Microsoft Issues Security Fixes for 56 Flaws, Including Active Exploit and Two Zero-Days

Mise à jour de sécurité Microsoft : Correction de 56 vulnérabilités, dont une activement exploitée

Microsoft a publié des correctifs pour 56 failles de sécurité dans divers produits de la plateforme Windows. Parmi elles, trois sont classées comme critiques et 53 comme importantes. Deux vulnérabilités étaient publiquement connues au moment de la publication. L’une des failles corrigées, CVE-2025-62221, fait l’objet d’une exploitation active. Il s’agit d’une vulnérabilité de type “use-after-free” dans le pilote du filtre de fichiers Windows Cloud qui permettrait à un attaquant d’élever ses privilèges localement pour obtenir des permissions SYSTEM. Cette faille a été ajoutée au catalogue des vulnérabilités connues exploitées (KEV) par la CISA, exigeant sa correction pour les agences gouvernementales fédérales américaines avant le 30 décembre 2025.

Deux autres vulnérabilités de type “zero-day” ont été corrigées :

• CVE-2025-54100 : Une faille d’injection de commande dans Windows PowerShell permettant à un attaquant d’exécuter du code localement.
• CVE-2025-64671 : Une faille d’injection de commande dans GitHub Copilot pour JetBrains, permettant également l’exécution de code localement. Cette dernière est liée à une série de vulnérabilités nommées “IDEsaster” affectant les agents d’IA intégrés aux environnements de développement intégrés (IDE).

Points clés :

• Microsoft a corrigé 56 vulnérabilités en décembre 2025.
• Une vulnérabilité (CVE-2025-62221) était activement exploitée.
• Deux autres vulnérabilités “zero-day” ont été corrigées : CVE-2025-54100 et CVE-2025-64671.
• Le nombre total de CVE corrigés par Microsoft en 2025 s’élève à 1 275.
• Des correctifs ont également été publiés par de nombreux autres éditeurs de logiciels.

Vulnérabilités corrigées :

• CVE-2025-62221 : Use-after-free dans Windows Cloud Files Mini Filter Driver (score CVSS: 7.8)
• CVE-2025-54100 : Injection de commande dans Windows PowerShell (score CVSS: 7.8)
• CVE-2025-64671 : Injection de commande dans GitHub Copilot for JetBrains (score CVSS: 8.4)
• CVE-2025-62223 : Spoofing dans Edge pour iOS (score CVSS: 4.3)
• D’autres vulnérabilités incluent 29 élévations de privilèges, 18 exécutions de code à distance, 4 divulgations d’informations et 3 dénis de service.

Recommandations :

• Appliquer immédiatement les correctifs de sécurité publiés par Microsoft pour se prémunir contre les vulnérabilités identifiées, en particulier CVE-2025-62221, CVE-2025-54100, et CVE-2025-64671.
• Les agences gouvernementales fédérales américaines doivent appliquer le correctif pour CVE-2025-62221 avant le 30 décembre 2025.
• Être vigilant face aux attaques par hameçonnage et autres méthodes d’ingénierie sociale qui pourraient être utilisées pour exploiter certaines de ces vulnérabilités.
• Surveiller les notifications de sécurité d’autres éditeurs de logiciels et appliquer les mises à jour correspondantes.

Source