Microsoft a déployé son Patch Tuesday d’août 2025, une mise à jour massive corrigeant 107 vulnérabilités dans Windows et d’autres produits comme Office, Azure ou encore SQL Server. Parmi elles, une faille zero-day dans le protocole Kerberos, identifiée sous le code CVE-2025-53779, attire l’attention pour son potentiel à donner un contrôle total sur un réseau d’entreprise.
Découverte par le chercheur Yuval Gordon d’Akamai en mai 2025, elle a été rendue publique avant la sortie du correctif, mais aucune exploitation active n’a été signalée pour l’instant.
Cette faille zero-day touche Kerberos, un protocole clé utilisé pour authentifier utilisateurs et machines dans les réseaux d’entreprise. En exploitant une vulnérabilité de type « relative path traversal », un attaquant déjà authentifié peut accéder à des ressources non autorisées, grimper jusqu’aux privilèges d’administrateur de domaine et prendre le contrôle total : création ou suppression de comptes, accès à des fichiers protégés, installation de logiciels malveillants ou encore modification des paramètres de sécurité. Bien que l’exploitation nécessite un accès préalable au réseau, Microsoft juge le risque modéré, mais recommande une mise à jour rapide.
Sur les 107 failles corrigées, 13 sont classées critiques, avec un fort accent sur les vulnérabilités d’exécution de code à distance (RCE), qui représentent 35 des correctifs. Ces brèches, touchant des composants comme le Windows Graphics Component (CVE-2025-50165) ou GDI+ (CVE-2025-53766), pourraient permettre à un attaquant d’exécuter du code malveillant sans interaction de l’utilisateur. Les 42 failles d’élévation de privilèges, soit près de 39 % du total, confirment une tendance observée depuis juillet : les attaquants cherchent de plus en plus à amplifier leurs droits une fois infiltrés, plutôt que de viser des intrusions directes.
D’autres produits Microsoft, comme Exchange Server (CVE-2025-53786) ou Office (CVE-2025-53731, CVE-2025-53741), sont également concernés, avec des risques allant de la fuite de données sensibles à l’exécution de code via des fichiers piégés. Azure n’est pas épargné, avec une faille critique (CVE-2025-53781) pouvant exposer des informations confidentielles sur les machines virtuelles. Microsoft insiste sur l’importance de patcher rapidement les systèmes exposés à Internet et les infrastructures critiques.
Pour les particuliers, l’activation des mises à jour automatiques via Windows Update est le moyen le plus simple de se protéger. Rendez-vous dans Paramètres > Mise à jour et sécurité > Windows Update et cliquez sur Rechercher des mises à jour pour installer les correctifs. Les administrateurs IT, eux, devraient prioriser les serveurs et postes de travail connectés à des réseaux sensibles. Microsoft précise qu’aucune des failles critiques n’est actuellement exploitée dans la nature.
Source : Microsoft
