Microsoft vient de publier son dernier patch Tuesday. Que retenir en quelques points clés ?
Analyse Microsoft Patch Tuesday Août 2025
Satnam Narang, Senior Staff Research Engineer chez Tenable partage son analyse sur la mise à jour du Patch Tuesday de Microsoft de ce mois-ci.
Ce mois-ci, Microsoft a corrigé 107 vulnérabilités (CVE) dans le cadre de sa publication Patch Tuesday d’août 2025, dont 13 classées critiques, 91 importantes, une modérée et une faible.
Hausse des vulnérabilités post-compromission par rapport
La publication de ce mois met en évidence une tendance à la hausse des vulnérabilités post-compromissi on par rapport aux failles d’exécution de code. Pour le deuxième mois consécutif, les vulnérabilités d’élévation de privilèges représentent la majorité des CVE corrigées ce mois-ci, soit 39,3 % (contre 41,4 % en juillet).
Bug d’élévation de privilèges connu sous le nom de BadSuccessor
Microsoft a publié un correctif pour la vulnérabilité CVE-2025-53779, un bug d’élévation de privilèges connu sous le nom de BadSuccessor, divulgué en mai dernier en tant que faille zero-day. Bien que le correctif de BadSuccessor soit essentiel, notre analyse indique que son impact immédiat est limité : seulement 0,7 % des domaines Active Directory remplissaient les conditions préalables au moment de la divulgation. Pour exploiter BadSuccessor, un attaquant doit disposer d’au moins un contrôleur de domaine exécutant Windows Server 2025 afin de compromettre le domaine.
Cela peut donner une impression de déjà-vu, car Microsoft a corrigé deux autres vulnérabilités SharePoint ce mois-ci : une faille d’exécution de code à distance (CVE-2025-49712) et un bug d’élévation de privilèges (CVE-2025-53760).
Failles SharePoint
Après le chaos provoqué par l’exploitation des vulnérabilités ToolShell, toute nouvelle faille SharePoint suscite légitimement des inquiétudes. Cependant, selon les données historiques de Patch Tuesday depuis 2022, 21,7 vulnérabilités SharePoint sont corrigées en moyenne chaque année, 2023 ayant enregistré le plus grand nombre avec 25 vulnérabilités corrigées.
Ce record pourrait toutefois être battu cette année, puisque 20 vulnérabilités SharePoint ont déjà été corrigées.
Malgré plus de 80 vulnérabilités SharePoint corrigées au cours des quatre dernières années, seules trois ont été exploitées dans la nature (CVE-2023-29357, CVE-2023-24955, CVE-2024-38094), auxquelles s’ajoutent les trois failles ToolShell (CVE-2025-49706, CVE-2025-49704, CVE-2025-53770). Des rapports font état de l’exploitation d’une autre vulnérabilité ToolShell, CVE-2025-53771, mais aucune confirmation officielle n’a été publiée.
Dossiers complémentaires sur le sujet avec les experts du site iTPro.fr
Microsoft Patch Tuesday Mai 2024
Microsoft Patch Tuesday Juin 2024
Microsoft Patch Tuesday Septembre 2024
Microsoft Patch Tuesday Mars 2025
Téléchargez cette ressource
Mac en entreprise : le levier d’un poste de travail moderne
Ce livre blanc répond aux 9 questions clés des entreprises sur l’intégration du Mac : sécurité, compatibilité, gestion, productivité, coûts, attractivité talents, RSE et IA, et l’accompagnement sur mesure proposé par inmac wstore.
Les articles les plus consultés
A travers cette chaîne
A travers ITPro
Les plus consultés sur iTPro.fr
- Face aux ransomwares, la résilience passe par les sauvegardes immuables
- L’IA, nouveau moteur des entreprises françaises d’ici 2030
- Gouvernance, cybersécurité et agents IA : trois défis clés à relever pour réussir la transition en 2026
- Top 5 des évolutions technologiques impactant la sécurité 2026
Articles les + lus
CESIN : un baromètre qui mesure le risque cyber réel
Analyse Patch Tuesday Janvier 2026
Dans l’œil du cyber-cyclone : l’excès d’optimisme constitue le risque principal pour la résilience des données
L’identité au cœur de la cybersécurité
Sécurité des équipes : les organisations à la peine
À la une de la chaîne Sécurité
- CESIN : un baromètre qui mesure le risque cyber réel
- Analyse Patch Tuesday Janvier 2026
- Dans l’œil du cyber-cyclone : l’excès d’optimisme constitue le risque principal pour la résilience des données
- L’identité au cœur de la cybersécurité
- Sécurité des équipes : les organisations à la peine
