse en production. Le CVE-2026-48526, documenté par Red Hat fin mai 2026, décrit des vérificateurs de jetons JWT mal configurés qui acceptent à la fois des algorithmes symétriques et asymétriques. Un attaquant peut alors récupérer une clé publique JSON Web Key et l’utiliser comme secret HMAC pour forger des jetons valides, exploitant une confusion classique entre types de clés plutôt qu’une faiblesse du hachage lui-même.

Comparatif : SHA-256, SHA3-256, BLAKE3 et HMAC face aux mêmes menaces

Pour les équipes qui doivent arbitrer entre ces primitives après cette actualité, voici où chacune se situe sur les critères qui comptent vraiment : résistance à l’extension de longueur, performance et exposition aux CVE récentes.

Fonction	Construction	Vulnérable à l’extension de longueur ?	CVE d’implémentation notable (2022-2026)	Usage recommandé
SHA-256 (brut)	Merkle-Damgård	Oui, si utilisé sans HMAC	Aucune faille algorithmique connue	À utiliser via HMAC-SHA256, jamais en `H(clé‖msg)`
SHA3-256	Éponge Keccak	Non, par construction	CVE-2022-37454 (XKCP), CVE-2026-40257 (OP-TEE)	Solide côté maths, vérifier l’implémentation matérielle
HMAC-SHA256	MAC dérivé de Merkle-Damgård	Non, immunisé par le double hachage	CVE-2026-48526 (confusion JWT, pas la primitive)	Standard pour l’authentification de messages
BLAKE3	Arbre de Merkle interne	Non, par construction	Aucune faille d’implémentation majeure publiée	Hachage massif, vérification d’intégrité, parallélisable
SHAKE / TurboSHAKE	Éponge Keccak (XOF)	Non, par construction	Concerné par la même famille XKCP en 2022	Sortie de longueur variable, dérivation de clés

Ce tableau confirme une tendance de fond largement documentée : les recommandations 2025-2026 pour les développeurs européens poussent vers BLAKE3, BLAKE2, KMAC et SHAKE/TurboSHAKE comme alternatives modernes, précisément parce qu’elles éliminent par construction les pièges hérités de Merkle-Damgård. Ethereum a d’ailleurs officialisé ce virage plus tôt cette année en abandonnant la fonction Poseidon au profit de BLAKE3 pour ses preuves de connaissance nulle (voir notre couverture de l’abandon de Poseidon par Ethereum), un choix motivé par un gain de performance revendiqué de 400 fois sur les opérations de hachage.

L’autre chantier de l’été : les Merkle Tree Certificates

Pendant que les chercheurs en sécurité disséquaient CVE-2026-40257, l’IETF a mis à jour, le 6 juillet 2026 exactement, son projet de norme draft-ietf-plants-merkle-tree-certs-05. Ce document technique, porté notamment par David Benjamin, Devon O’Brien, Bas Westerbaan, Luke Valenta et Filippo Valsorda (des noms familiers de l’écosystème Chrome et TLS), définit les Merkle Tree Certificates (MTC), une nouvelle génération de certificats numériques pensée pour résister à l’ère post-quantique tout en restant vérifiable via une structure d’arbre de Merkle plutôt qu’une simple signature.

Un document compagnon publié le même jour, consacré aux cas d’usage de déploiement des MTC, précise les scénarios concrets envisagés : rotation de certificats plus rapide, réduction de la taille des chaînes de certification, et surtout une meilleure résistance aux attaques par un futur ordinateur quantique capable de casser RSA ou les courbes elliptiques classiques.

Let’s Encrypt, l’autorité de certification qui sécurise l’essentiel du web ouvert, a confirmé en juin 2026 son engagement vers les MTC. L’autorité vise un environnement de staging fin 2026 pour commencer à émettre ce type de certificats, avec un objectif de mise en production en 2027. Ce calendrier s’aligne avec les échéances déjà couvertes sur ce site concernant la bascule post-quantique imposée par l’ANSSI dès 2027, preuve que les infrastructures de confiance web et les référentiels réglementaires français convergent vers le même horizon temporel.

Microsoft et Sigstore : la transparence s’étend à la supply chain logicielle

La logique des arbres de Merkle ne se limite plus aux certificats TLS. En juin 2026, Microsoft a annoncé la disponibilité générale de son Signing Transparency (MST), un service bâti sur le standard SCITT (Supply Chain Integrity, Transparency and Trust). MST fonctionne comme un journal d’audit cryptographique inspiré directement du modèle Certificate Transparency : chaque signature de composant logiciel est inscrite dans un registre en ajout seul (append-only), rendu infalsifiable par une structure de Merkle tree, ce qui permet de détecter a posteriori une signature manquante ou falsifiée dans une chaîne de build.

Le projet open source Sigstore va dans la même direction avec son composant Rekor, mis en avant dès mars 2026 dans plusieurs analyses techniques. Rekor s’appuie sur Trillian, le moteur de journal de transparence développé par Google, qui fournit la structure de Merkle tree sous-jacente garantissant l’immutabilité et la propriété d’ajout seul des enregistrements. Ce modèle est de plus en plus cité comme référence pour sécuriser la chaîne d’approvisionnement des logiciels open source, un sujet devenu central en Europe depuis les obligations de transparence introduites par le Cyber Resilience Act.

Notre couverture précédente des échéances de transparence des certificats (Transparence des certificats : 2 échéances, 9 CVE) avait déjà documenté neuf vulnérabilités touchant l’écosystème des journaux Merkle côté navigateurs et autorités de certification. L’arrivée de MST et de Rekor élargit ce même modèle de confiance à un terrain entièrement nouveau : le code source et les artefacts de build, pas seulement les certificats de sites web.

Impact marché : qui doit agir en priorité

L’impact de CVE-2026-40257 se répartit très inégalement selon les secteurs. Les fabricants de puces ARM et les intégrateurs de systèmes embarqués sont en première ligne : tout appareil utilisant OP-TEE avec les Crypto Extensions SHA-3 activées doit être audité, patché ou voir sa configuration de compilation modifiée. Pour les acteurs du paiement mobile, de la biométrie embarquée et de l’IoT industriel européen, la fenêtre entre la divulgation (6 juillet 2026) et une exploitation active reste la période la plus critique.

Côté infrastructure web et PKI, l’enjeu est différent : il s’agit d’anticiper la migration vers les Merkle Tree Certificates avant l’échéance de production 2027 annoncée par Let’s Encrypt. Les grandes autorités de certification européennes et les opérateurs de CDN devront faire évoluer leurs pipelines d’émission, un chantier technique non trivial qui touche potentiellement des millions de domaines actifs.

Pour les éditeurs de logiciels soumis au Cyber Resilience Act, l’adoption de journaux de type MST ou Sigstore Rekor devient un argument de conformité concret. Plutôt que de simplement déclarer une politique de sécurité de la chaîne d’approvisionnement, ces outils permettent de prouver, via un registre vérifiable publiquement, qu’aucune signature n’a été falsifiée ou omise depuis le build jusqu’à la distribution.

Contexte historique : une décennie de failles d’implémentation

CVE-2026-40257 s’inscrit dans une longue lignée de rappels que la théorie cryptographique et son exécution en silicium ou en logiciel sont deux mondes différents. SHA-1 est resté considéré comme sûr pendant des années après que ses premières faiblesses théoriques ont été publiées, jusqu’à la démonstration d’une collision pratique en 2017 (documentée dans notre archive sur la collision SHAttered). La leçon retenue à l’époque, qu’une faiblesse théorique finit presque toujours par devenir exploitable, s’applique aujourd’hui différemment : ce n’est plus l’algorithme SHA-3 qui est en cause, mais son accélération matérielle.

Le tableau ci-dessous replace CVE-2026-40257 dans la chronologie des incidents marquants touchant les fonctions de hachage depuis 2017.

Année	Incident	Fonction touchée	Nature du problème
2017	SHAttered	SHA-1	Collision pratique démontrée par Google et le CWI
2022	CVE-2022-37454	SHA-3 / SHAKE (XKCP)	Buffer overflow dans le code de référence Keccak
2025	Analyses length-extension	SHA-256, SHA-512	Constructions MAC naïves toujours en production
2026 (mai)	CVE-2026-48526	HMAC / JWT	Confusion entre clé publique et secret HMAC
2026 (juillet)	CVE-2026-40257	SHA-3 (OP-TEE, ARM Crypto Extensions)	Heap overflow par erreur off-by-one

Cette chronologie montre un glissement progressif : les failles algorithmiques pures, comme celle de SHA-1, cèdent la place à des failles d’implémentation de plus en plus spécifiques, logées dans des couches d’accélération matérielle ou des bibliothèques tierces plutôt que dans les spécifications elles-mêmes.

Ce que change la faille pour les développeurs

Pour un développeur qui ne travaille pas directement sur du firmware ARM, CVE-2026-40257 n’a pas d’impact direct sur le code applicatif. Mais elle a une valeur pédagogique immédiate : elle rappelle qu’activer une option de compilation liée à une extension matérielle de cryptographie (Crypto Extensions, AES-NI, SHA extensions Intel) n’est jamais un geste neutre. Chaque accélération matérielle ajoute une surface d’attaque supplémentaire, généralement moins auditée que le code de référence logiciel, précisément parce qu’elle est plus rarement testée en conditions adverses.

Sur le plan des choix d’architecture, la faille renforce l’argument en faveur de HMAC-SHA256 plutôt que d’un hachage brut pour toute authentification par clé partagée. La construction HMAC corrige à la fois le problème de séparation de domaine et neutralise les attaques par extension de longueur, une recommandation déjà détaillée dans notre tutoriel sur la sécurisation d’une API avec HMAC-SHA256.

Prédictions : ce qu’il faut surveiller d’ici fin 2026

Un patch de masse tardif sur l’embarqué. Vu l’historique du secteur IoT, une part significative des appareils vulnérables à CVE-2026-40257 ne recevra probablement pas de mise à jour avant 2027, faute de mécanisme de mise à jour à distance sur certains équipements industriels plus anciens.
D’autres CVE sur les Crypto Extensions ARM. Après les failles ECC documentées plus tôt en 2026 et désormais celle sur SHA-3, il est probable qu’un audit plus large des Crypto Extensions ARM (AES, SM3, SM4) révèle d’autres erreurs de gestion mémoire similaires dans les mois qui viennent.
Un environnement de staging MTC opérationnel avant la fin 2026. Let’s Encrypt devrait tenir son calendrier annoncé, ce qui donnera aux navigateurs et aux CDN une première fenêtre concrète de test des Merkle Tree Certificates en conditions réelles.
Une adoption accélérée de MST et Rekor par les éditeurs soumis au CRA. À mesure que les échéances du Cyber Resilience Act se rapprochent, les journaux de transparence de signature vont passer du statut de curiosité technique à celui de quasi-standard de conformité.
BLAKE3 continuera de grignoter des parts d’usage face à SHA-3 dans les nouveaux projets cloud, blockchain et stockage, précisément parce qu’il évite par construction la classe entière de problèmes illustrée par CVE-2026-40257 et CVE-2022-37454.

Ce que les équipes sécurité doivent vérifier maintenant

Trois actions concrètes ressortent de cette actualité pour les équipes qui gèrent des flottes d’appareils ARM ou des services exposés à des jetons signés. D’abord, un inventaire des versions d’OP-TEE en production, avec vérification explicite de l’option CFG_CRYPTO_WITH_CE82. Ensuite, un audit des implémentations JWT pour écarter tout vérificateur acceptant simultanément des algorithmes symétriques et asymétriques, le schéma exact exploité par CVE-2026-48526. Enfin, une revue des constructions de MAC internes pour s’assurer qu’aucun service ne construit encore un hachage à clé sous la forme naïve H(clé‖message) au lieu de passer par HMAC.

Ces trois vérifications ont un point commun : elles ne demandent pas de nouvel algorithme, seulement une discipline d’implémentation plus stricte. C’est exactement le message que porte cette double actualité de l’été 2026, une faille d’implémentation d’un côté, une nouvelle architecture de confiance vérifiable de l’autre.

Foire aux questions

CVE-2026-40257 affecte-t-il directement les utilisateurs finaux ?

Pas directement dans l’immédiat pour un utilisateur isolé, mais indirectement oui : la faille touche la zone sécurisée TrustZone présente dans de nombreux smartphones et appareils connectés basés sur OP-TEE. Tant que le fabricant n’a pas déployé le correctif OP-TEE 4.11.0 ou désactivé l’option concernée, l’appareil reste théoriquement exposé si un attaquant parvient à soumettre des données à traiter par le module SHA-3 matériel.

Faut-il abandonner SHA-3 après cette faille ?

Non. L’algorithme SHA-3 (Keccak) lui-même n’est pas remis en cause : aucune faiblesse mathématique n’a été démontrée. Le problème concerne une implémentation matérielle accélérée spécifique dans OP-TEE. Une fois le correctif appliqué, SHA-3 reste une fonction de hachage recommandée, en particulier pour son immunité native aux attaques par extension de longueur.

Quelle est la différence entre HMAC-SHA256 et un simple SHA-256 ?

SHA-256 brut, utilisé naïvement comme H(clé‖message), reste vulnérable aux attaques par extension de longueur à cause de la construction Merkle-Damgård. HMAC-SHA256 applique une double passe de hachage avec des clés dérivées distinctes, ce qui élimine ce problème et garantit une séparation de domaine correcte entre les usages.

Que sont les Merkle Tree Certificates (MTC) ?

Les MTC sont une nouvelle génération de certificats numériques, en cours de standardisation à l’IETF (draft-ietf-plants-merkle-tree-certs-05), qui remplacent la signature classique par une preuve d’inclusion dans un arbre de Merkle. L’objectif est de réduire la taille des chaînes de certification et de mieux résister aux menaces post-quantiques, tout en conservant une vérifiabilité publique proche de celle de la transparence des certificats existante.

Quand Let’s Encrypt déploiera-t-il les MTC en production ?

Let’s Encrypt vise un environnement de staging dès la fin 2026, avec un objectif de mise en production en 2027. Ce calendrier reste sujet à ajustement selon l’avancement de la standardisation IETF et les retours des tests en environnement de préproduction.

BLAKE3 est-il concerné par ce type de faille ?

Aucune faille d’implémentation majeure comparable à CVE-2026-40257 ou CVE-2022-37454 n’a été publiée à ce jour contre BLAKE3. Sa structure interne, elle-même fondée sur un arbre de Merkle, lui confère par construction une résistance native aux attaques par extension de longueur, ce qui explique en partie son adoption croissante, notamment par Ethereum.

Le Cyber Resilience Act impose-t-il l’usage de journaux de transparence comme Sigstore Rekor ou MST ?

Le CRA n’impose pas nommément un outil précis, mais ses obligations de traçabilité et d’intégrité de la chaîne d’approvisionnement logicielle rendent des solutions comme Sigstore Rekor ou Microsoft Signing Transparency de plus en plus pertinentes pour démontrer la conformité de façon vérifiable plutôt que déclarative.

Comment vérifier si mon appareil ARM est concerné par CVE-2026-40257 ?

Il faut vérifier la version d’OP-TEE installée (vulnérable entre 3.21.0 et 4.10.0 inclus) et confirmer si l’option de compilation CFG_CRYPTO_WITH_CE82 est activée. Les fabricants d’appareils concernés doivent publier un correctif basé sur OP-TEE 4.11.0 ou fournir une configuration désactivant l’accélération matérielle SHA-3 en attendant.

CVE-2026-40257 : Faille SHA-3 dans OP-TEE, TrustZone Exposée