Le plus vaste Patch Tuesday de Microsoft à ce jour : commentaire de Tenable

« Octobre marque le plus important Patch Tuesday jamais publié à ce jour. Microsoft a corrigé 167 vulnérabilités ce mois-ci, dépassant le précédent record de 157 CVE établi en janvier 2025. À deux mois de la fin de l’année, le nombre total de vulnérabilités corrigées atteint déjà 1 021, contre 1 009 sur l’ensemble de l’année dernière. À noter que ce décompte exclut les CVE corrigées avant le Patch Tuesday ou celles qui ne mentionnent pas Microsoft comme éditeur.

Les deux vulnérabilités les plus notables concernent Agere Modem, un pilote de modem tiers intégré aux systèmes Windows depuis près de vingt ans. Il s’agit de CVE-2025-24990, exploitée activement comme une faille de type zero day, et de CVE-2025-24052, rendue publique avant la publication du Patch Tuesday. Même si le modem n’est plus utilisé, il reste vulnérable à une exploitation pouvant permettre à un attaquant d’obtenir des privilèges administrateur. La correction illustre bien la gravité du problème : Microsoft a tout simplement supprimé le pilote ltmdm64.sys des systèmes Windows via la mise à jour cumulative d’octobre.

Une autre vulnérabilité critique, CVE-2025-59230, est une faille zero day d’élévation de privilèges dans Windows Remote Access Connection Manager (RasMan), le service chargé de gérer les connexions réseau distantes via les VPN et les connexions commutées. Cette vulnérabilité a également été exploitée dans la nature. Bien que RasMan ait déjà fait l’objet de correctifs plus de vingt fois depuis janvier 2022, c’est la première fois qu’il est visé par une exploitation active de type zero day.

Enfin, les utilisateurs de Microsoft Office doivent prêter attention à CVE-2025-59227 et CVE-2025-59234, deux failles d’exécution de code à distance exploitant le volet de prévisualisation (Preview Pane). Ces vulnérabilités ne nécessitent même pas que la victime ouvre le fichier pour être compromise. Un attaquant pourrait ainsi inciter la cible, via une campagne d’ingénierie sociale, à prévisualiser un e-mail contenant un document Office malveillant. »