Patch Tuesday : Microsoft corrige 1 235 failles, dont une d’Outlook exploitée

La faille d’Outlook

Selon Microsoft, un attaquant non authentifié peut envoyer un fichier de message spécialement conçu et convaincre un utilisateur de l’ouvrir dans une version vulnérable d’Outlook. Le logiciel se connecte alors à un serveur malveillant contrôlé par les pirates, sans afficher l’avertissement de sécurité prévu. L’ordinateur transmet automatiquement au serveur une empreinte chiffrée du mot de passe, le « hash NTLM ». Les pirates peuvent tenter de la déchiffrer pour retrouver le mot de passe, ou s’en servir pour usurper l’identité de la victime.

Tyler Reguly, directeur adjoint de la recherche et développement en sécurité chez Fortra, appelle à mettre Outlook à jour dès que possible.

Au total, 66 failles sont jugées « critiques », dont 48 permettent d’exécuter du code à distance. Office est particulièrement touché, avec plusieurs failles critiques dans Word, Excel et Outlook. Le plus souvent, l’ouverture d’un document piégé suffit à déclencher l’attaque.

Les équipes informatiques sous pression

Pour Tyler Reguly, Microsoft fait surtout le ménage dans de vieux bugs que l’IA met au jour ; les chiffres devraient baisser une fois les derniers résolus. En attendant, avec plus de 1 000 failles par mois, tester les correctifs sur quelques machines avant le déploiement est devenu colossal et épuise les équipes de sécurité. Il conseille aux entreprises de ne pas paniquer, de se concentrer sur les failles réellement exploitées et de renforcer leurs systèmes plutôt que de « courir après les vulnérabilités ».

Pour installer la mise à jour, ouvrez les Paramètres de Windows, allez dans Windows Update, puis cliquez sur « Rechercher des mises à jour ». Windows télécharge et installe le correctif seul ; il ne reste qu’à redémarrer.