Bulletins de Sécurité

[Mise à jour du 27 Octobre 2025]

Microsoft a sorti une nouvelle mise à jour cumulative Out of Band entre le 23 et 24 Octobre. Cette mise à jour spécifique a été mise en place car le patch initial ne corrige pas correctement la vulnérabilité.

Afin d’être correctement protégé, il est donc nécessaire d’installer cette KB dédiée. De plus, un redémarrage sera nécessaire suite à l’installation.

Des problèmes de remontées de certaines erreurs de synchronisation avec Microsoft Update ou un serveur WSUS upstream peuvent apparaître suite à l’application de cette mise à jour, ce problème sera corrigé lors d’une prochaine mise à jour.

[Document initial]

Lors du Patch Tuesday d’octobre 2025, Microsoft a corrigé une vulnérabilité critique, la CVE-2025-59287 (score CVSS 9.8), dans le service Microsoft Windows Server Update Service (WSUS).

Cette vulnérabilité est due à une désérialisation non sécurisée des données utilisateurs. Un attaquant pourrait envoyer des requêtes malveillantes spécialement conçues pour déclencher cette désérialisation. Ainsi, il pourrait exécuter du code arbitraire sur le serveur WSUS vulnérable.

L’exploitation de cette CVE pourrait permettre à l’attaquant de déployer des programmes malveillants sur tous les actifs du parc informatique gérés par WSUS.

A l’heure actuelle, aucune trace d’exploitation n’a été remonté et aucun exploit complet n’est disponible en sources ouvertes. Il existe cependant des preuves de concepts déjà disponibles publiquement, qui mèneront selon toutes probabilités à des exploits complets très rapidement.Microsoft considère l’exploitation de cette vulnérabilité par des groupes d’attaquants plus que probable.

Le risque est d’autant plus grand si votre serveur portant le service WSUS est exposée sur internet.Etant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre.

‍