Microsoft vient de publier son dernier patch Tuesday. Que retenir en quelques points clés ?
Analyse Microsoft Patch Tuesday Août 2025
Satnam Narang, Senior Staff Research Engineer chez Tenable partage son analyse sur la mise à jour du Patch Tuesday de Microsoft de ce mois-ci.
Ce mois-ci, Microsoft a corrigé 107 vulnérabilités (CVE) dans le cadre de sa publication Patch Tuesday d’août 2025, dont 13 classées critiques, 91 importantes, une modérée et une faible.
Hausse des vulnérabilités post-compromission par rapport
La publication de ce mois met en évidence une tendance à la hausse des vulnérabilités post-compromissi on par rapport aux failles d’exécution de code. Pour le deuxième mois consécutif, les vulnérabilités d’élévation de privilèges représentent la majorité des CVE corrigées ce mois-ci, soit 39,3 % (contre 41,4 % en juillet).
Bug d’élévation de privilèges connu sous le nom de BadSuccessor
Microsoft a publié un correctif pour la vulnérabilité CVE-2025-53779, un bug d’élévation de privilèges connu sous le nom de BadSuccessor, divulgué en mai dernier en tant que faille zero-day. Bien que le correctif de BadSuccessor soit essentiel, notre analyse indique que son impact immédiat est limité : seulement 0,7 % des domaines Active Directory remplissaient les conditions préalables au moment de la divulgation. Pour exploiter BadSuccessor, un attaquant doit disposer d’au moins un contrôleur de domaine exécutant Windows Server 2025 afin de compromettre le domaine.
Cela peut donner une impression de déjà-vu, car Microsoft a corrigé deux autres vulnérabilités SharePoint ce mois-ci : une faille d’exécution de code à distance (CVE-2025-49712) et un bug d’élévation de privilèges (CVE-2025-53760).
Failles SharePoint
Après le chaos provoqué par l’exploitation des vulnérabilités ToolShell, toute nouvelle faille SharePoint suscite légitimement des inquiétudes. Cependant, selon les données historiques de Patch Tuesday depuis 2022, 21,7 vulnérabilités SharePoint sont corrigées en moyenne chaque année, 2023 ayant enregistré le plus grand nombre avec 25 vulnérabilités corrigées.
Ce record pourrait toutefois être battu cette année, puisque 20 vulnérabilités SharePoint ont déjà été corrigées.
Malgré plus de 80 vulnérabilités SharePoint corrigées au cours des quatre dernières années, seules trois ont été exploitées dans la nature (CVE-2023-29357, CVE-2023-24955, CVE-2024-38094), auxquelles s’ajoutent les trois failles ToolShell (CVE-2025-49706, CVE-2025-49704, CVE-2025-53770). Des rapports font état de l’exploitation d’une autre vulnérabilité ToolShell, CVE-2025-53771, mais aucune confirmation officielle n’a été publiée.
Dossiers complémentaires sur le sujet avec les experts du site iTPro.fr
Microsoft Patch Tuesday Mai 2024
Microsoft Patch Tuesday Juin 2024
Microsoft Patch Tuesday Septembre 2024
Microsoft Patch Tuesday Mars 2025
Téléchargez cette ressource
Microsoft 365 Tenant Resilience
Face aux failles de résilience des tenants M365 (configurations, privilèges, sauvegarde). Découvrez 5 piliers pour durcir, segmenter et surveiller vos environnements afin de limiter l’impact des attaques. Prioriser vos chantiers cyber et améliorer la résilience de vos tenants Microsoft 365.
Les articles les plus consultés
A travers cette chaîne
A travers ITPro
- Les 6 recommandations pour les RSSI
- Cybersécurité : Techniques de cartographie Active Directory avec BloodHound
- Cybercriminalité : des attaques de plus en plus sophistiquées
- Envahissement de l’Ukraine par la Russie : la cybersécurité en deuxième ligne, les SOC en alerte maximale
- Ransomware : Ennemi public N°1
Les plus consultés sur iTPro.fr
- IA de confiance : le facteur clé pour rentabiliser les projets d’entreprise
- Quand les « travailleurs numériques » pallient le manque de bras dans l’industrie
- Hôpitaux virtuels : renforcer le système de santé français grâce au numérique
- Cybercriminalité bancaire : l’IA industrialise les attaques en 2026
Articles les + lus
RSSI 2026 : entre IA, réglementation et dépendances, l’art de l’arbitrage
Analyse Patch Tuesday Septembre 2026
Analyse Patch Tuesday Août 2026
L’IA accélère les attaques et expose les identités non gouvernées
WordPress publie une mise à jour de sécurité d’urgence pour corriger wp2shell
À la une de la chaîne Sécurité
- RSSI 2026 : entre IA, réglementation et dépendances, l’art de l’arbitrage
- Analyse Patch Tuesday Septembre 2026
- Analyse Patch Tuesday Août 2026
- L’IA accélère les attaques et expose les identités non gouvernées
- WordPress publie une mise à jour de sécurité d’urgence pour corriger wp2shell
