Microsoft vient de publier son dernier patch Tuesday. Que retenir en quelques points clés ?
Analyse Microsoft Patch Tuesday Août 2025
Satnam Narang, Senior Staff Research Engineer chez Tenable partage son analyse sur la mise à jour du Patch Tuesday de Microsoft de ce mois-ci.
Ce mois-ci, Microsoft a corrigé 107 vulnérabilités (CVE) dans le cadre de sa publication Patch Tuesday d’août 2025, dont 13 classées critiques, 91 importantes, une modérée et une faible.
Hausse des vulnérabilités post-compromission par rapport
La publication de ce mois met en évidence une tendance à la hausse des vulnérabilités post-compromissi on par rapport aux failles d’exécution de code. Pour le deuxième mois consécutif, les vulnérabilités d’élévation de privilèges représentent la majorité des CVE corrigées ce mois-ci, soit 39,3 % (contre 41,4 % en juillet).
Bug d’élévation de privilèges connu sous le nom de BadSuccessor
Microsoft a publié un correctif pour la vulnérabilité CVE-2025-53779, un bug d’élévation de privilèges connu sous le nom de BadSuccessor, divulgué en mai dernier en tant que faille zero-day. Bien que le correctif de BadSuccessor soit essentiel, notre analyse indique que son impact immédiat est limité : seulement 0,7 % des domaines Active Directory remplissaient les conditions préalables au moment de la divulgation. Pour exploiter BadSuccessor, un attaquant doit disposer d’au moins un contrôleur de domaine exécutant Windows Server 2025 afin de compromettre le domaine.
Cela peut donner une impression de déjà-vu, car Microsoft a corrigé deux autres vulnérabilités SharePoint ce mois-ci : une faille d’exécution de code à distance (CVE-2025-49712) et un bug d’élévation de privilèges (CVE-2025-53760).
Failles SharePoint
Après le chaos provoqué par l’exploitation des vulnérabilités ToolShell, toute nouvelle faille SharePoint suscite légitimement des inquiétudes. Cependant, selon les données historiques de Patch Tuesday depuis 2022, 21,7 vulnérabilités SharePoint sont corrigées en moyenne chaque année, 2023 ayant enregistré le plus grand nombre avec 25 vulnérabilités corrigées.
Ce record pourrait toutefois être battu cette année, puisque 20 vulnérabilités SharePoint ont déjà été corrigées.
Malgré plus de 80 vulnérabilités SharePoint corrigées au cours des quatre dernières années, seules trois ont été exploitées dans la nature (CVE-2023-29357, CVE-2023-24955, CVE-2024-38094), auxquelles s’ajoutent les trois failles ToolShell (CVE-2025-49706, CVE-2025-49704, CVE-2025-53770). Des rapports font état de l’exploitation d’une autre vulnérabilité ToolShell, CVE-2025-53771, mais aucune confirmation officielle n’a été publiée.
Dossiers complémentaires sur le sujet avec les experts du site iTPro.fr
Microsoft Patch Tuesday Mai 2024
Microsoft Patch Tuesday Juin 2024
Microsoft Patch Tuesday Septembre 2024
Microsoft Patch Tuesday Mars 2025
Téléchargez cette ressource
Mac en entreprise : le levier d’un poste de travail moderne
Ce livre blanc répond aux 9 questions clés des entreprises sur l’intégration du Mac : sécurité, compatibilité, gestion, productivité, coûts, attractivité talents, RSE et IA, et l’accompagnement sur mesure proposé par inmac wstore.
Les articles les plus consultés
A travers cette chaîne
A travers ITPro
Les plus consultés sur iTPro.fr
- IA : ne déléguez pas votre cœur de métier à une boîte noire
- Identité de l’IA : 4 priorités pour anticiper plutôt que subir la régulation
- Sauvegarder les données ne suffit plus : il faut refonder le poste de travail
- Cybermalveillance : 2025, seuil franchi pour les victimes comme pour les cybercriminels
Articles les + lus
Sekoia.oi : l’alternative européenne qui s’impose dans la cybersécurité
Gestion des vulnérabilités : pourquoi seulement 7,6 % des entreprises corrigent les failles critiques en moins de 24 heures
Forum INCYBER : le cybercrime change d’échelle, l’Europe cherche sa riposte
Cybermalveillance : 2025, seuil franchi pour les victimes comme pour les cybercriminels
Cyberattaques : les entreprises détectent les menaces mais peinent à les contenir
À la une de la chaîne Sécurité
- Sekoia.oi : l’alternative européenne qui s’impose dans la cybersécurité
- Gestion des vulnérabilités : pourquoi seulement 7,6 % des entreprises corrigent les failles critiques en moins de 24 heures
- Forum INCYBER : le cybercrime change d’échelle, l’Europe cherche sa riposte
- Cybermalveillance : 2025, seuil franchi pour les victimes comme pour les cybercriminels
- Cyberattaques : les entreprises détectent les menaces mais peinent à les contenir
