Plusieurs modèles sont touchés, mais un correctif est déjà disponible.
Lenovo a découvert plusieurs vulnérabilités dans le BIOS des ordinateurs de bureau AIO IdeaCentre et Yoga. Selon le fabricant, ces failles permettent aux attaquants locaux d’exécuter du code malveillant en mode System Management Mode (SMM), rapporte PCWorld.
Logiciels malveillants difficiles à supprimer
Comme l’accès SMM est difficile à détecter et à supprimer, même une réinstallation complète de Windows ne suffit pas à désactiver les logiciels malveillants. Ces failles sont donc particulièrement dangereuses. Les problèmes (CVE-2025-4421 à CVE-2025-4426) ont été signalés par des chercheurs en sécurité et quatre d’entre eux ont reçu un niveau de gravité élevé.
Modèles affectés
Selon Lenovo, les modèles suivants sont notamment vulnérables :
- IdeaCentre AIO 3 24ARR9
- IdeaCentre AIO 3 27ARR9
- Yoga AIO 27IAH10
- Yoga AIO 32ILL10
- Yoga AIO 9 32IRH8
La vulnérabilité se trouve dans le firmware BIOS Insyde, utilisé par Lenovo mais développé par la société taïwanaise Insyde. D’autres marques ne semblent pas utiliser ce firmware.
Mises à jour et conseils
Lenovo a publié des correctifs pour les modèles IdeaCentre. Les mises à jour pour les Yoga AIO affectés sont attendues en septembre.
Il est conseillé aux utilisateurs de rechercher leur modèle sur le site d’assistance Lenovo, de télécharger la dernière version du BIOS et de l’installer manuellement. Les utilisateurs de l’outil de mise à jour Lenovo peuvent télécharger le correctif depuis celui-ci. En attendant la disponibilité des mises à jour, Lenovo recommande de rester particulièrement vigilant et d’utiliser un logiciel antivirus fiable.