Les escrocs exploitent quatre vulnérabilités de Microsoft – une corrigée il y a 14 ans et une autre liée à l’activité de ransomwares – selon la principale agence américaine de cyberdéfense, qui a donné lundi aux agences fédérales deux semaines pour les corriger.
Les quatre vulnérabilités ajoutées lundi au catalogue de vulnérabilités exploitées connues (KEV) de CISA sont :
CVE-2025-60710, une vulnérabilité de suivi de lien dans Windows qui permet une élévation de privilèges. Après avoir initialement divulgué ce bug en novembre 2025, Redmond l’a entièrement corrigé un mois plus tard.
AD ENREGISTREMENT
CVE-2023-36424, une faille du pilote Windows Common Log File System qui permet une élévation de privilèges. Microsoft a corrigé celui-ci en novembre 2023.
AD ENREGISTREMENT
CVE-2023-21529, un problème de désérialisation de données non fiables dans Microsoft Exchange Server qui permet à un attaquant authentifié de réaliser l’exécution de code à distance (RCE). Redmond a divulgué et corrigé le bug en février 2023. La semaine dernière, les chasseurs de menaces de Microsoft ont averti qu’une équipe criminelle motivée par des raisons financières, suivie sous le nom de Storm-1175, exploitait ce bug d’Exchange, ainsi que 15 autres, pour obtenir un premier accès aux organisations avant de finalement voler leurs données et déployer le ransomware Medusa dans des attaques d’extorsion.
CVE-2012-1854, une vulnérabilité de chargement de bibliothèque non sécurisée dans Microsoft Visual Basic pour Applications qui autorise RCE. Microsoft a publié un correctif de sécurité pour celui-ci en juillet 2012, puis une deuxième mise à jour logicielle en novembre 2012 qui a entièrement corrigé la faille. À l’époque, Redmond avait déclaré qu’il était « au courant d’attaques limitées et ciblées tentant d’exploiter cette vulnérabilité ». Cela signifie qu’une faille exploitée pour la première fois il y a près de 14 ans apparaît encore aujourd’hui dans les attaques actives.
Nous avons contacté Microsoft pour plus de détails sur l’étendue de l’exploitation et sur qui attaque ces quatre CVE, et mettrons à jour cette histoire si nous recevons une réponse à nos demandes.
La CISA répertorie l’utilisation de ransomwares pour les quatre comme « inconnue », bien que, selon Redmond, au moins l’un d’entre eux (CVE-2023-21529) ait été utilisé de manière abusive pour ce type d’attaque.
« Ces types de vulnérabilités sont des vecteurs d’attaque fréquents pour les cyber-acteurs malveillants et posent des risques importants pour l’entreprise fédérale », a averti la CISA en ajoutant les bogues à son catalogue et en fixant au 27 avril la date limite pour que toutes les agences fédérales appliquent les correctifs.
Lundi également, CISA a ajouté deux bogues Adobe, une vulnérabilité d’utilisation après libération dans Acrobat identifiée comme CVE-2020-9715 et un prototype de faille de pollution identifiée comme CVE-2026-34621 qui affectait à la fois Adobe Acrobat et Reader, au KEV. Ce dernier était exploité comme un jour zéro depuis des mois, et Adobe a finalement publié un correctif ce week-end. ®
