Le Patch Tuesday de décembre est arrivé ! Pendant que tout le monde compte les jours avant les fêtes de fin d’année, nous faisons le décompte des vulnérabilités corrigées ce mois-ci. Ce Patch Tuesday corrige 57 vulnérabilités, dont 3 zero-days, dont 1 activement exploitée.
Panorama des mises à jour de sécurité – Décembre 2025
- Nombre total de CVE corrigées : 57
- Vulnérabilités zero-day : 3 (dont 1 activement exploitée)
- Vulnérabilités critiques : 3 (toutes en Exécution de code à distance – RCE)
- CVE republiées : 13 (voir les notes de publication MSRC)
Produits, fonctionnalités et rôles affectés
Des mises à jour de sécurité ont été publiées pour plusieurs produits Microsoft critiques, notamment :
- Copilot
- Microsoft Office
- Microsoft Exchange Server
- Windows Projected File System
Pour consulter la liste complète des produits, fonctionnalités et rôles concernés, veuillez vous référer aux notes de publication MSRC.
Répartition des vulnérabilités
Voici comment se répartissent les vulnérabilités corrigées ce mois-ci :
- 28 Élévations de privilèges (EoP) – Quand les pirates veulent une promotion… mais pas la légale.
- 19 Exécutions de code à distance (RCE) – La version cybercriminelle du « télétravail ».
- 4 Divulgations d’informations – Des secrets révélés là où ils ne devraient pas l’être.
- 4 Dénis de service (DoS) – Mettre des services hors ligne, un crash à la fois.
- 2 Usurpations d’identité (Spoofing) – Le vol d’identité numérique, en plus discret.
Détails des vulnérabilités zero-day
- Composant vulnérable : Windows Cloud Files Mini Filter Driver
- Impact : Élévation de privilèges (EoP)
- CVSS 3.1 : 7,8
Microsoft a corrigé une faille d’élévation de privilèges dans le pilote Windows Cloud Files Mini Filter Driver après confirmation d’une exploitation active. La vulnérabilité provenait d’une condition use-after-free causée par une mauvaise gestion de la mémoire dans le pilote, permettant à un attaquant authentifié d’élever ses privilèges jusqu’au niveau SYSTEM. Microsoft remercie le Microsoft Threat Intelligence Center (MSTIC) et le Microsoft Security Response Center (MSRC) pour l’identification du problème, tout en ne divulguant pas les détails précis de son exploitation en conditions réelles.
- Composant vulnérable : GitHub Copilot pour JetBrains
- Impact : Exécution de code à distance (RCE)
- CVSS 3.1 : 8,4
Une vulnérabilité d’exécution de code à distance affectant GitHub Copilot pour JetBrains a été corrigée par Microsoft suite à une divulgation publique. Le problème était dû à une neutralisation insuffisante des entrées de commande, permettant un scénario d’injection de commandes sur la machine locale. Selon Microsoft, la faille peut être exploitée via une Cross Prompt Injection transmise par des fichiers non fiables ou des serveurs MCP. Une injection de prompt spécialement conçue peut permettre à un attaquant d’ajouter des commandes malveillantes à celles autorisées par la configuration d’auto-approbation du terminal de l’utilisateur, entraînant une exécution de code non autorisée. Microsoft remercie le chercheur en sécurité Ari Marzuk, qui a identifié et signalé la vulnérabilité dans le cadre de sa publication « IDEsaster: A Novel Vulnerability Class in AI IDEs ».
- Composant vulnérable : Windows PowerShell
- Impact : Exécution de code à distance (RCE)
- CVSS 3.1 : 7,8
Cette vulnérabilité d’exécution de code à distance dans Windows PowerShell permettait à des scripts intégrés dans une page web de s’exécuter lorsque le contenu était récupéré via Invoke-WebRequest. Le problème, causé par une mauvaise neutralisation des éléments de commande, entraînait un scénario d’injection de commandes lors de l’analyse du contenu web. Pour corriger cela, Microsoft a introduit un nouveau message d’avertissement alertant les utilisateurs lors de l’utilisation de Invoke-WebRequest, en recommandant l’usage du paramètre -UseBasicParsing afin d’empêcher l’exécution de scripts et de réduire les risques. Des informations techniques complémentaires sont disponibles dans KB5074596 : PowerShell 5.1 – Prévention de l’exécution de scripts à partir de contenu web. Microsoft remercie plusieurs chercheurs pour le signalement de cette vulnérabilité, dont Justin Necke, DeadOverflow, Pēteris Hermanis Osipovs, Anonymous, Melih Kaan Yıldız et Osman Eren Güneş.
Mises à jour de sécurité tierces
Ce n’est pas uniquement Microsoft : d’autres éditeurs renforcent également la sécurité ce mois-ci :
- Adobe a publié des mises à jour de sécurité pour plusieurs produits, dont ColdFusion, Experience Manager, DNG SDK, Acrobat Reader et Creative Cloud Desktop.
- Fortinet a publié des correctifs pour plusieurs produits, notamment une vulnérabilité critique de contournement d’authentification FortiCloud SSO Login.
- Google a publié le bulletin de sécurité Android de décembre, corrigeant deux vulnérabilités activement exploitées.
- Ivanti a déployé ses mises à jour Patch Tuesday de décembre 2025, incluant un correctif pour une faille XSS stockée de haute sévérité (CVSS 9,6) dans Ivanti Endpoint Manager.
- React a publié des correctifs pour une vulnérabilité critique d’exécution de code à distance dans React Server Components, connue sous le nom de React2Shell, actuellement largement exploitée.
- SAP a livré ses mises à jour de sécurité de décembre pour divers produits, incluant un correctif pour une grave vulnérabilité d’injection de code (CVSS 9,9) dans SAP Solution Manager.
À retenir : même si vos systèmes sont corrigés contre les vulnérabilités Microsoft, n’oubliez pas les logiciels tiers — ils sont tout aussi critiques !
Bonnes pratiques pour gérer la gestion des correctifs dans un environnement de travail hybride
De nombreuses organisations ont adopté le travail à distance, même après un retour partiel au bureau. Cette évolution pose divers défis aux administrateurs IT, notamment en matière de gestion et de sécurisation des plateformes distribuées.
Voici quelques recommandations pour simplifier le processus d’application des correctifs à distance :
- Désactiver les mises à jour automatiques, car un correctif défectueux pourrait entraîner une panne système. Les administrateurs IT peuvent informer les utilisateurs sur la manière de désactiver ces mises à jour. Patch Manager Plus et Endpoint Central proposent un correctif dédié, 105427, permettant de désactiver automatiquement les mises à jour sur les plateformes.
- Créer un point de restauration (sauvegarde ou image capturant l’état des machines) avant de déployer des mises à jour majeures, comme celles du Patch Tuesday.
- Établir un planning de correctifs et informer les utilisateurs finaux. Il est recommandé de définir un horaire précis pour le déploiement des correctifs et les redémarrages des systèmes. Informez les utilisateurs des actions requises de leur côté afin de garantir une mise à jour sans problème.
- Tester les correctifs sur un groupe pilote avant le déploiement en production pour s’assurer qu’ils n’interfèrent pas avec les autres applications.
- Permettre aux utilisateurs de reporter l’installation des correctifs et les redémarrages programmés pour éviter toute interruption de leur travail, notamment pour ceux ayant des horaires décalés en télétravail. Les solutions de gestion des correctifs offrent des options de déploiement et de redémarrage définies par l’utilisateur.
- Optimiser la gestion des correctifs via le VPN en installant en priorité les correctifs critiques et de sécurité. Les mises à jour de fonctionnalités et cumulatives étant volumineuses, il peut être judicieux de différer leur déploiement afin de préserver la bande passante du VPN.
- Programmer les mises à jour non critiques après le Patch Tuesday, par exemple lors de la troisième ou quatrième semaine du mois. Il est également possible de refuser certaines mises à jour si elles ne sont pas pertinentes pour votre environnement.
- Analyser les rapports de correctifs afin d’obtenir une vue détaillée sur l’état de conformité et la sécurité des plateformes.
- Vérifier la conformité des machines de retour au bureau après une période de télétravail. Si elles ne répondent pas aux politiques de sécurité, elles doivent être mises en quarantaine. Appliquez les dernières mises à jour et packs de fonctionnalités avant de les réintégrer dans l’environnement de production. Profitez-en pour inventorier et désinstaller les applications devenues obsolètes, comme certains outils de collaboration à distance.
Grâce à Endpoint Central, Patch Manager Plus et Vulnerability Manager Plus, l’ensemble du processus de gestion des correctifs peut être automatisé, de la phase de test jusqu’au déploiement. Vous pouvez également personnaliser les tâches de correction en fonction de vos besoins. Testez ces solutions avec un essai gratuit de 30 jours pour sécuriser et maintenir à jour des milliers d’applications.
Vous souhaitez en savoir plus sur les mises à jour Patch Tuesday ?
Participez à notre webinaire gratuit Patch Tuesday, où nos experts analyseront en détail les mises à jour de ce mois-ci et répondront à toutes vos questions.
Prêts ? À vos correctifs !