Microsoft vient de publier son dernier patch Tuesday. Que retenir en quelques points clés ?
Analyse Microsoft Patch Tuesday Août 2025
Satnam Narang, Senior Staff Research Engineer chez Tenable partage son analyse sur la mise à jour du Patch Tuesday de Microsoft de ce mois-ci.
Ce mois-ci, Microsoft a corrigé 107 vulnérabilités (CVE) dans le cadre de sa publication Patch Tuesday d’août 2025, dont 13 classées critiques, 91 importantes, une modérée et une faible.
Hausse des vulnérabilités post-compromission par rapport
La publication de ce mois met en évidence une tendance à la hausse des vulnérabilités post-compromissi on par rapport aux failles d’exécution de code. Pour le deuxième mois consécutif, les vulnérabilités d’élévation de privilèges représentent la majorité des CVE corrigées ce mois-ci, soit 39,3 % (contre 41,4 % en juillet).
Bug d’élévation de privilèges connu sous le nom de BadSuccessor
Microsoft a publié un correctif pour la vulnérabilité CVE-2025-53779, un bug d’élévation de privilèges connu sous le nom de BadSuccessor, divulgué en mai dernier en tant que faille zero-day. Bien que le correctif de BadSuccessor soit essentiel, notre analyse indique que son impact immédiat est limité : seulement 0,7 % des domaines Active Directory remplissaient les conditions préalables au moment de la divulgation. Pour exploiter BadSuccessor, un attaquant doit disposer d’au moins un contrôleur de domaine exécutant Windows Server 2025 afin de compromettre le domaine.
Cela peut donner une impression de déjà-vu, car Microsoft a corrigé deux autres vulnérabilités SharePoint ce mois-ci : une faille d’exécution de code à distance (CVE-2025-49712) et un bug d’élévation de privilèges (CVE-2025-53760).
Failles SharePoint
Après le chaos provoqué par l’exploitation des vulnérabilités ToolShell, toute nouvelle faille SharePoint suscite légitimement des inquiétudes. Cependant, selon les données historiques de Patch Tuesday depuis 2022, 21,7 vulnérabilités SharePoint sont corrigées en moyenne chaque année, 2023 ayant enregistré le plus grand nombre avec 25 vulnérabilités corrigées.
Ce record pourrait toutefois être battu cette année, puisque 20 vulnérabilités SharePoint ont déjà été corrigées.
Malgré plus de 80 vulnérabilités SharePoint corrigées au cours des quatre dernières années, seules trois ont été exploitées dans la nature (CVE-2023-29357, CVE-2023-24955, CVE-2024-38094), auxquelles s’ajoutent les trois failles ToolShell (CVE-2025-49706, CVE-2025-49704, CVE-2025-53770). Des rapports font état de l’exploitation d’une autre vulnérabilité ToolShell, CVE-2025-53771, mais aucune confirmation officielle n’a été publiée.
Dossiers complémentaires sur le sujet avec les experts du site iTPro.fr
Microsoft Patch Tuesday Mai 2024
Microsoft Patch Tuesday Juin 2024
Microsoft Patch Tuesday Septembre 2024
Microsoft Patch Tuesday Mars 2025
Téléchargez cette ressource
Microsoft 365 Tenant Resilience
Face aux failles de résilience des tenants M365 (configurations, privilèges, sauvegarde). Découvrez 5 piliers pour durcir, segmenter et surveiller vos environnements afin de limiter l’impact des attaques. Prioriser vos chantiers cyber et améliorer la résilience de vos tenants Microsoft 365.
Les articles les plus consultés
A travers cette chaîne
A travers ITPro
- Cybersécurité : Techniques de cartographie Active Directory avec BloodHound
- Envahissement de l’Ukraine par la Russie : la cybersécurité en deuxième ligne, les SOC en alerte maximale
- Cybercriminalité : des attaques de plus en plus sophistiquées
- Les 6 recommandations pour les RSSI
- Vol de propriété intellectuelle: détecter les copies de répertoires
Les plus consultés sur iTPro.fr
- Microsoft Build 2026 : industrialiser l’IA agentique dans les environnements d’entreprise
- IA et souveraineté des données : les entreprises françaises redéfinissent les infrastructures IT
- Temps d’arrêt IT : un coût de 600 milliards de dollars pour les entreprises du Global 2000
- Microsoft Build 2026 : contre-offensive des modèles maison face à OpenAI et Anthropic
Articles les + lus
ESET accélère en France et mise sur l’IA face à la montée des cybermenaces
Pourquoi les outils de sécurité ne suffisent plus face aux angles morts de la détection
Explosion des identités et insécurité persistante : l’EMEA face à un tournant critique
ALERTE ! De nouvelles générations de cybermenaces dopées à l’IA
Mythos révèle les limites d’un Zero Trust centré sur le réseau
À la une de la chaîne Sécurité
- ESET accélère en France et mise sur l’IA face à la montée des cybermenaces
- Pourquoi les outils de sécurité ne suffisent plus face aux angles morts de la détection
- Explosion des identités et insécurité persistante : l’EMEA face à un tournant critique
- ALERTE ! De nouvelles générations de cybermenaces dopées à l’IA
- Mythos révèle les limites d’un Zero Trust centré sur le réseau
