Ivanti - Patch Tuesday d’octobre 2025

Le 14 octobre 2025 marque la dernière mise à jour de sécurité publique pour Windows 10, Office 2016 et 2019, ainsi que Exchange Server 2016 et 2019. Microsoft proposera des Extended Security Updates (ESU) pour Windows 10 durant les trois prochaines années, moyennant un coût additionnel. Pour les utilisateurs d’Exchange, la voie recommandée est une migration vers Exchange Online ou vers l’édition par abonnement.
Microsoft a corrigé 172 nouvelles vulnérabilités (CVE) (le nombre le plus élevé en 2025 à ce jour et peut-être le plus élevé dans l’histoire du Patch Tuesday de Microsoft) dont trois vulnérabilités activement exploitées et deux rendues publiques. Huit CVE sont classées Critiques par Microsoft (cinq RCE, trois élévations de privilèges) et affectent Windows, Office et Azure.
Mozilla publie cinq mises à jour corrigeant 45 CVE. Mozilla a été très précis sur certains termes utilisés dans trois des CVE corrigés. L’entreprise affirme que certains indices de corruption de mémoire étaient évidents et pourraient refléter une exploitation, bien qu’aucune confirmation ne soit disponible à ce jour. Les cinq mises à jour incluent au moins un des CVE suspects d’exploitation. Il est donc recommandé de considérer les cinq mises à jour comme contenant un CVE connu exploité.
Adobe a publié 12 mises à jour corrigeant 36 CVE. Adobe a classé la mise à jour Commerce en priorité 2, et le reste des mises à jour en priorité 3.

Le Patch Tuesday d’octobre est particulièrement chargé : Microsoft dépasse largement le pic de janvier (159 CVE) avec 172 CVE résolues ce mois-ci. On recense trois failles exploitées et deux rendues publiques, toutes intégrées dans la mise à jour cumulative du système d’exploitation, ce qui rend la remédiation plus rapide et plus efficace. Microsoft met également fin au support de nombreux produits, dont Windows 10, Office 2016 et 2019 ainsi que Exchange Server 2016 et 2019.

Adobe a publié 12 mises à jour corrigeant 36 CVE. Mozilla a publié cinq mises à jour résolvant 45 CVE et met en garde contre trois CVE présentant des signes d’exploitation potentielle dans la nature (non confirmé). Google Chrome devrait publier sa mise à jour hebdomadaire dans les 24 heures.

Vulnérabilités Microsoft exploitées

Microsoft a corrigé une vulnérabilité permettant de contourner le Secure Boot dans les versions antérieures à la version 11 du système d’exploitation IGEL (CVE-2025-47827), dont Microsoft a confirmé qu’elle était exploitée dans la nature. La vulnérabilité CVE est classée comme importante et a obtenu un score CVSS 3.1 de 4,6. Le Secure Boot peut être contourné, car le module igel-flash-driver vérifie de manière incorrecte une signature cryptographique, ce qui permet à un système de fichiers racine spécialement conçu d’être monté à partir d’une image non vérifiée.

Microsoft a corrigé une vulnérabilité d’élévation de privilèges dans Remote Access Connection Manager (CVE-2025-59230), dont Microsoft a confirmé qu’elle était exploitée dans la nature. La vulnérabilité CVE est classée comme importante et a obtenu un score CVSS 3.1 de 7,8. Un contrôle d’accès inadéquat dans Windows Remote Access Connection Manager permet à un attaquant autorisé d’élever ses privilèges localement. Une méthodologie de hiérarchisation basée sur les risques justifierait de traiter cette vulnérabilité comme critique.

Microsoft a corrigé une vulnérabilité d’élévation de privilèges dans le pilote de modem Agere (CVE-2025-24990), dont Microsoft a confirmé qu’elle était exploitée dans la nature. La vulnérabilité CVE est classée comme importante et a obtenu un score CVSS 3.1 de 7,8. Le pilote était fourni en natif avec le système d’exploitation Windows. Microsoft a supprimé le pilote avec la mise à jour cumulative d’octobre et recommande de supprimer toute dépendance existante à ce matériel de modem fax. L’exploitation est possible même si le pilote n’est pas utilisé. Une méthodologie de hiérarchisation basée sur les risques justifierait de traiter cela comme critique.

Vulnérabilités rendues publiques par Microsoft

Microsoft a corrigé une vulnérabilité d’élévation de privilèges dans le pilote de modem Agere (CVE-2024-24052), ont Microsoft a confirmé la divulgation publique. La vulnérabilité CVE est classée comme importante et a obtenu un score CVSS 3.1 de 7,8. La maturité du code d’exploitation est répertoriée comme preuve de concept, ce qui augmente le risque d’exploitation. Une méthodologie de hiérarchisation basée sur les risques justifierait de traiter cette vulnérabilité comme critique.

Microsoft a corrigé une vulnérabilité de lecture hors limites dans l’implémentation de référence TCG TPM2.0 (CVE-2024-2884), dont Microsoft a confirmé la divulgation publique. La vulnérabilité CVE est classée comme importante et a obtenu un score CVSS 3.1 de 5,3. La maturité du code d’exploitation est répertoriée comme non prouvée, ce qui indique qu’aucun code n’est actuellement disponible publiquement.

Vulnérabilités tierces

Adobe a publié 12 mises à jour corrigeant 36 vulnérabilités CVE. Adobe a classé la mise à jour Commerce comme priorité deux et les autres mises à jour comme priorité trois.
Mozilla a publié cinq mises à jour corrigeant 45 CVE. Trois de ces CVE comprenaient des variantes de la déclaration suivante : « Certains de ces bogues présentaient des signes de corruption de mémoire et nous supposons qu’avec suffisamment d’efforts, certains d’entre eux auraient pu être exploités pour exécuter du code arbitraire », indiquant une possibilité d’exploitation dans la nature. Les cinq mises à jour comprennent au moins un des CVE suspects d’exploitation. Il est donc recommandé de considérer les cinq mises à jour comme contenant un CVE connu et exploité.

Google Chrome devrait sortir dans les prochaines 24 heures, alors prévoyez une mise à jour de Chrome et éventuellement une mise à jour d’Edge peu après.

Priorités de mises à jour en octobre

La mise à jour cumulative du système d’exploitation Windows est la priorité absolue ce mois-ci, car elle corrige trois vulnérabilités exploitées et deux vulnérabilités CVE rendues publiques.
Toutes les mises à jour Mozilla devraient être déployées pendant votre maintenance habituelle, mais tout report ou retard comporterait des risques, car trois CVE seraient déjà exploitables dans la nature.