172 Failles Microsoft : Patch Tuesday Expliqué

Dans le sillage des dernières annonces, le Patch Tuesday a pris une dimension stratégique. En octobre, Microsoft a colmaté 172 failles de sécurité, dont 6 zero-day, avec plusieurs vulnérabilités classées critiques. Ensuite, novembre a livré un lot plus « léger » de 63 vulnérabilités, mais marqué par une zero-day d’élévation de privilèges dans le noyau Windows. Ces chiffres ne sont pas abstraits. Ils dictent le rythme opérationnel des équipes IT, du RSSI au technicien terrain qui doit faire redémarrer des serveurs tout en gardant l’activité. Pour beaucoup d’organisations, l’enjeu n’est pas seulement de déployer des mises à jour, mais de gérer le risque à l’échelle de leurs systèmes d’exploitation et de leurs logiciels.

Le contexte est tendu. Windows 10 arrive en fin de support standard, et le programme ESU devient un passage obligé pour certains parcs. Parallèlement, les vecteurs évoluent. L’IA appliquée au code avec Copilot, la chaîne d’authentification Kerberos d’Active Directory, ou encore le parsing d’images au format EMF côté services web élargissent la surface d’attaque. Par conséquent, la Sécurité informatique se joue autant dans la technique que dans la gouvernance. Les retours du terrain le confirment. Les entreprises qui segmentent, appliquent des politiques de durcissement et orchestrent leurs fenêtres de maintenance s’en sortent mieux. Celles qui improvisent s’exposent, tôt ou tard, à une escalade de privilèges qui se transforme en incident majeur.

• 172 vulnérabilités corrigées en octobre, dont 19 critiques et 6 zero-day déjà exploitées pour certaines.
• 63 vulnérabilités en novembre, avec une zero-day d’élévation de privilèges du noyau Windows (CVE-2025-62215).
• Points chauds: WSUS RCE critique, PowerShell EoP, Kerberos CheckSum, Copilot Chat RCE, Graphics Component EMF.
• Enjeux Windows 10: fin de support standard, inscription ESU et KB 5071959 à appliquer pour corriger l’enrôlement.
• Écosystème: correctifs SAP (HotNews, SQL Anywhere Monitor retiré, CVE-2025-42887), AMD SEV-SNP, TPM 2.0.
• Priorisation conseillée: Kernel EoP, RCE sans interaction, composants exposés Internet, domaines AD avec délégation.
• Mesures transverses: segmentation, durcissement Kerberos, filtrage EMF, politique Copilot, contrôle des Logiciels tiers.
• Objectif: réduire le temps d’exposition et stabiliser la Cybersecurité face aux vulnérabilités évolutives.

Patch Tuesday Octobre 2025 : 172 failles Microsoft passées au crible

Le Patch Tuesday d’octobre a marqué une étape. 172 vulnérabilités ont été corrigées dans l’écosystème Microsoft. Parmi elles, 19 critiques et 6 zero-day ont retenu l’attention des équipes SOC. Ce volume exige une approche méthodique. Sans priorisation, le backlog explose.

Les composants touchés couvrent un spectre large. Windows, Office, services Azure, WSUS, et même des dépendances comme Mariner ou des pilotes hérités entrent en jeu. Cela montre une réalité: la chaîne d’approvisionnement logicielle est partout.

Les points critiques d’octobre à traiter en premier

Un serveur WSUS mal protégé devient une porte d’entrée. La vulnérabilité RCE critiquée (CVSS 9.8) autorise l’exécution de code à distance par un attaquant non authentifié. Sur un bastion de mise à jour, le risque est majeur. Par ailleurs, CVE-2025-25004 cible PowerShell 7.4/7.5 et permet une élévation de privilèges au niveau SYSTEM. L’impact opérationnel est direct.

Les zero-day d’élévation sur des pilotes tiers illustrent une hygiène nécessaire. Le pilote Agere Modem a été supprimé afin de casser une chaîne d’escalade. De plus, le composant Remote Access Connection Manager (CVE-2025-59230) a été renforcé contre un abus local. Enfin, la mention d’IGEL OS rappelle que le poste léger reste une cible si le démarrage sécurisé est contourné.

Catégories et couverture technique

Les équipes ont apprécié un inventaire clair. Un tableau synthétique aide à aligner la priorisation et la fenêtre de déploiement. Il sert de base à un CAB express.

Catégorie	Exemple / CVE	Impact	Priorité
Gestion patch	WSUS RCE	Exécution distante sans auth	Urgent
Élévation locale	CVE-2025-25004 PowerShell	Privilèges SYSTEM	Élevée
Pilote hérité	Agere Modem	Suppression du pilote vulnérable	Élevée
Accès distant	CVE-2025-59230 RASMAN	Élévation locale	Moyenne
Chaîne VDI	IGEL OS Secure Boot	Bypass de vérification	Élevée

Un exemple concret l’illustre. Chez « Novatek », une PME industrielle, WSUS synchronisait des hôtes de production non segmentés. L’équipe a d’abord isolé WSUS sur un VLAN restreint. Ensuite, elle a déployé en priorité les mises à jour critiques, puis ajouté une authentification renforcée sur la console.

• Isoler WSUS et limiter l’accès réseau.
• Auditer PowerShell 7.x et appliquer la correction.
• Retirer les pilotes obsolètes listés par l’inventaire.
• Tester les profils RAS après correctif.
• Valider le Secure Boot côté clients légers.

Ce mois d’octobre a donc rappelé une réalité simple. Sans contrôle d’exposition, même une mise à jour devient un pari risqué.

La compréhension des vecteurs est clé pour planifier la suite. Le mois suivant a confirmé cette exigence avec un focus sur le noyau.

Patch Tuesday Novembre 2025 : 63 vulnérabilités et une zero-day dans le noyau Windows

Novembre a livré 63 vulnérabilités seulement. Pourtant, la gravité reste bien présente. La CVE-2025-62215 affecte le noyau Windows et permet une élévation de privilèges. Microsoft confirme une exploitation active. La surveillance doit donc s’intensifier.

Le périmètre est large. Toutes les éditions prises en charge sont concernées, y compris Windows 10 sous ESU. Des organisations ont signalé des soucis d’inscription. Une mise à jour KB5071959 corrige ce point pour le programme Windows 10 Consumer ESU.

Quatre dossiers à suivre de près

Le cœur du système est visé. La CVE-2025-62215 exploite une condition de compétition menant à une double libération en mémoire noyau. Un attaquant local et peu privilégié peut obtenir SYSTEM. L’exploit n’est pas trivial, mais la récompense est maximale.

L’extension Copilot Chat pour Visual Studio Code est aussi concernée (CVE-2025-62222). L’exécution de code à distance implique plusieurs étapes: injection rapide, interaction avec l’agent, puis déclenchement d’un build de container. Microsoft estime la complexité élevée. Le risque stratégique demeure, car la gouvernance de l’IA reste immature dans bien des entreprises.

Kerberos et Graphics Component complètent le tableau

Active Directory n’est pas épargné. La CVE-2025-60704 (CheckSum) exploite une faiblesse de délégation dans Kerberos. Un adversaire peut usurper l’identité d’utilisateurs et étendre ses droits. Une posture MITM permettrait, in fine, de prendre le contrôle d’un domaine.

Enfin, la CVE-2025-60724 dans Graphics Component ouvre la voie à une RCE via des fichiers EMF. Un simple téléchargement sur des services web peut suffire, sans interaction. L’absence de privilèges requis inquiète.

CVE	Composant	Type	Complexité	Exploitation
CVE-2025-62215	Noyau Windows	Élévation de privilèges	Élevée	Active
CVE-2025-62222	Copilot Chat VS Code	RCE	Élevée	Peu probable
CVE-2025-60704	Kerberos / AD	Délégation / Usurpation	Moyenne	Potentielle
CVE-2025-60724	Graphics Component	RCE via EMF	Moyenne	Critique

• Déployer en priorité les correctifs noyau et Graphics.
• Mettre à jour l’extension Copilot Chat sur tous les postes.
• Durcir la délégation Kerberos et surveiller les tickets.
• Appliquer la KB 5071959 avant l’inscription ESU.
• Scanner les charges EMF dans les services web internes.

Un cas réel le montre. Un intranet documentait des procédures avec images EMF. Après patch, l’équipe a mis en place un pipeline antivirus sur tout upload et a converti le format en PNG côté serveur.

La synthèse est claire. Novembre exige rapidité sur le noyau, vigilance sur AD et discipline côté outils IA.

Focus technique sur les CVE clés : kernel, Kerberos, Copilot Chat et Graphics Component

La CVE-2025-62215 mérite une explication. Le scénario repose sur une race condition. Plusieurs threads interagissent sans synchronisation suffisante avec une ressource du noyau. Le système libère deux fois un bloc mémoire. La kernel heap corruption s’ensuit. Le flux d’exécution peut alors être détourné.

Un attaquant local peu privilégié lance une application conçue pour provoquer cette condition. L’issue est une élévation SYSTEM. L’exploit est complexe, mais une fois acquis, il ouvre toutes les portes. D’où l’urgence du correctif sur serveurs et postes.

Kerberos CheckSum et les environnements AD distribués

La CVE-2025-60704 cible la délégation Kerberos. Dans des environnements où la délégation est active, un attaquant positionné sur le réseau peut manipuler les échanges. L’usurpation d’identité devient possible. Par extension, l’accès à des ressources sensibles suit la même pente.

Les domaines avec applicatifs hérités sont particulièrement exposés. Certains services utilisent des délégations larges. Une revue de configuration s’impose. Les comptes de service doivent être restreints, et la contrainte S4U durcie.

Copilot Chat et l’IA en environnement de développement

La CVE-2025-62222 alerte sur l’IA outillée. L’attaque ne se limite pas à un prompt. Elle combine injection, manipulation d’agent et lancement de pipeline de container. Le facteur humain intervient. Une politique claire sur les assistants IA est nécessaire.

Les entreprises peuvent instaurer des règles simples. Interdire les déclencheurs automatiques de build à partir de discussions. Filtrer les modèles de container autorisés. Exiger un contrôle pair avant exécution.

Graphics Component et le parsing EMF

La CVE-2025-60724 concerne l’analyse d’images EMF. Sur un service web qui accepte des documents, un fichier piégé peut provoquer une exécution de code ou divulguer des informations. Aucune interaction utilisateur n’est nécessaire. La prévention passe par la mise à jour et par le filtrage du format.

Vecteur	Préconditions	Gain attaquant	Contre-mesures
Noyau Windows	Accès local, app malveillante	Privilèges SYSTEM	Patch, WDAC, EDR
Kerberos / AD	Délégation active, MITM	Usurpation et latéralisation	Durcissement, PAC validation
Copilot Chat	Chaîne agent + build container	RCE sur poste ou runner	MAJ extension, politiques IA
Graphics EMF	Upload/scan côté serveur	RCE / exfiltration	Patch, blocage EMF, sandbox

• Mettre en place WDAC/AppLocker pour réduire la surface locale.
• Vérifier la signature PAC et limiter la délégation contrainte.
• Formaliser une charte d’usage des assistants IA.
• Convertir EMF en formats neutres côté backend.
• Activer des règles EDR ciblant les anomalies de threads et handles.

Un chantier de détection peut compléter la réponse. Des règles chassent les patterns de double free ou d’abus de GDI/EMF. Le but reste le même: raccourcir le temps d’exploitation possible.

Plan d’action pour les admins: priorisation, tests, WSUS, ESU Windows 10

Une bonne stratégie commence par la priorisation. Il faut traiter d’abord les RCE sans interaction et les élévations locales activement exploitées. Les services exposés sur Internet passent devant le reste. Les postes VIP et les serveurs d’identité suivent immédiatement.

Les environnements hétérogènes réclament une méthode. Un anneau pilote reçoit les correctifs. Un second anneau élargit le périmètre. La production arrive en dernier, mais dans un délai court. Le monitoring détecte les anomalies de compatibilité.

WSUS, ESU et gouvernance des correctifs

Sur WSUS, l’application du correctif est non négociable. Le serveur doit être segmenté. Les droits d’administration se réduisent au strict nécessaire. Les notifications d’approbation automatique doivent être revues.

Pour Windows 10 après fin de support, l’adhésion ESU devient centrale. Si l’inscription échoue, la KB5071959 règle le problème connu. Un plan de migration vers Windows 11 doit s’écrire en parallèle. Il ne sert à rien de prolonger un risque sans feuille de route.

Tableau d’ordonnancement opérationnel

Priorité	Action	Délai cible	Propriétaire
1	Patch noyau et Graphics sur serveurs exposés	48 h	Équipe systèmes
2	Durcissement Kerberos et revue délégation	5 j	Équipe AD
3	Mise à jour Copilot Chat VS Code	5 j	Poste de travail
4	Segmentation WSUS + rotation des credentials	7 j	Réseau / SécOps
5	ESU: KB5071959 + enrolment contrôlé	10 j	Gestion parc

• Documenter le runbook de rollback.
• Valider avec un CAB allégé.
• Notifier les métiers sur les redémarrages.
• Surveiller les journaux pour régressions.
• Échantillonner 5% d’utilisateurs pour feedback.

Un autre exemple chez « Novatek ». L’équipe a bloqué le format EMF sur les reverse proxies. Ensuite, elle a déployé le patch noyau sur les contrôleurs de domaine hors production, puis en prod après 24 heures de télémétrie stable.

La discipline paie. Les organisations qui respectent ces jalons réduisent nettement le temps d’exposition moyen.

Écosystème élargi: SAP, AMD SEV-SNP, TPM 2.0 et impacts multi-Logiciels

La surface de risque ne s’arrête pas à Windows. Le même cycle voit paraître des correctifs SAP notables. Deux bulletins de type HotNews ont été révisés. Surtout, un avis supprime l’outil SQL Anywhere Monitor à cause d’identifiants codés en dur (CVSS 10). L’approche est radicale, et justifiée par le risque.

Par ailleurs, la CVE-2025-42887 touche SAP Solution Manager via une injection de code permise par une validation d’entrée insuffisante. Le score CVSS 9.9 impose une réponse rapide. Des vulnérabilités notées 7.5 affectent aussi Commerce Cloud et CommonCryptoLib. Les équipes SAP doivent donc suivre un cycle parallèle au Patch Tuesday.

Cloud, processeurs et confiance matérielle

Le registre cloud n’est pas en reste. L’avis AMD SEV-SNP (CVE-2025-0033) concerne des VM Azure Confidential Computing. Une condition de concurrence sur la table RMP menace l’intégrité mémoire. Les garde-fous Azure limitent la portée, mais l’inventaire des VM concernées reste indispensable.

La pile de confiance touche aussi le TPM 2.0. Avec CVE-2025-2884, une lecture hors limites peut mener à fuite d’information ou déni de service. L’attaque est locale et complexe. Néanmoins, les environnements sensibles doivent patcher sans tarder.

Tableau de correspondance multi-vendeurs

Produit / Vendor	CVE	Impact	Action recommandée
SAP SQL Anywhere Monitor	—	Identifiants codés en dur	Désinstaller l’outil immédiatement
SAP Solution Manager	CVE-2025-42887	Injection de code	Appliquer le correctif et verrouiller les entrées
Azure Confidential VMs	CVE-2025-0033	Intégrité mémoire SEV-SNP	Vérifier séries ECasv5/ECadsv5 et patcher l’hôte
TPM 2.0	CVE-2025-2884	Out-of-bounds read	Mettre à jour firmware/stack TPM
Mariner / Edge	Multiples	Surface d’attaque élargie	Inclure dans la fenêtre Patch Tuesday

• Synchroniser les cycles Microsoft et SAP avec un comité commun.
• Cartographier les VM confidentielles Azure et tracer les exceptions.
• Mettre à jour la chaîne TPM/BIOS/OS sur les endpoints sensibles.
• Inclure Mariner et Edge dans l’inventaire patching.
• Auditer les intégrations tiers: wiki, bug tracker, DAM.

Dans le récit de « Novatek », une équipe a retiré SQL Anywhere Monitor en 24 heures. Ensuite, elle a verrouillé Solution Manager et mis à jour la pile TPM de ses postes d’ingénierie. Le risque résiduel a chuté nettement.

Le message final est limpide. La maîtrise du Patch Tuesday passe par une vision écosystémique et une exécution rapide, sans sacrifier les tests.

Qu’est-ce qui doit être patché en priorité ce mois-ci ?

Traitez d’abord les vulnérabilités avec exécution de code à distance sans interaction (Graphics EMF) et l’élévation de privilèges du noyau Windows (CVE-2025-62215). En parallèle, durcissez Kerberos (CVE-2025-60704) et mettez à jour l’extension Copilot Chat.

Comment gérer Windows 10 après la fin du support standard ?

Inscrivez les postes éligibles au programme ESU et appliquez la KB5071959 si l’enrôlement échoue. Planifiez la migration vers Windows 11 et réduisez les exceptions au strict nécessaire.

Pourquoi WSUS est-il un risque s’il n’est pas corrigé ?

Une faille RCE critique permettrait à un attaquant non authentifié d’exécuter du code sur le serveur WSUS. Segmenter, restreindre les accès et patcher immédiatement limite l’impact.

Faut-il bloquer le format EMF sur les services web internes ?

Oui, si l’usage n’est pas indispensable. Bloquez ou convertissez vers des formats sûrs, et maintenez les serveurs à jour pour réduire le risque RCE lié à EMF.

Comment encadrer les risques liés aux outils d’IA comme Copilot Chat ?

Mettez à jour les extensions, interdisez les builds déclenchés depuis les conversations, définissez des modèles de containers approuvés, et exigez une validation humaine avant exécution.