Points essentiels
Novembre 2025 est le premier mois du programme ESU (Mises à jour de sécurité étendues) Windows 10. Si vous prévoyez de continuer à utiliser Windows 10 assez longtemps, veillez à mettre votre système à jour vers Windows 10 version 22H2.
La mise à jour de l’OS Windows est notre principale priorité ce mois-ci, car elle résout une CVE dont l’exploitation est connue (CVE-2025-62215). Il s’agit d’une vulnérabilité d’élévation de privilèges (EP) du noyau (kernel) Windows, pouvant permettre à un pirate d’obtenir des privilèges SYSTEM. Cette vulnérabilité affecte toutes les versions de l’OS Windows actuellement prises en charge, ainsi que l’ESU Windows 10. C’est pourquoi le risque lié à l’utilisation de Windows 10 après sa date de fin de vie (EOL) n’est pas seulement hypothétique.
Des mises à jour tierces Adobe et Mozilla ont déjà été publiées, et la mise à jour Google Chrome arrive très bientôt, ce qui signifie qu’il faudra aussi mettre à jour Edge.
Microsoft résout 63 vulnérabilités uniques ce mois-ci, dont une CVE exploitée (CVE-2025-62215). Il s’agit d’une CVE d’élévation de privilèges (EP) du noyau (kernel) Windows, qui peut permettre à un pirate d’obtenir des privilèges de niveau SYSTEM sur le système cible. Ce mois-ci, les produits concernés sont notamment l’OS Windows, Office, SharePoint, SQL Server, Visual Studio, GitHub Copilot et l’agent Azure Monitor.
Du côté des mises à jour tierces, Oracle a publié sa mise à jour CPU (Critical Patch Update) du trimestre le 21 octobre 2025. Elle comprenait de nombreuses mises à jour, notamment pour Java. La publication de Java entraîne une série de mises à jour de la structure Java, comme RedHat OpenJDK, Amazon Corretto, Azul Zulu, Eclipse Adoptium, Adopt OpenJDK, etc.
Ce Patch Tuesday inclut 8 mises à jour tierces pour Adobe, 3 pour Mozilla et l’on prévoit la publication Google Chrome très prochainement, ainsi qu’une mise à jour Edge plus tard dans la semaine.
Vulnérabilité Microsoft exploitée
Microsoft résout une vulnérabilité EP (Élévation de privilèges) dont il a confirmé l’exploitation sur le terrain (CVE-2025-62215). Cette CVE est classée Important et son score CVSS 3.1 est de 7,0. Cette vulnérabilité repose sur une condition de compétition que l’attaquant doit exploiter avec succès. Mais, si elle est exploitée, ce pirate obtient des privilèges SYSTEM sur le système infecté. Cette vulnérabilité affecte toutes les versions actuellement prises en charge de l’OS Windows, ainsi que l’ESU Windows 10. C’est pourquoi le risque lié à l’utilisation de Windows 10 après sa date de fin de vie (EOL) n’est pas seulement hypothétique. Veillez à bien vous abonner aux mises à jour ESU Windows 10 et à réaliser les opérations d’atténuation nécessaire, si possible.
Vulnérabilités tierces
Adobe publie 8 mises à jour pour résoudre 28 CVE. Ces 8 mises à jour sont classées Priorité 3.
Mozilla publie 3 mises à jour, qui résolvent un total de 29 CVE.
Une nouvelle mise à jour Google Chrome devrait sortir, et 27 CVE ont été résolues depuis le Patch Tuesday d’octobre.
Priorités de mise à jour pour novembre
Ce mois-ci, l’OS Windows est la priorité numéro 1, puisque le Patch Tuesday de novembre inclut une exploitation Zero Day.
Continuez à surveiller votre environnement pour repérer les logiciels en fin de vie. En plus de Windows 10, certaines éditions d’Office sont désormais en fin de vie, ainsi qu’Exchange. Pour ce premier mois après la date de fin de vie de Windows 10, l’on constate une CVE Zero Day qui affecte l’OS Windows 10. Continuer à exécuter un logiciel en fin de vie sans support étendu présente vraiment de gros risques et les pirates vont chercher à en tirer avantage.
