🔧 Patch Tuesday – Mai 2025
78 vulnérabilités corrigées, 11 critiques, 5 exploitées
Chaque deuxième mardi du mois, c’est un rendez-vous bien connu des équipes IT et sécurité : le Patch Tuesday de Microsoft. Celui de mai 2025 ne fait pas exception, avec une publication particulièrement dense : 78 failles de sécurité ont été corrigées, dont 11 classées critiques et 5 déjà activement exploitées (zero-day), comme nous l’avons vu dans notre article précédent.
📊 Répartition des vulnérabilités
| Gravité | Nombre de failles |
|---|---|
| Critiques | 11 |
| Importantes (Élevées) | 67 |
| Totales | 78 |
Ces failles couvrent une large gamme de produits Microsoft, notamment :
Windows 10, 11, et Server (2016 à 2022)
Microsoft Office
Microsoft Defender
Azure DevOps Server
Windows Secure Boot
SQL Server
Microsoft Dynamics 365
Microsoft Edge (Chromium-based)
📌 Focus sur certaines vulnérabilités critiques
CVE-2024-30050 – Élévation de privilèges dans Windows Kernel (zero-day)
CVE-2024-30040 – RCE via fichier Office malveillant
CVE-2024-30048 – RCE dans SQL Server Reporting Services
CVE-2024-30043 – Contournement de sécurité dans Secure Boot
CVE-2024-30051 – Failles DWM utilisées pour des attaques de type “Bring Your Own Vulnerable Driver” (BYOVD)
💡 Détail intéressant : certaines vulnérabilités sont chaînables entre elles, ce qui permet à un attaquant d’obtenir un accès local via une élévation de privilège, puis d’exécuter du code à distance.
🧠 Impacts potentiels
Exposition accrue pour les postes non mis à jour, notamment dans les environnements OT ou isolés.
Risque important pour les utilisateurs mobiles ou distants, souvent moins bien protégés.
Chaînes d’exploitation de type phishing + RCE + élévation locale.
🛡️ Conseils pratiques pour les RSSI et équipes IT
Automatiser le déploiement des mises à jour via Intune, WSUS, ou autres outils de gestion de parc.
Superviser l’application des correctifs critiques avec des rapports hebdomadaires.
Évaluer les risques business en cas de non-patch sur des environnements sensibles.
Communiquer avec les utilisateurs sur les risques liés à l’ouverture de documents inconnus.
📬 Ressources
« Un patch n’est efficace que lorsqu’il est appliqué. La vraie faille, c’est l’oubli. »
— Cyberscope, Mai 2025
