Archives de catégorie : Mise à jour

Cybersécurité, Entreprise, Mise à jour, Patch

Patch Tuesday de juillet 2025 : 130 failles corrigées, priorité sur Chrome et Edge

Microsoft publie en juillet 2025 des correctifs majeurs pour Windows, Office, SharePoint, SQL et Visual Studio, tandis que Google Chrome et Edge corrigent une faille Zero Day critique.

Le mois de juillet 2025 marque un Patch Tuesday particulièrement dense, avec 130 nouvelles vulnérabilités (CVE) traitées par Microsoft, dont 14 classées au niveau Critique. Ces failles concernent l’ensemble des environnements Windows, mais touchent également Office, SharePoint et SQL Server, des composants majeurs dans les systèmes d’information des entreprises. Microsoft fait état d’une divulgation publique cette fois, avec la correction d’une faille (CVE-2025–49719) dans Microsoft SQL. Cette vulnérabilité de divulgation d’informations, dont la publication a été confirmée par Microsoft, bénéficie d’un score CVSS v3.1 de 7,5 et est considérée de niveau Important, bien que le code d’exploitation n’ait pas encore été démontré.

D’après les données officielles publiées le 9 juillet 2025, Microsoft recommande l’application rapide des correctifs, les vulnérabilités critiques pouvant permettre l’exécution de code à distance, notamment au travers du service Windows RRAS (Routing and Remote Access Service). Seize failles (CVE) ont été corrigées sur ce composant réseau, exposant les systèmes Windows Server à un risque d’exploitation par des acteurs non authentifiés. Microsoft précise que l’attaque ne nécessite pas de privilèges particuliers et peut être initiée via le réseau. Il est donc conseillé de limiter l’exposition en restreignant l’accès aux ports RRAS à des réseaux de confiance ou via des VPN, et de désactiver les fonctionnalités RRAS non utilisées.

« Les vulnérabilités RRAS, si elles ne sont pas corrigées, peuvent être exploitées sans privilège sur le réseau », rappelle le rapport officiel de Microsoft du 9 juillet 2025.

La situation du service DHCP sous Windows Server, perturbé depuis le Patch Tuesday de juin 2025, s’est également normalisée. Plusieurs entreprises avaient rapporté des problèmes de renouvellement d’adresse IP et des interruptions du service DHCP suite à l’application des mises à jour de juin. Selon les articles de connaissances (KB) mis à jour, ainsi qu’une vérification croisée sur le moteur de recherche Gemini le 8 juillet 2025, ce dysfonctionnement a bien été résolu par les correctifs publiés ce mois-ci. Avant la publication de ces correctifs, la solution temporaire recommandée consistait à désinstaller les mises à jour de juin, au prix d’une exposition accrue à d’autres vulnérabilités.

Git, Chrome, Edge et Visual Studio : correctifs urgents

Outre les produits phares, sept vulnérabilités liées à Git et deux vulnérabilités additionnelles nécessitant la mise à jour de Visual Studio sont corrigées ce mois-ci. Ces failles, signalées par MITRE, touchaient directement l’outil de versionnage Git intégré à Visual Studio, utilisé massivement dans le développement de logiciels. Les mises à jour de Visual Studio sont donc recommandées à tous les développeurs concernés.

Si Microsoft concentre l’attention par le volume de ses correctifs, la plus forte alerte de sécurité de ce début d’été concerne la quatrième vulnérabilité Zero Day de l’année pour Google Chrome. Signalée sous la référence CVE-2025-6554, cette faille a été corrigée dans le build 138.9.7204.96/.97 pour Windows, 138.0.7204.92/.93 pour Mac et 138.0.7204.92 pour Linux. La publication du correctif le 30 juin 2025 précède de quelques jours le Patch Tuesday, mais son importance est majeure, dans la mesure où elle a déjà été exploitée activement. Microsoft Edge, navigateur basé sur le même moteur Chromium, bénéficie également de cette correction.

La diffusion du correctif étant en cours sur l’ensemble des plateformes, la priorité de sécurité numéro un ce mois-ci, selon la méthodologie de priorisation basée sur les risques, est d’assurer le déploiement effectif des mises à jour Chrome et Edge sur tous les postes de travail. « Les administrateurs doivent vérifier que la dernière version de Chrome et Edge est bien déployée pour contrer l’exploitation Zero Day CVE-2025-6554 », précise le communiqué officiel de Google.

Vulnérabilités tierces et recommandations

Les vulnérabilités tierces restent donc le point de vigilance principal en juillet 2025, bien que la volumétrie côté Microsoft soit importante. Les administrateurs système sont invités à maintenir un niveau de patching élevé sur l’ensemble des solutions Microsoft et Google, notamment dans les environnements d’entreprise. Les correctifs de juillet 2025 ne comportent toutefois pas, selon les publications officielles, de risque de sécurité significatif non corrigé ou d’incident majeur en cours. La priorité reste le déploiement rapide des correctifs disponibles.

Les recommandations générales pour limiter l’exposition aux vulnérabilités, comme la restriction des accès réseaux, la désactivation des fonctions inutilisées et l’application rapide des correctifs, demeurent d’actualité. Il convient également de s’assurer que la mise à jour de l’OS Windows Server est appliquée, particulièrement pour les organisations qui auraient désinstallé la mise à jour de juin à cause des problèmes DHCP.

Cybersécurité, Entreprise, Mise à jour, Patch

19 000 sites WordPress WooCommerce vulnérables à vendre

Un internaute annonce sur un forum clandestin la vente de 19 000 sites WordPress vulnérables utilisant WooCommerce. Il exploiterait une faille SQL trés ancienne.

Un pirate informatique repéré dans un darkweb propose à la vente une base de données étonnante. Etonnante sur plusieurs points. D’abord, le hacker malveillant connu pour ses « produits » dans l’espace pirate surveillé indique posséder 19 000 sites sous WordPress faillible. La faille, second étonnement, une injection SQL dans un plugin qui souffrirait d’un problème de sécurité depuis… 21 ans !

Offre sur le darkweb : vente massive de sites vulnérables WordPress + WooCommerce

Sur ce forum darkweb, l’utilisateur a proposé il y a quelques jours à la vente un lot de 19 000 sites WordPress équipés du plugin WooCommerce. Selon l’annonce, ces sites ne sont pas nécessairement des boutiques en ligne : la seule condition est la présence du plugin WooCommerce, largement utilisé pour ajouter des fonctionnalités e‑commerce à WordPress.

L’exploit décrit s’appuie sur une vulnérabilité d’injection SQL (SQLi), citant un identifiant CVE « vieux de 21 ans ». Aucun détail technique n’est fourni dans l’annonce pour relier la vulnérabilité à un CVE précis. Soit le pirate ment, mais il est connu dans le milieu donc risquerait de ce faire bannir de l’ensemble de ses business, soit le pirate n’est pas fou et n’a pas envie de voir les sites trop rapidement corrigés. L’attaque permettrait d’extraire tout contenu de la base de données : hachages de mots de passe, paramètres de configuration, voire potentiellement des informations sensibles selon le contenu des bases.

Caractéristiques de l’offre malveillante

L’annonce indique que le vendeur a collecté ces accès mais n’a pas procédé à une exploitation approfondie, déclarant manquer de temps et souhaitant financer un autre projet. Le prix de la base de sites vulnérables est fixé à 2 000 €. Le vendeur affirme que la faille toucherait diverses typologies de sites WordPress : boutiques en ligne, sites associatifs avec bouton de don, et plateformes diverses utilisant WooCommerce, ce qui inclut de fait de nombreux commerces ou sites de collecte de fonds.

L’annonce spécule sur la présence éventuelle de numéros de cartes bancaires en base, mais le vendeur indique ne pas avoir automatisé leur extraction à grande échelle. Il sollicite d’ailleurs d’éventuelles méthodes ou scripts d’automatisation permettant d’accélérer cette opération, en promettant d’étudier toute suggestion reçue (sic!).

WooCommerce reste le plugin e‑commerce le plus déployé dans l’écosystème WordPress, avec plus de 5 millions d’installations actives selon WordPress.org. L’historique des vulnérabilités SQLi sur WordPress et WooCommerce est longuement documenté. Plusieurs failles majeures de type injection SQL ont été découvertes, dont CVE‑2013‑7448 et CVE‑2022‑0072, affectant le cœur de WordPress ou ses extensions e‑commerce.

Malgré la correction de la majorité des failles majeures, l’absence de mises à jour automatiques ou l’usage de versions piratées expose encore de nombreux sites. Les administrateurs des 19 000 sites annoncés n’ont pas « patchés » des vulnérabilités pourtant réparées. Les conséquences : extraction de données personnelles, compromission des comptes administrateurs, exfiltration de listes clients, voire parfois accès à des informations de paiement si elles ne sont pas externalisées.

La vente massive de sites vulnérables n’est pas une nouveauté. ZATAZ.COM, blog de référence dédié aux questions de lutte contre le cybercrime, a déjà alerté de nombreuses fois de ce type de marketing de la malveillance. L’existence d’un marché secondaire actif sur les accès à des sites non sécurisés n’est pas un « fantasme ». Le risque élevé de vols de données clients (mails, identités, commandes), compromission des comptes administrateurs, fraudes, usurpations ou campagnes d’hameçonnage (BEC) ciblées, éventuelle exfiltration de données de paiement, si la gestion des cartes bancaires n’a pas été externalisée à un tiers sécurisé.

L’annonce n’indique pas si des sites français sont concernés. Aucun élément vérifiable ne permet d’attester l’exactitude de la quantité ni la localisation des victimes. Les autorités comme l’ANSSI et la CNIL rappellent régulièrement l’importance de mettre à jour WordPress et ses plugins, et de surveiller toute activité suspecte sur les bases de données e‑commerce.

Cybersécurité, Mise à jour

Microsoft sous pression, 65 failles corrigées en juin

Microsoft a publié ce mois-ci des correctifs pour 65 vulnérabilités de sécurité, dont 9 critiques, dans le cadre de son traditionnel Patch Tuesday.

Depuis le début de l’année, le rythme des correctifs s’intensifie pour Microsoft. Avec déjà près de la moitié du total de vulnérabilités corrigées en 2024, l’éditeur est confronté à une pression croissante pour contenir les failles, dont certaines sont activement exploitées. En juin, 65 vulnérabilités (CVE) ont été corrigées, selon les informations officielles publiées par le Microsoft Security Response Center (MSRC), dont 9 critiques. Deux vulnérabilités zero day sont recensées, dont une fait déjà l’objet d’une exploitation active à grande échelle. Plusieurs failles restent cependant non corrigées, comme BadSuccessor, soulevant des inquiétudes sur le rythme et la portée de la réponse sécuritaire de l’éditeur.

Une CVE activement exploitée dès sa divulgation

Parmi les vulnérabilités les plus notables de ce Patch Tuesday figure la CVE-2025-33053. Il s’agit d’une faille d’exécution de code à distance dans le composant WebDAV (Web Distributed Authoring and Versioning), un protocole étendant les capacités de HTTP. Cette CVE est classée comme critique par Microsoft, et son exploitation a été confirmée. Wilfried Bécard, chercheur en cybersécurité chez Synacktiv, a mis au jour cette vulnérabilité majeure dans Active Directory. Elle permet l’exécution de code à distance et l’élévation de privilèges sur les systèmes Windows sans signature SMB (config par défaut). Check Point Research indique que le groupe Stealth Falcon exploiterait ce 0day.

Les attaquants utilisent des fichiers .url piégés pour inciter les cibles à exécuter du code malveillant. Cette méthode a permis une prise de contrôle distante sans interaction supplémentaire. La faille touche les systèmes Windows exposant le service WebDAV non protégé. L’exploitation a été observée dans plusieurs campagnes ciblées.

La CVE-2025-33053 est une des rares vulnérabilités zero day signalées et exploitées activement dès le jour du Patch Tuesday. (une découverte de la société Sinaktiv)

Microsoft a publié un correctif dans son Patch Tuesday de juin. La base de connaissance KB5039705, consultée le 11 juin 2025, fournit les détails de la vulnérabilité ainsi que les systèmes affectés. Les systèmes Windows Server 2016, 2019, 2022 et Windows 10/11 sont concernés, notamment lorsque les services WebDAV sont activés.

BadSuccessor reste non corrigée malgré une divulgation publique

À l’inverse, Microsoft n’a pas encore corrigé la vulnérabilité CVE non référencée mais surnommée « BadSuccessor« , découverte par les chercheurs d’Akamai. Cette faille permet une élévation de privilèges dans les environnements Active Directory. Elle a été divulguée publiquement le 21 mai 2025 par Akamai, preuve de concept à l’appui.

L’exploitation repose sur l’existence d’au moins un contrôleur de domaine sous Windows Server 2025. Selon Tenable, cette configuration ne concerne qu’environ 0,7 % des domaines Active Directory étudiés. Malgré sa portée limitée, la disponibilité publique d’un exploit, notamment via l’outil SharpSuccessor intégré dans les frameworks d’attaque NetExec et BloodyAD, renforce les risques.

Microsoft a confirmé qu’un correctif est prévu, mais aucune date précise n’a été fournie au moment de la publication de cet article. Le MSRC n’a pas encore attribué de CVE officielle à cette faille. Les administrateurs sont invités à limiter les permissions dans Active Directory et à surveiller tout comportement anormal des identités disposant de privilèges élevés.

Une autre zero day divulguée mais non exploitée

La deuxième faille zero day identifiée en juin, selon Microsoft, fait l’objet d’une divulgation publique, mais aucun cas d’exploitation n’a été confirmé à ce jour. Il s’agit de la CVE-2025-33632, une vulnérabilité de type « information disclosure » affectant Windows Kernel. Cette CVE a été notifiée par un chercheur indépendant, mais Microsoft classe le risque comme modéré, la faille ne permettant pas d’exécution de code ou d’élévation directe de privilèges.

Selon le rapport du MSRC, consulté le 11 juin 2025, cette vulnérabilité est cependant considérée comme suffisamment sensible pour avoir justifié un correctif immédiat.

Un patch controversé pour la CVE-2025-21204

En avril dernier, Microsoft corrigeait la CVE-2025-21204, une faille d’élévation de privilèges. Dans le cadre de la mise à jour cumulative publiée ce mois-ci, l’éditeur a modifié sa méthode de sécurisation. Un dossier nommé %systemdrive%\inetpub est désormais généré pour renforcer certaines permissions du système. Cependant, plusieurs utilisateurs l’ont supprimé manuellement, craignant une modification non documentée.

Face aux inquiétudes, Microsoft a publié un script de remédiation, consulté le 11 juin 2025, permettant de restaurer ce répertoire avec les bonnes permissions et de rétablir les listes de contrôle d’accès (ACL) appropriées. Il est explicitement recommandé à toute organisation ayant supprimé manuellement le dossier de lancer ce script, sous peine de dysfonctionnements des services dépendants.

Microsoft publie un script officiel pour corriger manuellement la suppression du dossier système créé lors du correctif de la CVE-2025-21204.

Un volume de correctifs toujours soutenu

Avec les 65 vulnérabilités corrigées ce mois-ci, le total des CVE publiées par Microsoft en 2025 atteint désormais 486, selon le suivi de Tenable Research. À mi-parcours de l’année, ce chiffre représente déjà près de 48 % du total de 2024, qui s’élevait à 1 009 vulnérabilités selon les archives du MSRC.

La majorité des failles de juin sont classées « importantes » par Microsoft, car elles permettent généralement une élévation de privilèges, un contournement de fonctionnalités de sécurité ou une divulgation d’informations. Elles concernent un éventail large de produits, notamment Microsoft Office, Windows Kernel, les navigateurs Edge basés sur Chromium, ainsi que des composants tels que Microsoft Dynamics 365.

Le détail complet de ces vulnérabilités est accessible sur la page officielle MSRC – June 2025 Security Updates, consultée le 11 juin 2025. Chaque CVE y est documentée avec son score CVSS, sa description, les produits concernés et les références aux correctifs correspondants.

Satnam Narang, ingénieur principal chez Tenable, souligne la pression croissante qui s’exerce sur les équipes de sécurité informatique : « Le nombre de CVE corrigées en 2025 nous rapproche déjà de la moitié du total de l’année dernière. À mesure que ce chiffre augmente chaque année, la pression sur les défenseurs du cyberespace pour atténuer efficacement ces vulnérabilités s’intensifie également.« 

Cette dynamique reflète une tendance plus large : l’augmentation continue des surfaces d’attaque, l’évolution rapide des techniques d’exploitation, et la démocratisation d’outils de type « exploit framework » qui facilitent l’industrialisation des campagnes malveillantes.

Certaines failles, comme celles utilisées par le groupe Cl0p en 2023 contre les logiciels de transfert de fichiers (MOVEit, GoAnywhere), ont démontré la vitesse avec laquelle une vulnérabilité zero day peut être exploitée à grande échelle, motivée par des gains financiers immédiats. L’exploitation rapide de la CVE-2025-33053 semble suivre une trajectoire similaire.

Cyber-attaque, Cybersécurité, Mise à jour

Imprimantes piégées : Procolored infecte malgré lui ses clients pendant six mois

Des imprimantes livrées avec un malware, un fabricant pris au piège et des pirates bien rodés : l’affaire Procolored illustre à quel point les cybermenaces peuvent se dissimuler dans les moindres recoins du numérique.

Pendant près de six mois, des imprimantes Procolored ont été distribuées avec des pilotes vérolés, infectant à leur insu de nombreux utilisateurs. Derrière cette compromission, deux malwares particulièrement dangereux, capables de voler des cryptomonnaies ou d’ouvrir une porte dérobée sur les systèmes infectés. Retour sur un scandale qui ébranle la confiance dans les chaînes logicielles.

C’est un petit clic anodin, celui qu’on effectue pour installer les pilotes d’un nouveau périphérique. Mais dans le cas des imprimantes Procolored, ce geste ordinaire s’est transformé en cauchemar pour des dizaines, voire des centaines d’utilisateurs. Depuis octobre 2024, les fichiers proposés en téléchargement sur le site officiel de la marque renfermaient discrètement deux malwares, découverts en mai 2025. En cause : un stockage de pilotes sur la plateforme Mega.nz, utilisé par le fabricant pour héberger les logiciels nécessaires à l’installation de ses modèles d’imprimantes UV. Problème : plusieurs de ces fichiers hébergés étaient infectés. GData Software, entreprise spécialisée en cybersécurité, a tiré la sonnette d’alarme après qu’un YouTuber passionné d’impression UV a vu son antivirus déclencher une alerte. Les analyses ont révélé que les fichiers téléchargés contenaient les malwares XRedRAT et CoinStealer, deux menaces bien connues du paysage cybercriminel.

Une menace insidieuse, masquée derrière des fichiers officiels

39 fichiers suspects ont été détectés, dont 20 avec des empreintes numériques uniques, preuve que les pirates ont conçu des versions personnalisées des malwares pour échapper aux détections classiques. Le premier, XRedRAT, agit comme une porte dérobée : une fois installé, il permet à des attaquants distants de prendre le contrôle d’un ordinateur, d’en exfiltrer des données, ou encore d’y installer d’autres malwares. Le second, CoinStealer, est conçu pour cibler les utilisateurs de cryptomonnaies. Il surveille le presse-papiers à la recherche d’adresses de portefeuille, et les remplace automatiquement par celles du cybercriminel lorsque l’utilisateur tente d’effectuer une transaction.

Les conséquences sont bien réelles. L’adresse de portefeuille identifiée comme réceptrice des fonds détournés a déjà accumulé 9,3 bitcoins, soit environ 593 000 euros au cours actuel. Cette attaque furtive, qui repose sur l’ingénierie sociale et la confiance dans le matériel officiel, a ainsi permis aux hackers de subtiliser des fonds sans que les victimes ne s’en rendent compte immédiatement.

Un cas d’école de compromission logicielle

La faille a été révélée lorsqu’un testeur a voulu passer en revue les performances d’une imprimante Procolored UV et a été interpellé par une alerte de son antivirus. En remontant l’origine de l’alerte, les chercheurs en cybersécurité ont constaté que les fichiers d’installation avaient été modifiés pour la dernière fois en octobre 2024. Pendant six mois, aucun contrôle de sécurité n’a été effectué sur ces ressources pourtant publiques, disponibles sur le site officiel du fabricant.

L’ampleur de la diffusion pose question. Les imprimantes concernées, parmi lesquelles les modèles F8, F13, F13 Pro, V6, V11 Pro et VF13 Pro, sont principalement destinées à un public professionnel : studios de création, ateliers de personnalisation d’objets, ou encore entreprises de design. Ces utilisateurs, souvent bien équipés mais peu sensibilisés aux risques cyber, constituent une cible privilégiée. L’incident met également en lumière un problème de gouvernance : Procolored n’a à ce jour publié aucun communiqué officiel, ni retiré les liens vers les fichiers infectés.

Durant six mois, les pilotes vérolés sont restés en ligne sur le site du fabricant, exposant potentiellement chaque utilisateur à une compromission.

Une faille révélatrice d’un écosystème vulnérable

Ce type d’attaque n’est pas sans précédent. Ces dernières années, de nombreux acteurs ont été victimes d’attaques dites « de la chaîne d’approvisionnement logicielle ». On se souvient de l’affaire SolarWinds en 2020, ou plus récemment des compromissions de bibliothèques open source dans des projets critiques. Ce qui frappe dans le cas Procolored, c’est la simplicité de la méthode : pas besoin de briser des pare-feux ou d’infiltrer un réseau d’entreprise, il suffisait de placer des fichiers piégés sur une plateforme de téléchargement tierce, et de rediriger les utilisateurs vers ceux-ci. Sans parler du matériel (tablette, smartphone, Etc.) piégé par des commerçants pirates comme les faux samsung vendus avec des logiciels espions installés dans les appareils.

Le recours à Mega.nz n’est pas anodin non plus. Bien que légitime, ce service de stockage est fréquemment utilisé par des acteurs malveillants en raison de son anonymat relatif et de la difficulté pour les autorités à y exercer une surveillance efficace. Procolored, en déléguant ainsi l’hébergement de ses pilotes, a sans doute voulu économiser sur des coûts d’infrastructure, mais cette décision s’est révélée désastreuse pour la sécurité de ses clients.

Les victimes en attente de réponses

Aujourd’hui, de nombreuses questions restent sans réponse. Combien d’utilisateurs ont été infectés ? Procolored compte-t-il prendre des mesures pour prévenir de nouvelles attaques ? La marque va-t-elle collaborer avec les autorités ou les éditeurs antivirus pour aider les victimes ? Pour l’heure, aucune mise à jour officielle des pilotes n’a été annoncée, et les fichiers contaminés sont toujours disponibles en ligne. Face à l’absence de réaction, la communauté technique se mobilise. Des utilisateurs ont commencé à alerter les forums et à proposer des méthodes pour vérifier si leur système est compromis. Les antivirus, eux, mettent à jour leurs bases de données pour bloquer la propagation des malwares.

L’affaire pose également un dilemme : comment rétablir la confiance quand la compromission vient d’un outil censé être fiable ? Les professionnels ayant investi plusieurs centaines d’euros dans une imprimante sont aujourd’hui contraints de désinstaller les pilotes, de scanner leur machine et, dans le pire des cas, de changer de matériel.

L’ombre persistante des attaques logicielles

Cette affaire illustre un changement d’ère dans les cybermenaces. Les attaques ne ciblent plus seulement les grandes entreprises, mais s’introduisent dans les usages quotidiens. Le danger n’est plus uniquement dans les pièces jointes d’e-mails douteux ou les sites suspects : il peut désormais venir d’un fichier téléchargé depuis un site officiel, d’un logiciel recommandé par un fabricant reconnu. La sophistication des attaquants croît, mais surtout, leur stratégie évolue. En compromettant des outils professionnels, ils ciblent des victimes à la fois solvables, peu vigilantes et mal préparées.

Le cas Procolored rappelle ainsi que la cybersécurité ne peut plus être traitée comme une option. Elle doit faire partie intégrante du cycle de vie de tout produit technologique, y compris les périphériques matériels. Les fabricants doivent non seulement sécuriser leur matériel, mais aussi contrôler chaque maillon de leur chaîne logicielle. Car en 2025, il ne suffit plus de vendre une bonne imprimante : encore faut-il garantir qu’elle n’ouvre pas une porte aux pirates.

Cybersécurité, Mise à jour, Patch

Correctifs critiques et IA gonflée : Microsoft muscle son Patch Tuesday de mai 2025

Le Patch Tuesday de mai 2025 marque un tournant majeur : 72 failles comblées, cinq Zero Day actives, et des mises à jour Windows massives dopées à l’intelligence artificielle.

Chaque deuxième mardi du mois, les équipes informatiques du monde entier retiennent leur souffle. Le Patch Tuesday de Microsoft, devenu un rendez-vous incontournable, vient rythmer la sécurité des systèmes d’exploitation et des logiciels professionnels. Et celui de mai 2025 n’a pas dérogé à la règle : entre les correctifs de vulnérabilités critiques, les exploits déjà utilisés activement et une poussée technologique du côté de l’intelligence artificielle, la cuvée de ce mois se révèle particulièrement dense. Elle exige des entreprises comme des particuliers une attention soutenue et une application rapide des correctifs. Car cette fois, le danger ne plane pas seulement : il est déjà à l’œuvre.

Une avalanche de failles comblées… et cinq Zero Day

Microsoft annonce avoir corrigé pas moins de 72 vulnérabilités (CVE) dans sa mise à jour mensuelle de mai, dont cinq sont classées Zero Day. Ces dernières désignent des failles de sécurité activement exploitées avant même que le correctif ne soit disponible, ce qui les rend particulièrement dangereuses. Si, selon le classement officiel, elles ne sont que de niveau « Important », l’application d’un modèle de priorisation basé sur les risques les fait passer sans hésitation au niveau « Critique ».

Parmi ces vulnérabilités, on retrouve notamment une faille dans le pilote Ancillary Function Driver de WinSock (CVE-2025-32709), permettant une élévation de privilèges en local pour obtenir un accès Administrateur. Cette brèche affecte toutes les versions de Windows Server depuis 2012. Confirmée comme étant exploitée sur le terrain, elle reçoit un score CVSS 3.1 de 7,8.

Dans la même veine, deux autres failles critiques (CVE-2025-32706 et CVE-2025-32701), touchant le système de fichiers journaux communs de Windows, permettent une élévation de privilèges jusqu’au niveau SYSTEM. Là encore, elles concernent l’ensemble des versions de Windows, avec une exploitation active confirmée.

Un autre Zero Day (CVE-2025-30400) cible la bibliothèque du Gestionnaire de fenêtrage Microsoft, rendant vulnérables Windows 10, Server 2016 et toutes les versions ultérieures. Enfin, la cinquième faille critique (CVE-2025-30397) affecte le moteur de scripts Microsoft et permet l’exécution de code sur le réseau.

Cinq vulnérabilités Zero Day activement exploitées sont corrigées, toutes liées à l’OS Windows, et considérées comme critiques par les experts malgré leur évaluation initiale comme « importantes ».

CVE-2025-30397
Type : Corruption de mémoire dans le moteur de script
Conditions : Nécessite l’usage du mode Internet Explorer dans Microsoft Edge, une authentification côté client, et un clic sur un lien malveillant
Gravité réelle : Faible exploitation à large échelle à cause des nombreuses contraintes
Contexte : Peu de vulnérabilités similaires ces dernières années, sauf CVE-2024-38178, exploitée activement en août 2024

Des failles déjà connues, mais pas encore corrigées

Deux autres vulnérabilités font aussi l’objet d’un correctif, bien qu’elles aient déjà été divulguées publiquement. La première, une exécution de code à distance (CVE-2025-30397) dans Visual Studio, affecte les versions 2019 et 2022. Sa dangerosité reste modérée pour l’instant, car sa maturité est jugée « non prouvée » et son exploitabilité « peu probable ».

La deuxième concerne une faille d’usurpation d’identité (CVE-2025-26685) dans Microsoft Defender for Identity, qui pourrait permettre à un pirate d’imiter un utilisateur sur un réseau adjacent. Là encore, la menace reste théorique, mais la divulgation publique impose de s’en prémunir rapidement.

Ce Patch Tuesday ne se limite pas à la correction de failles : il inaugure également une évolution fonctionnelle importante dans Windows 11 et Server 2025. La mise à jour mensuelle pèse désormais près de 4 Go, un volume inhabituel qui s’explique par l’intégration de trois nouvelles fonctions basées sur l’intelligence artificielle.

Parmi elles, Recall, conçue pour faciliter la mémoire utilisateur à travers des rappels contextuels intelligents, Click to Do, un système d’automatisation des tâches courantes inspiré des macros intelligentes, et une version améliorée de Windows Search, désormais capable d’interpréter des requêtes complexes en langage naturel.

Ces ajouts répondent à la volonté de Microsoft d’intégrer l’IA plus profondément dans l’expérience utilisateur de Windows, dans un contexte où la concurrence — notamment avec Apple et Google — s’intensifie sur le terrain des assistants intelligents.

La mise à jour de mai introduit trois fonctions IA dans Windows, alourdissant le programme d’installation à près de 4 Go. Un changement qui marque un tournant vers des OS toujours plus intelligents.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

CVE-2025-30400
Type : Él evation de privilèges dans Desktop Window Manager (DWM)
Contexte : 26 vulnérabilités similaires dans DWM depuis 2022, mais seules deux autres exploitées comme zero-days (CVE-2024-30051, CVE-2023-36033)
Particularité : Faible visibilité d’exploitation active, mais DWM reste une cible fréquente

Adobe : 39 vulnérabilités corrigées, dont 33 critiques

Le Patch Tuesday ne concerne pas uniquement Microsoft. Adobe s’est également illustré avec la publication de 13 mises à jour couvrant un total de 39 CVE. Parmi elles, 33 sont classées comme critiques, soulignant une fois encore la fragilité de certains logiciels largement utilisés dans les milieux professionnels et créatifs, notamment Photoshop, Acrobat et ColdFusion.

Bien que les détails de chaque faille ne soient pas tous publics, Adobe incite les utilisateurs à appliquer les correctifs sans attendre. Comme pour Microsoft, plusieurs des failles corrigées peuvent permettre l’exécution de code arbitraire, avec des conséquences potentiellement dévastatrices si elles sont exploitées.

Pour les administrateurs système et les responsables de la sécurité informatique, ce Patch Tuesday de mai représente un défi de taille. Les correctifs sont nombreux, les priorités claires, mais la complexité croissante des environnements à maintenir rend leur déploiement délicat. Il ne s’agit plus seulement de corriger des failles : il faut aussi tester, valider, s’assurer que les nouvelles fonctionnalités IA n’introduisent pas d’instabilité ou de conflit avec des systèmes existants.

La pression est d’autant plus forte que les menaces ne sont plus théoriques. Les cinq failles Zero Day prouvées démontrent que des cybercriminels sont déjà à l’œuvre. Dans un contexte géopolitique tendu et face à la recrudescence des attaques par ransomwares, les entreprises savent que chaque jour gagné dans l’application des correctifs peut représenter des milliers d’euros économisés… ou évités en rançon.

CVE-2025-32701 & CVE-2025-32706
Type : Élévation de privilèges dans le pilote CLFS (Common Log File System)
Exploitabilité : Exploitées activement en post-compromission, probablement dans des campagnes de cyberespionnage ou de ransomware
Contexte : 33 failles dans CLFS depuis 2022, dont 6 zero-days activement exploités. Ces deux CVE s’inscrivent dans une tendance inquiétante

Vers une automatisation de la cybersécurité ?

L’ampleur de ce Patch Tuesday soulève une question essentielle : comment faire face durablement à une telle fréquence et complexité de mises à jour ? Les géants du secteur misent de plus en plus sur l’automatisation, l’intelligence artificielle et l’apprentissage automatique pour anticiper les failles et accélérer leur résolution. Mais ces outils nécessitent eux-mêmes des ressources et une gouvernance solides.

À terme, faudra-t-il déléguer entièrement les mises à jour à des systèmes intelligents autonomes ? Ou conserver une supervision humaine pour garder le contrôle des choix techniques et des risques éthiques associés à l’IA ?

Le mois de mai 2025, avec son Patch Tuesday dense et riche en nouveautés, illustre la double tendance actuelle : une sécurité toujours plus pressante et une technologie toujours plus complexe. Entre vulnérabilités critiques et assistants dopés à l’IA, l’équilibre devient aussi stratégique qu’ardu à maintenir.

CVE-2025-32709
Type : Élévation de privilèges dans afd.sys, le pilote associé à l’API WinSock
Usage : Typiquement utilisé après compromission initiale, pour renforcer les privilèges d’un attaquant
Contexte : 10 failles similaires depuis 2022, souvent exploitées comme zero-days dans des contextes post-intrusion

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à notre newsletter.

 

Cybersécurité, Mise à jour

Zoom muscle sa cybersécurité avec son Bug Bounty 2024

Près de 1 000 experts en cybersécurité ont collaboré avec Zoom pour identifier des failles critiques, réduisant de 90 % le temps de correction et renforçant la défense de ses outils de communication.

Dans un contexte où les cybermenaces évoluent à un rythme effréné, la course à la sécurité numérique s’intensifie. Zoom, acteur majeur des communications unifiées, vient de publier les résultats 2024 de son programme de Bug Bounty. Ce dispositif, qui récompense la découverte responsable de failles de sécurité, a mobilisé près de 1 000 chercheurs à travers le monde, permettant à la plateforme d’opérer une nette avancée dans la sécurisation de ses produits. En seulement un an, le délai de résolution des vulnérabilités critiques a chuté de plus de 90 %, un record pour l’entreprise.

Un tournant stratégique face à l’enjeu cyber

L’année 2024 aura marqué un changement de cap dans la stratégie de cybersécurité de Zoom. Consciente que sa croissance fulgurante depuis 2020 l’a rendue vulnérable à de nombreuses menaces, la société s’est engagée dans une collaboration d’envergure avec la communauté internationale des hackers éthiques. Grâce à sa coopération étroite une plateforme de coordination des programmes de Bug Bounty [comme Yes We Hack ou encore Yogosha], Zoom a pu élargir le champ de recherche de failles à une diversité d’experts, issus aussi bien du secteur académique que de la sécurité offensive. Résultat : plusieurs centaines de vulnérabilités identifiées via HackerOne, analysées et corrigées dans un délai considérablement réduit par rapport aux années précédentes.

Ce gain d’efficacité est particulièrement spectaculaire en matière de failles critiques. Entre février 2024 et janvier 2025, leur résolution a été accélérée de manière drastique. Là où certaines corrections prenaient plusieurs semaines, les équipes de Zoom sont aujourd’hui capables d’apporter une réponse adaptée en quelques jours. Cette performance, qui tient autant à l’efficacité du programme qu’à l’implication des chercheurs, marque une rupture par rapport aux standards du secteur.

Une participation record, des résultats concrets

La participation des chercheurs en sécurité à travers le monde a doublé par rapport à l’année précédente, avec près de 1 000 contributeurs ayant activement participé à la détection des failles. Zoom, qui s’appuie sur une architecture complexe mêlant vidéoconférence, collaboration en ligne et intégration cloud, a vu dans ce vivier de talents une opportunité de durcir ses défenses sur tous les fronts. Les vulnérabilités découvertes n’étaient pas que théoriques : elles ont donné lieu à des correctifs majeurs déployés dans les systèmes de production.

Parmi les améliorations notables, on trouve un renforcement des mécanismes d’authentification sur l’ensemble des services, un durcissement des points d’accès API contre les vecteurs d’attaque émergents, un affinement des permissions au sein des outils collaboratifs ainsi qu’un meilleur contrôle des accès aux données dans l’infrastructure cloud. Autant de chantiers techniques qui témoignent de la complexité du défi, mais aussi de la volonté de Zoom de ne laisser aucun angle mort.

« La résolution des failles critiques a été réduite de 90 % en un an, un record pour la plateforme. »

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

Diversification des approches et spécialisation des profils

Le succès du programme repose également sur sa structuration multi-niveaux. Zoom n’a pas misé sur un modèle unique, mais a préféré orchestrer une série de dispositifs adaptés à différents profils de chercheurs. Le programme public “VDP” (Vulnerability Disclosure Program) a ouvert les portes à toute la communauté mondiale des white hats. En parallèle, un programme privé a été lancé, ciblant des fonctionnalités spécifiques et permettant des tests en conditions quasi réelles. Les chercheurs VIP, sélectionnés pour leur expertise pointue, ont travaillé sur les systèmes critiques de l’écosystème Zoom.

Enfin, les challenges spécialisés ont constitué une forme de compétition ciblée sur des technologies émergentes, à l’image des outils d’intelligence artificielle ou des nouveaux services de réalité augmentée que l’entreprise développe. Cette segmentation stratégique permet à Zoom de tirer parti d’un large éventail de compétences, tout en s’assurant que les tests effectués répondent aux besoins spécifiques de chaque produit ou service.

Cette organisation a permis d’identifier non seulement des failles inattendues, mais aussi des zones de friction dans les flux d’utilisation, offrant un retour d’expérience précieux aux équipes produit. Zoom estime ainsi que son approche Bug Bounty constitue désormais un maillon essentiel de son processus de développement sécurisé.

Une dynamique encouragée par les résultats

La reconnaissance du travail des chercheurs n’est pas restée symbolique. Zoom a activement valorisé les contributions les plus importantes, avec un système de récompenses ajusté en fonction de la gravité des failles. Le meilleur contributeur de 2024 a ainsi identifié 12 vulnérabilités majeures, renforçant la crédibilité du programme et incitant d’autres experts à s’impliquer. Certains participants ont même atteint le statut de “chercheur élite”, une distinction attribuée aux profils les plus réguliers et pertinents du programme.

Porté par ces résultats, Zoom a déjà annoncé les grandes lignes de l’évolution de son programme pour 2025. L’un des axes majeurs sera l’élargissement du périmètre des tests à l’ensemble des nouvelles offres produits, incluant notamment les fonctionnalités à base d’IA générative ou les futures applications immersives. Le budget alloué aux récompenses sera lui aussi revu à la hausse, avec une augmentation prévue dans toutes les catégories de failles.

En parallèle, Zoom mise sur l’automatisation du triage des rapports de vulnérabilités grâce à l’intelligence artificielle, afin d’accélérer l’analyse initiale et de prioriser les actions plus efficacement. Des événements internationaux sont également au programme : ils réuniront les meilleurs chercheurs lors de “live hacking events” pour renforcer la sécurité sur des technologies de pointe. Cette approche proactive témoigne d’une volonté d’ancrer la sécurité dans la culture même de l’innovation.

Sandra McLeod, Chief Information Security Officer de Zoom, résume ainsi cette stratégie : « Cette approche nous permet de mobiliser les talents adéquats dans des environnements de test adaptés, ce qui garantit des résultats concrets en matière de sécurité. » Une vision résolument collaborative et orientée vers l’agilité, dans un domaine où la vitesse d’exécution est devenue cruciale.

La cybersécurité comme levier de confiance

Au-delà des aspects techniques, le Bug Bounty s’impose comme un levier de confiance. Pour une plateforme utilisée quotidiennement par des millions d’utilisateurs dans le monde entier, l’assurance d’un environnement sécurisé est devenue un critère de choix incontournable. En se dotant d’un tel programme, Zoom adresse non seulement les enjeux actuels de cybersécurité, mais anticipe aussi les exigences réglementaires croissantes en matière de protection des données.

Alors que les cyberattaques continuent de se multiplier et de se professionnaliser, l’exemple de Zoom montre que l’ouverture, la transparence et la coopération peuvent constituer des armes redoutablement efficaces. En mobilisant les compétences de milliers de chercheurs dans le monde, l’entreprise n’a pas seulement colmaté des brèches : elle a posé les bases d’une cybersécurité vivante, adaptative, en perpétuelle évolution.

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à notre newsletter.

Apple, Cybersécurité, Mise à jour, Patch

AirPlay en péril : les failles « AirBorne » mettent en danger des milliards d’appareils Apple

Des chercheurs ont découvert 23 vulnérabilités dans AirPlay, menaçant potentiellement plus de deux milliards d’appareils Apple et tiers d’attaques informatiques sophistiquées.

La dernière alerte de cybersécurité en date concerne l’un des protocoles les plus utilisés de l’écosystème Apple : AirPlay. Conçu pour permettre la transmission fluide de contenu audio, vidéo ou d’affichage entre appareils Apple – ou vers des appareils tiers compatibles – AirPlay est aujourd’hui au centre d’un problème de sécurité d’envergure. Le 31 mars 2025, Apple a publié une série de correctifs critiques pour iOS, macOS, iPadOS, visionOS ainsi que pour les SDK audio et vidéo AirPlay. En cause : un ensemble de 23 vulnérabilités découvertes par les experts de la société Oligo Security, regroupées sous le nom évocateur de « AirBorne ».

Ces failles permettent notamment l’exécution de code à distance, les attaques Man-in-the-Middle (MitM), le déni de service, l’interaction non autorisée avec l’utilisateur et la lecture de fichiers locaux. Parmi les menaces les plus graves identifiées : deux failles de type « zéro clic », permettant de compromettre un appareil sans aucune interaction de l’utilisateur, et une autre contournant la validation manuelle d’une connexion AirPlay. Ces vulnérabilités peuvent être exploitées via une connexion directe entre appareils ou à travers un réseau Wi-Fi partagé, décuplant ainsi leur potentiel de propagation et de nuisance.

Un risque systémique pour l’écosystème Apple

L’une des forces d’Apple – la connectivité fluide entre ses appareils – devient ici une faiblesse structurelle. Un iPhone compromis par AirBorne pourrait, par exemple, infecter un Mac, une Apple TV ou même un téléviseur tiers connecté au même réseau domestique ou professionnel. Les conséquences sont multiples : espionnage discret via prise de contrôle des flux audiovisuels, déploiement de rançongiciels, compromission de chaînes d’approvisionnement ou sabotage de systèmes critiques dans des environnements sensibles comme les hôpitaux ou les entreprises technologiques.

Les chercheurs d’Oligo Security ont démontré que des haut-parleurs Bose ou des téléviseurs intelligents compatibles AirPlay peuvent aussi être visés. À travers une vidéo de preuve de concept, ils ont montré qu’il est possible d’afficher des images arbitraires sur un appareil tiers, soulignant le potentiel d’un contrôle complet à distance.

« AirPlay est omniprésent et vulnérable »

Selon Oligo, pas moins de 2,35 milliards d’appareils Apple dans le monde sont concernés. À ce chiffre déjà vertigineux s’ajoutent des dizaines de millions d’appareils tiers, comme les haut-parleurs connectés, les téléviseurs intelligents et les systèmes de divertissement embarqués prenant en charge CarPlay. En clair, la surface d’attaque dépasse largement les seuls produits Apple.

« Étant donné qu’AirPlay est pris en charge par un grand nombre d’appareils, il faudra des années pour que beaucoup d’entre eux soient corrigés, ou ils ne le seront jamais« , avertissent les chercheurs.

Cette prédiction fait froid dans le dos. Car si Apple a rapidement publié des correctifs pour ses propres appareils, les fabricants tiers devront adapter, tester et déployer leurs propres mises à jour pour les intégrer. Or, dans le monde de l’électronique grand public, où les mises à jour logicielles tardent souvent – voire sont complètement négligées – ce délai représente un danger concret et durable.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

Des attaques potentiellement autonomes et persistantes

Les failles AirBorne sont d’autant plus préoccupantes qu’elles pourraient être utilisées pour créer un ver, c’est-à-dire un logiciel malveillant capable de se propager de manière autonome d’un appareil vulnérable à un autre. Cela rappelle les grands incidents informatiques comme WannaCry ou NotPetya, qui ont paralysé des réseaux entiers à l’échelle mondiale.

Dans le cas présent, un tel ver pourrait tirer parti de la connectivité sans fil entre les appareils pour s’infiltrer sans laisser de trace visible. Il suffirait qu’un utilisateur se connecte à un réseau Wi-Fi public ou mal sécurisé pour voir son téléphone ou son ordinateur portable compromis, devenant alors un vecteur d’infection pour tous les autres appareils compatibles AirPlay du réseau.

« Ce type de vulnérabilités peut avoir de graves conséquences« , écrivent les experts, soulignant que l’attaque peut débuter par un simple partage de contenu AirPlay entre deux appareils de confiance.

Des réponses à mettre en œuvre rapidement

Face à cette menace, la réponse ne peut pas se limiter à des correctifs techniques. Les chercheurs appellent les entreprises à mettre immédiatement à jour tous les appareils Apple qu’elles utilisent, y compris les terminaux personnels des employés, et à désactiver AirPlay lorsqu’il n’est pas indispensable.

Ils recommandent également de limiter l’accès à AirPlay par le biais de pare-feux ou de règles de sécurité réseau, en s’assurant que seuls des appareils connus et approuvés puissent établir une connexion. Ces mesures sont relativement simples à mettre en œuvre dans un environnement d’entreprise, mais beaucoup plus complexes dans le grand public, où la commodité prime souvent sur la sécurité.

Du côté d’Apple, la réponse a été rapide, mais reste partielle. En publiant des mises à jour pour iOS 18.4, macOS Sonoma 14.7.5, Ventura 13.7.5, Sequoia 15.4 et visionOS 2.4, l’entreprise a montré sa capacité à réagir efficacement. Toutefois, elle ne peut pas imposer aux fabricants tiers de patcher leurs produits, ni contraindre les utilisateurs à installer les mises à jour.

Cela pose la question de la gestion de la sécurité dans les écosystèmes interconnectés, où la responsabilité est répartie entre plusieurs acteurs : Apple, les fabricants tiers, les développeurs de logiciels, les fournisseurs d’accès et, bien sûr, les utilisateurs eux-mêmes.

La promesse d’AirPlay se heurte à la réalité des cybermenaces

Depuis son lancement, AirPlay a été présenté comme un symbole d’innovation, de simplicité et d’interopérabilité. Mais en 2025, cette vision est remise en question par une réalité plus sombre : celle de systèmes complexes, où chaque fonction peut devenir un vecteur de compromission.

À mesure que les objets connectés prolifèrent, que les voitures s’équipent de CarPlay, et que les foyers adoptent des téléviseurs toujours plus intelligents, la sécurité des protocoles comme AirPlay devient une priorité stratégique. Car si ces failles venaient à être exploitées à grande échelle, les conséquences pourraient être dramatiques pour les particuliers comme pour les organisations.

D’autant que la connectivité AirPlay est souvent active par défaut, exposant sans le savoir de nombreux utilisateurs à des risques qu’ils ne soupçonnent même pas. L’illusion de sécurité procurée par la marque Apple pourrait ainsi jouer contre elle, en incitant à un excès de confiance.

L’affaire AirBorne pose, en filigrane, la question fondamentale de la confiance dans les technologies que nous utilisons chaque jour. Quand un protocole aussi central et populaire qu’AirPlay se révèle vulnérable à des attaques sophistiquées, c’est l’ensemble de l’édifice numérique qui vacille.

Les prochaines semaines diront si les mises à jour d’Apple suffiront à juguler la menace ou si, comme le craignent certains experts, une vague d’attaques exploitant ces failles se prépare. Mais une chose est sûre : l’affaire AirBorne marquera un tournant dans la manière dont la sécurité des protocoles sans fil est perçue, tant par les ingénieurs que par le grand public.

En fin de compte, cette alerte pourrait-elle inciter les fabricants à repenser l’architecture de leurs systèmes et à accorder une priorité absolue à la sécurité dès la conception ?

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à notre newsletter.

Cybersécurité, Mise à jour

Vers la fin des certificats SSL longue durée

À partir de 2029, les certificats SSL/TLS ne seront valides que pendant 47 jours. Une révolution discrète mais cruciale dans la sécurité du web vient d’être actée.

C’est un changement majeur dans l’infrastructure invisible du web. Le CA/Browser Forum, organe central réunissant les géants du numérique et les autorités de certification, a voté pour une réduction drastique de la durée de validité des certificats SSL/TLS. Actuellement fixée à 398 jours, cette durée sera ramenée à seulement 47 jours d’ici mars 2029. L’objectif affiché : améliorer la sécurité des connexions HTTPS en limitant la période pendant laquelle un certificat compromis pourrait être exploité. Si cette évolution bénéficie du soutien unanime des grands noms du secteur – Apple, Google, Microsoft et Mozilla en tête – elle suscite aussi l’inquiétude des administrateurs système. Car derrière cette décision technique se cache une transformation radicale de la gestion des certificats numériques, qui exigera des entreprises une adaptation rapide vers des systèmes d’automatisation plus robustes.

Le web est en mutation. Si l’internaute lambda ne remarque jamais les certificats SSL/TLS, ces petits fichiers sont pourtant les garants de la confidentialité et de la sécurité de ses échanges en ligne. En garantissant qu’un site est bien celui qu’il prétend être et en chiffrant les données échangées, ces certificats sont au cœur de l’architecture du HTTPS, le protocole sécurisé devenu standard sur internet.

15 mars 2026 : nouveaux certificats émis, y compris leur validation de contrôle de domaine (DCV), devront être renouvelés tous les 200 jours.
15 mars 2027 : Cette durée de validité sera réduite à 100 jours.
15 mars 2029 : nouveaux certificats SSL/TLS limités à 47 jours, et les DCV à seulement 10 jours.

Jusqu’ici, les certificats pouvaient être valides pendant plus d’un an. Mais dès le 15 mars 2026, cette durée tombera à 200 jours. Et trois ans plus tard, en 2029, la validité maximale sera divisée par plus de huit : un certificat SSL/TLS ne pourra être émis que pour 47 jours. La validation de contrôle de domaine (DCV), qui garantit que le demandeur du certificat contrôle bien le nom de domaine, tombera quant à elle à 10 jours.

« Le soutien unanime des grandes plateformes numériques montre à quel point la sécurité est devenue une priorité absolue. »

Cette décision n’est pas un coup de tête. En réalité, elle s’inscrit dans une tendance amorcée il y a plusieurs années. En 2020, Apple avait déjà pris l’initiative de refuser, via Safari, les certificats valables plus de 13 mois. Depuis, la firme de Cupertino n’a cessé de pousser pour une réduction encore plus sévère de cette durée, arguant que des certificats plus courts limitent les risques d’exploitation en cas de compromission.

Le raisonnement est simple : si un certificat est volé ou compromis, plus sa durée est courte, moins l’attaquant peut l’exploiter. Un certificat valable 398 jours donne aux cybercriminels plus d’un an de champ libre. Un certificat valable 47 jours, c’est autant de jours de moins pour commettre des attaques ou intercepter des données. De quoi limiter significativement les dégâts potentiels en cas de faille.

Mais ce changement a un coût. Pour les autorités de certification, c’est l’assurance d’un marché plus dynamique, avec des renouvellements plus fréquents. Cela pourrait sembler cynique, mais dans les faits, des acteurs comme Let’s Encrypt proposent déjà des certificats gratuits valables seulement 90 jours – et encouragent même l’automatisation complète de leur renouvellement. Leur modèle, basé sur des API et des scripts, montre que l’approche est viable, à condition d’avoir une infrastructure moderne.

C’est justement là que le bât blesse. Car toutes les entreprises ne sont pas prêtes. Dans les forums spécialisés comme Reddit, les réactions des administrateurs système oscillent entre résignation et colère. Beaucoup soulignent que dans un monde idéal, entièrement automatisé, ce changement ne poserait pas de problème. Mais dans la réalité quotidienne des infrastructures informatiques, souvent vieillissantes ou dépendantes de systèmes propriétaires rigides, la mise en place de processus de renouvellement automatique représente un défi de taille.

« La réduction à 47 jours est un pari sur l’avenir, mais elle oblige les entreprises à revoir en profondeur leurs pratiques de gestion des certificats. »

Certains équipements industriels, notamment dans les secteurs de l’énergie, de la santé ou des transports, reposent encore sur des systèmes où le renouvellement d’un certificat est une opération manuelle, parfois lourde, parfois risquée. La multiplication des certificats courts risque donc, à court terme, de générer un surcroît de travail et des coûts d’adaptation non négligeables.

Les cinq abstentions au sein du CA/Browser Forum – Entrust, IdenTrust, Japan Registry Services, SECOM Trust Systems et TWCA – reflètent cette tension entre idéal de sécurité maximale et réalité de terrain. Aucun acteur n’a voté contre, mais l’unanimité n’était pas totale. Cela montre que, malgré les avantages évidents sur le plan de la sécurité, tous ne sont pas convaincus de la faisabilité immédiate d’une telle transition.

Du côté des éditeurs de navigateurs, en revanche, le consensus est clair. Apple, Google, Microsoft et Mozilla ont tous approuvé la réduction drastique. Leur position est stratégique : en imposant ces règles via leurs navigateurs, ils forcent de facto tout l’écosystème à s’adapter. Les entreprises qui ne suivent pas verront leurs sites marqués comme non sécurisés, ce qui, à l’heure de la confiance numérique, est un désastre d’image.

Cette pression par le haut s’accompagne toutefois d’une certaine souplesse dans le calendrier. En introduisant une étape intermédiaire en 2026, le CA/Browser Forum espère laisser le temps aux entreprises de moderniser leurs outils. L’enjeu est aussi de préparer le web à des menaces futures, notamment celles que pourrait faire peser l’arrivée de l’informatique quantique sur les systèmes cryptographiques actuels. La flexibilité offerte par des certificats à courte durée permettra de réagir plus vite à de nouveaux risques.

Dans ce contexte, les entreprises doivent désormais considérer la gestion des certificats non plus comme une tâche ponctuelle, mais comme un processus intégré à part entière dans leur politique de cybersécurité. Les outils d’automatisation comme Certbot, déjà largement utilisés avec Let’s Encrypt, devraient devenir la norme. De nouveaux standards d’orchestration et d’intégration dans les pipelines DevOps sont également en cours d’élaboration pour accompagner cette transition.

Ce tournant technique, bien que discret, marque un changement de paradigme. La sécurité n’est plus une barrière à franchir une fois pour toutes, mais une boucle continue, un processus dynamique qui s’adapte en permanence. Et les certificats SSL/TLS, autrefois perçus comme de simples formalités, deviennent les marqueurs de cette nouvelle exigence.

La vraie question, désormais, est de savoir si l’ensemble des acteurs du web seront capables de suivre le rythme imposé par cette évolution. Car si les grandes plateformes disposent des moyens pour s’adapter rapidement, ce sont les petites structures, les administrations et les secteurs aux infrastructures figées qui risquent de se retrouver en difficulté.

La réduction à 47 jours des certificats SSL/TLS pourrait bien renforcer la sécurité du web, mais elle impose une refonte complète des pratiques de gestion des certificats. Dans un monde numérique en perpétuelle évolution, les entreprises sauront-elles faire preuve de l’agilité nécessaire pour relever ce défi ?

Cybersécurité, Mise à jour, Patch

Sécurité en alerte : Microsoft corrige 126 failles, dont une déjà exploitée

Microsoft a publié une mise à jour de sécurité massive pour corriger 126 vulnérabilités, dont une, critique, est déjà activement exploitée par des groupes de hackers.

C’est un rituel désormais bien rôdé : chaque deuxième mardi du mois, Microsoft déploie son « Patch Tuesday », la grande mise à jour mensuelle de sécurité de ses produits. Mais celle d’avril 2025 a fait l’effet d’un coup de semonce dans le secteur. Avec pas moins de 126 failles comblées, dont 11 jugées critiques, 112 importantes et 2 de moindre gravité, le géant de Redmond montre l’ampleur des menaces qui pèsent aujourd’hui sur les utilisateurs de ses systèmes. Surtout, une vulnérabilité particulièrement dangereuse, identifiée sous le code CVE-2025-29824, attire toutes les attentions : déjà exploitée activement dans la nature, elle concerne un composant central de Windows et laisse des millions d’appareils à la merci de pirates.

La faille CVE-2025-29824 touche le pilote Windows CLFS (Common Log File System), un composant chargé de la gestion des journaux système. La nature de la brèche est connue : il s’agit d’une erreur de type use-after-free, un bug de gestion de mémoire bien documenté qui permet, dans certains cas, à un attaquant local de prendre le contrôle complet de la machine. Le plus inquiétant est que cette faille ne nécessite pas de droits administrateur pour être exploitée. Un simple accès local suffit pour élever ses privilèges au niveau système, ouvrant la voie à toutes les dérives, notamment l’installation de rançongiciels. Microsoft a confirmé que cette vulnérabilité était déjà utilisée dans des attaques réelles.

La faille critique CVE-2025-29824, activement exploitée, permet à un utilisateur local d’obtenir un contrôle total sur un système Windows sans droits d’administrateur.

Ce type d’attaque n’en est pas à son premier coup d’essai. Depuis 2022, c’est la sixième vulnérabilité du même genre exploitée dans CLFS, ce qui souligne une faiblesse structurelle dans le composant. En réaction à la menace, la CISA (Cybersecurity and Infrastructure Security Agency) américaine a ajouté cette faille à son catalogue des vulnérabilités activement exploitées. Elle impose aux agences fédérales de déployer le correctif avant le 29 avril 2025, une mesure exceptionnelle qui traduit l’urgence de la situation.

Mais tout le monde ne peut pas encore respirer. Le correctif de Microsoft n’est pas disponible pour certaines versions de Windows 10, en particulier les éditions 32 et 64 bits, toujours largement utilisées dans le monde professionnel comme chez les particuliers. Cela signifie que des millions d’appareils restent vulnérables à cette faille, sans solution immédiate. Pour ces utilisateurs, la seule défense reste la prudence et la limitation des accès physiques aux machines.

Outre CVE-2025-29824, la vague de correctifs d’avril couvre un large éventail de services et d’applications critiques. Des failles ont été corrigées dans des protocoles d’authentification comme Kerberos, dans le bureau à distance RDP, le service LDAP, la suite bureautique Microsoft Office (dont Excel), ainsi que dans la pile réseau TCP/IP de Windows et l’hyperviseur Hyper-V. Plusieurs de ces vulnérabilités permettaient l’exécution de code à distance, ce qui, dans les mains d’un pirate, peut se traduire par une prise de contrôle totale du système ciblé.

Certaines failles corrigées ce mois-ci permettaient l’exécution de code à distance, ouvrant la porte à des compromissions totales de système.

Ces failles, combinées à la montée en puissance des attaques par rançongiciel, posent de sérieuses questions sur la résilience des infrastructures informatiques. Aujourd’hui, les cyberattaques ne visent plus seulement les grandes entreprises ou les institutions : elles touchent aussi les PME, les collectivités, les hôpitaux et les particuliers. Chaque faille non corrigée devient une porte d’entrée potentielle pour des groupes cybercriminels de plus en plus organisés, souvent liés à des États.

La publication de cette mise à jour n’est pas un événement isolé. Avril 2025 a vu un véritable branle-bas de combat dans l’ensemble de l’industrie technologique. Outre Microsoft, des entreprises comme Adobe, Google, Apple, Cisco, HP, AMD, Mozilla, Fortinet, SAP, Zoom et les éditeurs de distributions Linux ont également publié des mises à jour de sécurité importantes. Cela montre à quel point les failles sont omniprésentes, souvent découvertes par des chercheurs en cybersécurité, mais aussi parfois après avoir été utilisées à mauvais escient.

Pour les professionnels de l’IT et les responsables de la sécurité, cette cascade de correctifs signifie des heures de travail supplémentaires pour tester, déployer et vérifier les mises à jour dans des environnements parfois complexes. Le moindre oubli, le moindre retard peut avoir des conséquences dramatiques. Dans ce contexte, les politiques de gestion des correctifs (patch management) deviennent une composante essentielle de la stratégie de cybersécurité d’une organisation.

Microsoft, de son côté, continue d’améliorer ses systèmes de détection et de réponse face aux menaces. L’entreprise s’appuie sur des données récoltées à travers son vaste écosystème pour repérer rapidement les nouvelles attaques. Mais face à l’ingéniosité des cybercriminels, la simple réactivité ne suffit plus. Il faut une approche proactive, avec des audits réguliers, une réduction de la surface d’attaque et une sensibilisation constante des utilisateurs aux bons comportements.

À moyen terme, la dépendance à des composants anciens et parfois mal sécurisés comme CLFS interroge sur la durabilité des architectures logicielles actuelles. Faut-il réécrire des pans entiers du code de Windows pour éviter les mêmes erreurs ? Est-il encore viable de maintenir autant de versions du système d’exploitation en parallèle ? Ces questions, stratégiques, dépassent le cadre technique et engagent l’ensemble de l’écosystème numérique.

Enfin, cette actualité rappelle une réalité trop souvent ignorée : la cybersécurité n’est plus un sujet réservé aux experts. C’est une préoccupation quotidienne, qui touche directement la vie des utilisateurs et la stabilité des entreprises. Face à des menaces de plus en plus sophistiquées, la seule stratégie gagnante reste la vigilance.

Cybersécurité, Mise à jour, Patch

Coupure brutale dans la cybersécurité : la base CVE s’éteint

Le gouvernement américain a mis fin au financement de la base de données CVE, pilier mondial de la cybersécurité, provoquant sa fermeture immédiate et laissant un vide critique dans la détection des vulnérabilités… pour faire marche arrière ensuite !

C’est un tournant inquiétant pour l’écosystème de la cybersécurité mondiale. Ce mercredi, la célèbre base de données CVE (Common Vulnerabilities and Exposures), référence universelle en matière d’identification des failles informatiques, s’éteint. En cause : la fin du contrat entre la MITRE Corporation, organisme à but non lucratif gestionnaire du projet, et la CISA, l’agence fédérale américaine chargée de la cybersécurité. Un non-renouvellement abrupt, inscrit dans une politique budgétaire restrictive menée par l’administration Trump, qui provoque l’interruption immédiate de cette infrastructure pourtant essentielle. Depuis 1999, le système CVE permettait une classification claire et standardisée des failles de sécurité. Sa disparition temporaire bouleverse le fonctionnement quotidien de milliers de professionnels à travers le monde.

Un tournant que Datasecuritybreach.fr avait mis en avant, en février et mars 2025. La Maison Blanche ayant mis une pression économique auprès de plusieurs structures dédiées à la cybersécurité, dont la CISA.

La scène se passe presque dans le silence. Pas de conférence de presse ni de communiqué tapageur. Pourtant, l’arrêt de la base de données CVE constitue l’un des événements les plus marquants de ces dernières années pour la cybersécurité internationale. Des millions de professionnels s’appuyaient sur cette base pour identifier, référencer et corriger les vulnérabilités affectant les logiciels, les systèmes d’exploitation ou les composants matériels. L’arrêt de sa mise à jour signifie que les vulnérabilités découvertes à partir d’aujourd’hui ne seront plus répertoriées de manière centralisée, unique et accessible à tous.

Depuis plus de deux décennies, le CVE a été l’épine dorsale de la coordination dans la réponse aux menaces. À l’origine, le projet avait été lancé pour mettre fin au chaos régnant dans les années 1990, où chaque entreprise utilisait ses propres référentiels, rendant les échanges sur les failles complexes et peu efficaces. Grâce au CVE, une faille se voyait attribuer un identifiant unique – une sorte de matricule – permettant à toutes les équipes de cybersécurité, quels que soient leurs outils ou leur pays, de parler le même langage.

« La fin du CVE n’est pas seulement symbolique, elle est structurelle : c’est la disparition d’un standard global sans équivalent immédiat. »

Mais le contrat entre la MITRE Corporation et le ministère de la Sécurité intérieure américain, via la CISA, prend fin ce mercredi, sans reconduction. Cette décision, confirmée par le gouvernement, s’inscrit dans une logique de réduction budgétaire engagée par l’exécutif, au détriment de certains outils considérés comme coûteux ou non prioritaires. Et c’est là que le bât blesse : le coût de fonctionnement du programme CVE, pourtant relativement modeste à l’échelle des budgets fédéraux, est jugé superflu dans le cadre de cette politique d’austérité numérique.

Ce choix soulève l’incompréhension chez de nombreux acteurs du secteur, tant publics que privés. Car si la base de données CVE était officiellement américaine, sa portée, elle, était universelle. Des centaines de chercheurs, de laboratoires, de grandes entreprises de cybersécurité, mais aussi d’organisations gouvernementales et non gouvernementales du monde entier y contribuaient. Le modèle collaboratif du CVE en faisait un bien commun numérique, sans équivalent dans sa structuration et sa portée.

La fermeture brutale du système a pris de court nombre de professionnels. Si les anciennes données restent disponibles via des archives sur GitHub, elles ne seront plus mises à jour tant qu’aucune solution alternative n’aura été trouvée. Et c’est bien là que se situe le danger : selon les chiffres récents, plus de 25 000 nouvelles vulnérabilités ont été enregistrées dans la base CVE rien qu’en 2023. Leur absence de référencement officiel risque d’entraver sérieusement les réponses coordonnées à venir.

L’impact pourrait être particulièrement sévère pour les petites et moyennes entreprises, ainsi que pour les institutions publiques ne disposant pas de moyens pour accéder à des services commerciaux de suivi de vulnérabilités. De nombreuses solutions logicielles de gestion des risques ou de patching automatisé s’appuient directement sur les identifiants CVE pour détecter et corriger les failles. Sans ces repères, les délais de réaction risquent de s’allonger, laissant la porte ouverte à des cyberattaques d’envergure.

« Sans CVE, chaque organisation devra réinventer sa propre méthode de suivi des failles, avec les risques d’erreurs et de lenteurs que cela implique. »

Dans l’urgence, plusieurs pistes sont envisagées pour pallier ce vide. Certains évoquent la création d’un consortium international qui prendrait en charge la continuité du projet, sur un modèle similaire à celui de l’ICANN pour la gouvernance des noms de domaine. D’autres misent sur une reprise du flambeau par des entreprises majeures du secteur, comme Google, Microsoft ou encore IBM, qui disposent des moyens techniques et humains pour maintenir une base à jour. Mais ces options posent aussi des questions éthiques et politiques. Une base gérée par une entreprise privée pourrait perdre sa neutralité, tandis qu’une gouvernance internationale impliquerait des négociations complexes, longues et souvent ralenties par des logiques géopolitiques divergentes.

Dans l’intervalle, certains acteurs, notamment européens, pourraient saisir l’opportunité pour développer une alternative ouverte et souveraine. La question d’une autonomie stratégique en cybersécurité est de plus en plus discutée sur le Vieux Continent, et la fin de la base CVE pourrait accélérer cette dynamique. Un projet européen, financé par des institutions comme l’ENISA ou la Commission européenne, aurait le mérite de réduire la dépendance aux infrastructures américaines et de redonner une impulsion aux politiques de cybersécurité européennes.

Mais rien de tout cela ne sera immédiat. La construction d’une base de données fiable, exhaustive et reconnue prend du temps. Il faudra recréer des réseaux de contributeurs, des protocoles d’évaluation et des processus d’attribution normalisés. En attendant, le secteur devra composer avec une zone grise, où l’identification et la diffusion des vulnérabilités se feront de manière fragmentée.

Certains experts alertent d’ailleurs sur le risque d’une recrudescence de failles non signalées ou mal documentées dans les semaines à venir. Dans ce contexte d’instabilité, les cybercriminels pourraient profiter de cette désorganisation pour exploiter des brèches non encore corrigées. Une situation que les gouvernements comme les entreprises redoutent particulièrement.

Alors que le numérique structure aujourd’hui tous les pans de notre société – santé, finance, énergie, transports – la cybersécurité n’a jamais été aussi stratégique. Or, l’arrêt d’un outil aussi fondamental que le CVE fragilise un édifice déjà sous pression constante. Cette décision marque aussi un signal politique inquiétant : la cybersécurité ne semble plus figurer parmi les priorités stratégiques immédiates des États-Unis, du moins dans sa dimension coopérative et ouverte.

Le CVE n’est pas qu’une base de données. Il est le socle invisible sur lequel repose la coordination mondiale en matière de sécurité informatique. Sa disparition, même temporaire, doit alerter sur la fragilité des infrastructures numériques essentielles lorsqu’elles dépendent d’un unique acteur public ou privé. C’est l’un des paradoxes de notre ère numérique : à l’heure où tout est interconnecté, les outils critiques reposent encore sur des fondations institutionnelles trop peu résilientes.

Alors que le monde cherche une solution de remplacement à la base CVE, une question persiste : la cybersécurité mondiale peut-elle continuer de reposer sur des initiatives isolées, ou est-il temps d’envisager une gouvernance réellement collective et pérenne de la sécurité numérique ?

Mise à jour : La CISA (Cybersecurity and Infrastructure Security Agency) a finalement prolongé mardi soir son contrat avec le programme CVE (Common Vulnerabilities and Exposures), géré par le MITRE.

Le programme CVE, utilisé depuis 25 ans pour identifier et cataloguer les failles de cybersécurité à l’échelle mondiale, risquait de perdre ses financements dès mercredi. Heureusement, un prolongement de 11 mois a été acté in extremis pour éviter une interruption des services critiques.

Cependant, des tensions apparaissent : une partie du conseil du programme CVE envisage de créer une nouvelle entité indépendante, la CVE Foundation, pour garantir la neutralité et la pérennité du programme, actuellement trop lié à un financement gouvernemental unique.

Ce rebondissement intervient alors que la CISA fait face à des réductions budgétaires, des résiliations de contrats et des critiques politiques, notamment sur son rôle durant les élections de 2020. La secrétaire à la Sécurité intérieure Kristi Noem souhaite une réduction de taille et de dépenses pour rendre l’agence « plus efficace et agile« .

Mise à jour : des rebondissements qui ont permis à l’Europe de sortir de la cave https://euvd.enisa.europa.eu/– au moment de cette mise à jour, le site attend de passer en … 2025 !