Patch Tuesday – Septembre 2025 : Microsoft a patché 81 vulnérabilités dont 2 zero-day
Mardi 9 septembre 2025, Microsoft a publié son nouveau Patch Tuesday incluant des correctifs pour 81 vulnérabilités, dont deux failles zero-day déjà divulguées publiquement. Voici notre récapitulatif.
Commençons par nous intéresser aux 13 failles de sécurité critiques patchées par Microsoft avec ce Patch Tuesday de septembre 2025.
- Azure Networking : CVE-2025-54914
- Azure Bot Service : CVE-2025-55244
- Azure Entra : CVE-2025-55241
- Dynamics 365 FastTrack Implementation Assets : CVE-2025-55238
- Windows - Noyau graphique : CVE-2025-55236, CVE-2025-55226
- Windows - Composant graphique Microsoft : CVE-2025-53800
- Windows - Composant d'imagerie : CVE-2025-53799
- Windows - NTLM : CVE-2025-54918
- Windows - Win32K - GRFX : CVE-2025-55224, CVE-2025-55228
- Microsoft Office : CVE-2025-54910
- Xbox : CVE-2025-55242
Premier constat : 4 vulnérabilités sont situées dans des produits Cloud, c'est donc Microsoft qui a appliqué directement les correctifs. Quant à la vulnérabilité dans NTLM (CVE-2025-54918), elle permet une élévation de privilèges sur toutes les versions de Windows : "Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait obtenir les privilèges SYSTEM.", précise Microsoft.
Par ailleurs, 4 failles de sécurité importantes permettant une élévation de privilèges ont été patchées dans Hyper-V, et ce dernier est aussi lié à la faille de sécurité critique CVE-2025-55224. Cette vulnérabilité permet une exécution de code arbitraire sur l'hôte physique à partir d'une VM : "Dans ce cas, une attaque réussie pourrait être effectuée à partir d'un invité Hyper-V à faible privilège. L'attaquant pourrait traverser la frontière de sécurité de l'invité pour exécuter du code dans l'environnement d'exécution de l'hôte Hyper-V.", néanmoins l'attaque est compliquée à réaliser et dépendante d'une race condition.
Sommaire
CVE-2025-55234 - Windows - SMB
La vulnérabilité CVE-2025-55234 est considérée comme une faille zero-day, car elle a été révélée publiquement avant la publication du correctif, bien qu’aucune exploitation ne soit recensée à ce jour.
La faille CVE-2025-55234 affecte le serveur SMB de Windows et peut, selon la configuration, être exploitée dans le cadre d’attaques par relais (relay attacks). Elle peut mener à une élévation de privilèges comme l'explique Microsoft : "Un attaquant qui réussirait à exploiter cette vulnérabilité pourrait obtenir les privilèges de l'utilisateur compromis."
Microsoft en profite pour rappeler que Windows dispose déjà de mécanismes de protection contre les attaques par relais, comme SMB Server Signing et Extended Protection for Authentication (EPA). Désormais, avec la mise à jour de septembre 2025, de nouvelles capacités d’audit sont ajoutées pour aider les administrateurs systèmes : "Les mises à jour de sécurité publiées le 9 septembre 2025 permettent de prendre en charge l'audit de la compatibilité des clients SMB pour la signature du serveur SMB ainsi que le serveur SMB EPA.", précise Microsoft.
Versions affectées : Windows 10, Windows 11 et Windows Server 2008 à Windows Server 2025.
CVE-2024-21907 - SQL Server
La faille de sécurité CVE-2024-21907 est aussi considérée comme une faille zero-day, car elle a été divulguée publiquement en 2024. Cette vulnérabilité affecte la bibliothèque Newtonsoft.Json (versions antérieures à 13.0.1) intégrée à SQL Server et résulte d’une mauvaise gestion de certaines conditions.
Lorsqu’un jeu de données spécialement conçu est transmis à la méthode JsonConvert.DeserializeObject(), il peut déclencher une exception StackOverflow, provoquant ainsi un déni de service (DoS). Selon la manière dont la bibliothèque est intégrée dans une application, un attaquant distant et non authentifié pourrait exploiter cette faille pour perturber le fonctionnement du service.
Microsoft a intégré la mise à jour de Newtonsoft.Json dans ses correctifs de sécurité pour SQL Server. À ce propos, des mises à jour ont été publiées pour plusieurs versions : SQL Server 2016, SQL Server 2017, SQL Server 2019.
Un tableau complet, auquel vous devez vous référer, a été publié sur le site de Microsoft. "Si le numéro de version de votre serveur SQL n'est pas représenté dans le tableau ci-dessous, cela signifie que votre version du serveur SQL n'est plus prise en charge.", prévient l'entreprise américaine.
Les mises à jour pour Windows 10 et Windows 11
Si vous souhaitez en savoir plus sur les mises à jour de Windows 10 et Windows 11 publiées le 9 septembre 2025, consultez ces articles :
- Windows 11 - Découvrir les mises à jour de septembre 2025
- Windows 10 - Découvrir les mises à jour de septembre 2025
