Patch Tuesday – Avril 2025 : Microsoft a corrigé 134 vulnérabilités dont 1 faille zero-day

À l'occasion du Patch Tuesday d'avril 2025, Microsoft a corrigé un ensemble de 134 failles de sécurité dans ses produits et services, dont une faille zero-day. Voici ce qu'il faut retenir.

Parmi les 134 vulnérabilités corrigées par Microsoft, il y en a 11 qui sont considérées comme critiques et qui méritent une attention particulière. Voici les failles en question :

• Microsoft Office : CVE-2025-27745, CVE-2025-29791, CVE-2025-27748, CVE-2025-27749, CVE-2025-27752
• Passerelle des services Bureau à distance : CVE-2025-27482, CVE-2025-27480
• Hyper-V : CVE-2025-27491
• Windows - Protocole LDAP : CVE-2025-26663, CVE-2025-26670
• Windows - Pile TCP/IP : CVE-2025-26686

Il est à noter que l'ensemble de ces vulnérabilités critiques permettent une exécution de code à distance. D'autres composants sont directement concernés par ce Patch Tuesday, notamment : les services de domaine Active Directory (CVE-2025-29810), OpenSSH pour Windows (CVE-2025-27731), l'autorité de certification Active Directory (CVE-2025-27740), ou encore le protocole Kerberos (CVE-2025-26647, CVE-2025-27479, CVE-2025-29809). En complément de ces failles de sécurité, plus récemment, Microsoft a corrigé un total de 13 vulnérabilités dans son navigateur Microsoft Edge.

CVE-2025-29824 : une faille de sécurité zero-day déjà exploitée

Une seule et unique faille de sécurité zero-day a été patchée à l'occasion de ce Patch Tuesday d'avril 2025. Désormais associée à la référence CVE-2025-29824, cette vulnérabilité se situe dans le pilote CLFS (Common Log File System) de Windows.

Considérée comme importante, la CVE-2025-29824 peut être exploitée par un attaquant local pour élever ses privilèges en tant que SYSTEM. D'après Microsoft, cette vulnérabilité a déjà été exploitée dans le cadre d'attaques menées par le gang de ransomware RansomEXX.

Cette faiblesse dans Windows affecte aussi bien Windows 10, Windows 11 que Windows Server 2008 à Windows Server 2025. Néanmoins, à l'heure actuelle, le patch pour Windows 10 est absent. "La mise à jour de sécurité pour Windows 10 pour les systèmes x64 et Windows 10 pour les systèmes 32 bits n'est pas immédiatement disponible.", précise Microsoft.

Pour approfondir le sujet :

• Windows : cette nouvelle zero-day dans CLFS est exploitée par le ransomware RansomEXX

Les mises à jour d'avril 2025 pour Windows 10 et Windows 11

La sortie de ce Patch Tuesday s'accompagne par de nouvelles mises à jour à destination de Windows 10 et Windows 11. Retrouvez nos articles dédiés pour prendre connaissance des changements apportés :

• La mise à jour d'avril 2025 pour Windows 10
• Les mises à jour d'avril 2025 pour Windows 11

Bon courage pour patcher vos machines !

Source

Florian BURNEL Co-founder of IT-Connect

Ingénieur système et réseau, cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Je souhaite partager mon expérience et mes découvertes au travers de mes articles. Généraliste avec une attirance particulière pour les solutions Microsoft et le scripting. Bonne lecture.

Voir la bio complète