Le traditionnel Patch Tuesday d’octobre 2025 a vu Microsoft déployer un ensemble conséquent de correctifs visant à renforcer la sécurité de ses produits phares. Ce sont au total 172 vulnérabilités qui ont été comblées, parmi lesquelles figurent 6 failles zero-day particulièrement critiques, certaines déjà activement exploitées par des acteurs malveillants. Cette mise à jour s’inscrit dans un contexte où la cybersécurité demeure un enjeu central pour les entreprises et les utilisateurs finaux. Détail des correctifs et implications pour les dispositifs concernés.
Cette salve d’octobre inclut la dernière mise à jour cumulative pour Windows 10, référencée KB5066791, dans le cadre du support standard. Au-delà de Windows, les correctifs concernent également une gamme variée de produits, notamment Windows 11, diverses versions de Windows Server, ainsi que des composants Azure et Microsoft Office.
Parmi les 172 vulnérabilités corrigées, 19 sont qualifiées de critiques, notamment :
Un point d’attention particulier est porté sur la faille critique affectant WSUS, avec un score CVSS v3.1 de 9.8 sur 10. Elle permet à un attaquant distant non authentifié d’exécuter du code à distance, ce qui représente une menace majeure pour l’intégrité et la disponibilité des systèmes.
Les failles zero-day sont des vulnérabilités exploitées avant toute mise à jour publique. Le Patch Tuesday d’octobre 2025 en corrige six, dont la moitié ont été activement attaquées en conditions réelles. Voici leur décryptage :
Un pilote Agere Modem (fichier ltmdm64.sys), intégré nativement dans Windows 10, 11 et Windows Server, présentait une faille permettant l’élévation de privilèges. La mise à jour supprime ce pilote, ce qui entraîne la perte de fonctionnalité du matériel modem fax dépendant. Microsoft confirme que cette vulnérabilité est exploitée par des cybercriminels, soulignant ainsi l’importance de cette mise à jour.
Localisé dans le gestionnaire de connexions d’accès distant de Windows, ce défaut de contrôle d’accès autorisait un attaquant local à s’octroyer des privilèges SYSTEM. Cette faille est également activement exploitée et touche Windows 10, 11 et Windows Server.
IGEL OS, un système Linux léger dédié à transformer un PC en client léger pour environnements virtuels, présentait une faille permettant de contourner le Secure Boot. Cette vulnérabilité permettait de monter une image non vérifiée, menaçant la sécurité des postes client. Cette faille est également exploitée et concerne les versions antérieures à IGEL OS 11.
Cette vulnérabilité impacte les processeurs AMD EPYC utilisés dans la virtualisation sécurisée (SEV-SNP) pour les machines virtuelles Azure Confidential Compute. Elle résulte d’une condition de concurrence à l’initialisation des tables RMP, pouvant compromettre l’intégrité mémoire. Cette faille est divulguée mais non encore exploitée à ce jour.
La faille corrigée dans le Trusted Platform Module (TPM) 2.0 de TCG pourrait exposer à une lecture hors limites et provoquer un déni de service. L’exploitation est locale et réputée complexe, affectant Windows 11 et des versions récentes de Windows Server.
Une vulnérabilité critique (CVE-2025-25004) a aussi été rectifiée dans PowerShell 7.4 et 7.5 ainsi que dans toutes les versions de Windows PowerShell. Cette faille permettait une élévation de privilèges locale vers SYSTEM, offrant la possibilité de modifier ou supprimer des fichiers sensibles. L’importance de ce correctif illustre les enjeux permanents de la cybersécurité dans les outils d’automatisation et d’administration.
Ce Patch Tuesday d’octobre 2025 illustre l’importance de suivre rigoureusement les mises à jour de sécurité, particulièrement quand elles corrigent des failles zero-day.
À une époque où la cybersécurité est plus que jamais une priorité stratégique pour protéger les infrastructures critiques, toutes les organisations, des PME aux grandes entreprises, doivent intégrer ces correctifs sans délai pour se prémunir contre les risques d’attaques sophistiquées.
Enfin, les mises à jour sur Windows 10, Windows 11 et Windows Server seront accompagnées d’analyses complémentaires dans les prochains jours pour permettre aux professionnels et passionnés du numérique d’anticiper au mieux les adaptations nécessaires.
Et si votre site pouvait passer d’une page à l’autre avec une animation élégante, sans…
ChatGPT accueille des applications : un nouveau terrain de jeu pour l’idéation et la productivité…
Une nouvelle ère de recherche pour l’Europe Google ouvre un nouveau chapitre de la recherche…
Perplexity franchit une nouvelle étape stratégique avec l’acquisition de l’équipe derrière Visual Electric, une jeune…
Un cap important pour les front-ends modernesDisponible sur les principaux systèmes, Chrome 142 beta introduit…
Du gadget au véritable canal de venteLongtemps perçus comme un mélange de curiosité technologique et…