Microsoft vient de publier son dernier patch Tuesday. Que retenir en quelques points clés ?
Analyse Patch Tuesday Juin 2025

Satnam Narang, Senior Staff Research Engineer chez Tenable partage son analyse sur la mise à jour du Patch Tuesday de Microsoft de ce mois-ci.
Microsoft a publié des correctifs pour 65 vulnérabilités (CVE), dont 9 sont jugées critiques et 56 importantes.
Le nombre de CVE corrigées en 2025 nous rapproche déjà de la moitié du total de l’année dernière, qui s’élevait à 1 009. À mesure que ce chiffre augmente chaque année, la pression sur les défenseurs du cyberespace pour atténuer efficacement ces vulnérabilités s’intensifie également. L’équipe Special Operations de Tenable Research fournit des renseignements exploitables.
Seules deux vulnérabilités zero day ont été répertoriées : l’une a été exploitée activement, l’autre a fait l’objet d’une divulgation publique.
CVE-2025-33053, faille d’exécution de code à distance dans Web Distributed Authoring and Versioning (WebDAV)
Une des vulnérabilités zero day les plus notables exploitées activement est la CVE-2025-33053, une faille d’exécution de code à distance dans Web Distributed Authoring and Versioning (WebDAV), un protocole qui étend les fonctionnalités de HTTP pour permettre l’interaction avec des fichiers. Check Point Research a confirmé que le groupe Stealth Falcon a lancé une campagne de manipulation pour inciter les cibles à ouvrir un fichier .url malveillant, exploitant ainsi cette vulnérabilité pour exécuter du code. Il est rare d’observer une zero day signalée lors d’un Patch Tuesday et déjà exploitée à large échelle.
En général, ces failles sont utilisées de façon plus discrète, afin de rester indétectées le plus longtemps possible. Cependant, toutes ne sont pas employées de manière furtive. Le précédent créé par des groupes comme Cl0p avec des outils de transfert de fichiers montre que certaines zero days peuvent se répandre très rapidement quand l’argent devient un moteur.

Microsoft n’a pas corrigé BadSuccessor, vulnérabilité zero day d’élévation de privilèges,
Ce mois-ci, Microsoft n’a pas corrigé BadSuccessor, une vulnérabilité zero day d’élévation de privilèges, malgré sa divulgation par les chercheurs d’Akamai le 21 mai, suivie de la publication de proof of concept, notamment une implémentation .NET appelée SharpSuccessor, intégrée à NetExec et BloodyAD.
BadSuccessor n’affecte que les domaines Active Directory disposant d’au moins un contrôleur de domaine sous Windows Server 2025. C’est une configuration rare, que nous avons observée dans seulement 0,7 % des domaines AD selon un échantillon de nos données. Microsoft prévoit de corriger cette faille, mais pas ce mois-ci. Les organisations concernées devraient revoir les permissions accordées aux identités et les restreindre autant que possible.
Avis concernant la CVE-2025-21204, faille d’élévation de privilèges corrigée en avril
Microsoft a récemment mis à jour son avis concernant la CVE-2025-21204, une faille d’élévation de privilèges corrigée en avril. Dans le cadre de cette mise à jour, un dossier a été créé dans %systemdrive%\inetpub afin de « renforcer la sécurité ».
Certains utilisateurs, inquiets de la présence d’un nouveau dossier, l’ont supprimé manuellement. Dans sa dernière mise à jour, Microsoft a publié un script de remédiation permettant de restaurer ce dossier avec les bonnes permissions et de mettre à jour les listes de contrôle d’accès (ACL). Il est recommandé aux utilisateurs ayant supprimé manuellement ce dossier d’exécuter le script officiel de Microsoft.
Dossiers complémentaires sur le sujet avec les experts du site iTPro.fr
Microsoft Patch Tuesday Mai 2024
Microsoft Patch Tuesday Juin 2024
Microsoft Patch Tuesday Septembre 2024
Téléchargez cette ressource

10 tendances clés de l’Expérience Client (CX) 2025
Dans le contexte actuel, l'expérience client est un levier clé de réussite. Pour rester compétitives, les entreprises doivent adopter des stratégies CX audacieuses, en s'appuyant sur le cloud, le digital et l'IA. Alors quelles stratégies mettre en place pour garder une longueur d’avance ?
Les articles les plus consultés
Les plus consultés sur iTPro.fr
- Prédictions IA & IT pour 2026
- Alerte sur les cyberattaques du secteur industriel
- Accessibilité numérique : l’impact des nouveaux design systems iOS et Android sur l’expérience utilisateur mobile
- Cloud et IA générative : le secteur de la santé visé
- La progression latérale dans les cyberattaques échappe encore à la détection !
