Octobre peut être riche en surprises, mais les systèmes non corrigés ne le sont jamais. Ne laissez pas les menaces cachées vous piéger : appliquez les correctifs tôt, souvent, et gardez les alertes là où elles doivent être : à Halloween, pas sur vos systèmes.
Ce Patch Tuesday corrige 175 vulnérabilités, dont 6 zero-day. Microsoft met également fin à l’ère des mises à jour de sécurité gratuites pour son système d’exploitation de confiance : Windows 10.
Inscrivez-vous à notre webinaire gratuit Patch Tuesday pour écouter nos experts détailler ces mises à jour et partager les meilleures pratiques de gestion des correctifs.
Résumé des mises à jour de sécurité
- Nombre total de CVE corrigées : 175
- Failles zero-day : 6 (dont 3 activements exploitées)
- Vulnérabilités critiques : 8
- CVE republiées : 21 (notes de publication du MSRC)
Remarque : Les 8 vulnérabilités critiques incluent 5 vulnérabilités d’exécution de code à distance (RCE) et 3 vulnérabilités d’élévation de privilèges (EoP).
Produits, fonctionnalités et rôles concernés
Des mises à jour de sécurité ont été publiées pour plusieurs produits Microsoft critiques, notamment :
- Visual Studio
- Noyau Windows
- Microsoft Office
- Copilote
- Windows BitLocker
Pour la liste complète des produits et rôles affectés, consultez les notes de publication du MSRC.
Répartition des vulnérabilités
Le Patch Tuesday ne serait pas complet sans une analyse des types de vulnérabilités. Voici la répartition des vulnérabilités de ce mois-ci :
- Élévation des privilèges (80) – Permet aux attaquants d’obtenir des droits administrateur depuis un compte utilisateur standard.
- Exécution de code à distance (31) – Permet l’exécution de code à distance via fichiers ou paquets malveillants.
- Divulgation d’informations (28) – Risque de fuite d’informations sensibles.
- Déni de service (14) – Interruption des services provoquant des perturbations.
- Contournement des fonctionnalités de sécurité (12) – Permet d’échapper aux mesures de sécurité et obtenir un accès non autorisé.
- Usurpation d’identité (10) – L’attaquant se fait passer pour une source fiable, compromettant la confiance et la sécurité.
Détails des vulnérabilités zero-day
- Composant vulnérable : Pilote de modem Windows Agere
- Impact : Élévation des privilèges
- Score CVSS : 7.8
Exploitation possible pour obtenir des privilèges administrateur. Correctif inclus dans la mise à jour cumulative d’octobre.
- Composant vulnérable : Pilote de modem Windows Agere
- Impact : Élévation des privilèges
- Score CVSS : 7.8
Exploitation possible pour obtenir des privilèges administrateur. Correctif inclus dans la mise à jour cumulative d’octobre.
- Composant vulnérable : Pilote de modem Windows Agere
- Impact : Élévation des privilèges
- Score CVSS : 7.8
Similaire à CVE-2025-24990, exploitable même si le modem est inactif.
- Composant vulnérable : Gestionnaire de connexions d’accès à distance Windows
- Impact : Élévation des privilèges
- Score CVSS : 7.8
Exploitation locale possible, chemin d’attaque complexe.
- Composant vulnérable : Démarrage sécurisé IGEL
- Impact : Contournement des fonctionnalités de sécurité
- Score CVSS : 4.6
Contournement du démarrage sécurisé sur IGEL OS v11 via image SquashFS non vérifiée.
- Composant vulnérable : Processeurs AMD EPYC SEV-SNP
- Impact : Élévation des privilèges / Intégrité mémoire
- Score CVSS : 8.2
Condition de concurrence sur la table RMP pouvant affecter l’intégrité mémoire SEV-SNP.
- Composant vulnérable : Implémentation TCG TPM 2.0
- Impact : Divulgation d’informations / Déni de service
- Score CVSS : 5.3
Lecture hors limites dans CryptHmacSign pouvant divulguer des infos ou provoquer un DoS du TPM.
Mises à jour de sécurité tierces
- Adobe : Correctifs pour plusieurs produits.
- Cisco : IOS, Unified Communications Manager, Cyber Vision Center.
- Ivanti : Endpoint Manager Mobile (EPMM), Neurons pour MDM.
- Oracle : Deux zero-days E-Business Suite corrigés.
- SAP : Correctifs Netweaver et autres produits.
Chaque vulnérabilité corrigée réduit les vecteurs d’attaque potentiels.
Bonnes pratiques pour gérer la gestion des correctifs dans un environnement de travail hybride
De nombreuses organisations ont adopté le travail à distance, même après un retour partiel au bureau. Cette évolution pose divers défis aux administrateurs IT, notamment en matière de gestion et de sécurisation des plateformes distribuées.
Voici quelques recommandations pour simplifier le processus d’application des correctifs à distance :
- Désactiver les mises à jour automatiques, car un correctif défectueux pourrait entraîner une panne système. Les administrateurs IT peuvent informer les utilisateurs sur la manière de désactiver ces mises à jour. Patch Manager Plus et Endpoint Central proposent un correctif dédié, 105427, permettant de désactiver automatiquement les mises à jour sur les plateformes.
- Créer un point de restauration (sauvegarde ou image capturant l’état des machines) avant de déployer des mises à jour majeures, comme celles du Patch Tuesday.
- Établir un planning de correctifs et informer les utilisateurs finaux. Il est recommandé de définir un horaire précis pour le déploiement des correctifs et les redémarrages des systèmes. Informez les utilisateurs des actions requises de leur côté afin de garantir une mise à jour sans problème.
- Tester les correctifs sur un groupe pilote avant le déploiement en production pour s’assurer qu’ils n’interfèrent pas avec les autres applications.
- Permettre aux utilisateurs de reporter l’installation des correctifs et les redémarrages programmés pour éviter toute interruption de leur travail, notamment pour ceux ayant des horaires décalés en télétravail. Les solutions de gestion des correctifs offrent des options de déploiement et de redémarrage définies par l’utilisateur.
- Optimiser la gestion des correctifs via le VPN en installant en priorité les correctifs critiques et de sécurité. Les mises à jour de fonctionnalités et cumulatives étant volumineuses, il peut être judicieux de différer leur déploiement afin de préserver la bande passante du VPN.
- Programmer les mises à jour non critiques après le Patch Tuesday, par exemple lors de la troisième ou quatrième semaine du mois. Il est également possible de refuser certaines mises à jour si elles ne sont pas pertinentes pour votre environnement.
- Analyser les rapports de correctifs afin d’obtenir une vue détaillée sur l’état de conformité et la sécurité des plateformes.
- Vérifier la conformité des machines de retour au bureau après une période de télétravail. Si elles ne répondent pas aux politiques de sécurité, elles doivent être mises en quarantaine. Appliquez les dernières mises à jour et packs de fonctionnalités avant de les réintégrer dans l’environnement de production. Profitez-en pour inventorier et désinstaller les applications devenues obsolètes, comme certains outils de collaboration à distance.
Grâce à Endpoint Central, Patch Manager Plus et Vulnerability Manager Plus, l’ensemble du processus de gestion des correctifs peut être automatisé, de la phase de test jusqu’au déploiement. Vous pouvez également personnaliser les tâches de correction en fonction de vos besoins. Testez ces solutions avec un essai gratuit de 30 jours pour sécuriser et maintenir à jour des milliers d’applications.
Vous souhaitez en savoir plus sur les mises à jour Patch Tuesday ?
Participez à notre webinaire gratuit Patch Tuesday, où nos experts analyseront en détail les mises à jour de ce mois-ci et répondront à toutes vos questions.
Prêts ? À vos correctifs !