Situation de crise pour Microsoft : des groupes de pirates (APT), souvent étatiques, exploitent activement non pas une, mais deux vulnérabilités majeures dans Windows.
La première est une faille "zero-day" vieille de 2017 que Microsoft refuse de patcher. La seconde est une faille "ver" si critique (9.8/10) que l'ANSSI et la CISA sont en alerte maximale, d'autant que le premier correctif de Microsoft a échoué.
Qu'est-ce que cette faille "zero-day" non corrigée ?
Elle est référencée sous le code CVE-2025-9491 et est connue depuis 2017. Cette faille se niche dans les raccourcis Windows (fichiers .LNK). Elle permet à un pirate, via une page web ou un document piégé, d'exécuter du code à distance. Trend Micro a sonné l'alarme en mars 2024, indiquant une exploitation active par 11 groupes APT (Chine, Russie...).
Selon un rapport récent d'Arctic Wolf, les attaques continuent et ciblent l'Europe. De fausses invitations à des réunions de l'OTAN ou de la Commission Européenne ont été envoyées à des entités diplomatiques en Hongrie et en Belgique pour déployer le malware PlugX. C'est une faille d'espionnage parfaite.
Pourquoi Microsoft ne la corrige-t-il pas ?
C'est le grand mystère. Trend Micro a fourni une preuve de concept à Microsoft, mais l'éditeur aurait refusé de corriger la vulnérabilité. Interrogé à nouveau le 2 novembre, Microsoft a botté en touche.
La société a indiqué que Defender et Smart App Control bloquaient la menace, mais l'OS lui-même reste vulnérable. Leur conseil ? "Éviter d'ouvrir des fichiers provenant de sources inconnues". Une réponse jugée très légère par la communauté de la sécurité.
Quelle est cette deuxième faille "ver" ?
Il s'agit de la faille estampillée CVE-2025-59287, encore plus dangereuse avec un score de 9.8/10. Elle touche le service de mise à jour des serveurs (WSUS). Elle permet à un attaquant de prendre le contrôle total d'un serveur et de se propager comme un ver à tout le réseau. Microsoft a sorti un premier patch début octobre, mais il était incomplet.
Des pirates ont commencé l'exploitation le 23 octobre. Microsoft a dû sortir un second patch d'urgence hors cycle le 24 octobre. La CISA et l'ANSSI supplient les administrateurs d'appliquer ce correctif au plus vite.
Foire Aux Questions (FAQ)
Comment fonctionne la faille .LNK (CVE-2025-9491) ?
Elle utilise les fichiers de raccourcis Windows. Un pirate cache des commandes dans un fichier .LNK (par exemple, dans un email). Quand l'utilisateur clique, il exécute le code malveillant à son insu.
Qui est visé par ces attaques ?
Il s'agit d'attaques ciblées (APT) visant des entités de haute valeur. Les rapports citent des entités diplomatiques en Belgique et Hongrie, et des infrastructures dans 60 pays.
Comment se protéger de la faille WSUS (CVE-2025-59287) ?
Il est impératif d'appliquer le deuxième correctif d'urgence publié par Microsoft le 24 octobre. Le premier patch (du Patch Tuesday d'octobre) est insuffisant et ne protège pas de l'exploitation.