← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités Microsoft activement exploitées (KEV)

Les 390 vulnérabilités Microsoft dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne, dont 117 utilisées par des rançongiciels. Textes traduits automatiquement ; la fiche de la CISA fait foi. Page 1 sur 8.

CVE-2026-96951 — Microsoft Windows : vulnérabilité d'injection de commandes

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 13 octobre 2026
  • Échéance CISA : 16 octobre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-77
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 10 %
  • Technologie : Windows

Le shell de microsoft windows contient une vulnérabilité d'injection de commandes qui permet à un attaquant non autorisé de contourner une fonctionnalité de sécurité sur un réseau.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · msrc.microsoft.com

CVE-2026-65660 — Microsoft SharePoint : vulnérabilité d'injection de code

  • Produit : Microsoft SharePoint
  • Ajoutée au catalogue : 25 septembre 2026
  • Échéance CISA : 28 septembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-94
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 8 %
  • Technologie : SharePoint

Microsoft SharePoint contient une vulnérabilité d'injection de code qui pourrait permettre à un attaquant autorisé d'exécuter du code sur un réseau.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · msrc.microsoft.com

CVE-2026-85880 — Microsoft Windows : dépassement de tampon dans le tas

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 8 septembre 2026
  • Échéance CISA : 22 septembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-122, CWE-908
  • Gravité : CVSS 7,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 0 %
  • Technologie : Windows

Microsoft Windows Advanced Local Procedure Call contient une vulnérabilité de dépassement de tampon dans le tas qui permet à un attaquant d'élever les privilèges localement.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · msrc.microsoft.com

CVE-2026-81963 — Microsoft Windows : vulnérabilité de suivi de liens

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 8 septembre 2026
  • Échéance CISA : 22 septembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-59, CWE-284
  • Gravité : CVSS 7,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 0 %
  • Technologie : Windows

La pile de mise à jour de Microsoft Windows contient une vulnérabilité de suivi de liens qui permet à un attaquant local d'élever les privilèges localement jusqu'à SYSTEM.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · msrc.microsoft.com

CVE-2019-1068 — Microsoft SQL Server : vulnérabilité d'exécution de code à distance

  • Produit : Microsoft SQL Server
  • Ajoutée au catalogue : 26 août 2026
  • Échéance CISA : 29 août 2026
  • Rançongiciels : pas d’usage connu
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 57 %

Microsoft SQL Server contient une vulnérabilité d'exécution de code à distance qui pourrait permettre à un attaquant d'exécuter du code dans le contexte du compte de service du moteur de base de données SQL Server.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · portal.msrc.microsoft.com

CVE-2026-55040 — Microsoft SharePoint : vulnérabilité d'authentification faible Critique

  • Produit : Microsoft SharePoint
  • Ajoutée au catalogue : 18 août 2026
  • Échéance CISA : 21 août 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-1390
  • Gravité : CVSS 9,1 (critique)
  • Probabilité d’exploitation (EPSS) : 70 %
  • Technologie : SharePoint

Microsoft SharePoint contient une vulnérabilité d'authentification faible qui permet à un attaquant non autorisé de contourner une fonctionnalité de sécurité sur un réseau.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · msrc.microsoft.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-33824 — Microsoft, Internet Key Exchange (IKE) Service Extensions : vulnérabilité de double libération Critique

  • Produit : Microsoft Internet Key Exchange (IKE) Service Extensions
  • Ajoutée au catalogue : 18 août 2026
  • Échéance CISA : 21 août 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-415
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 77 %

Microsoft Internet Key Exchange (IKE) Service Extensions contient une vulnérabilité de double libération qui pourrait permettre une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · msrc.microsoft.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-68820 — Microsoft, Windows Ancillary Function Driver for WinSock : vulnérabilité d'utilisation après libération

  • Produit : Microsoft Windows Ancillary Function Driver for WinSock
  • Ajoutée au catalogue : 11 août 2026
  • Échéance CISA : 25 août 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-416
  • Gravité : CVSS 7,0 (élevée)
  • Probabilité d’exploitation (EPSS) : 9 %
  • Technologie : Windows

Microsoft Windows Ancillary Function Driver for WinSock contient une vulnérabilité d'utilisation après libération qui permet à un attaquant autorisé d'élever les privilèges localement.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · portal.msrc.microsoft.com

CVE-2026-50522 — Microsoft SharePoint : vulnérabilité de désérialisation de données non fiables Critique

  • Produit : Microsoft SharePoint
  • Ajoutée au catalogue : 22 juillet 2026
  • Échéance CISA : 25 juillet 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-502
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 3 %
  • Technologie : SharePoint

Microsoft SharePoint contient une vulnérabilité de désérialisation de données non fiables qui pourrait permettre à un attaquant non autorisé d'exécuter du code sur un réseau.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · msrc.microsoft.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-58644 — Microsoft SharePoint : vulnérabilité de désérialisation de données non fiables Critique

  • Produit : Microsoft SharePoint
  • Ajoutée au catalogue : 16 juillet 2026
  • Échéance CISA : 19 juillet 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-502
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 16 %
  • Technologie : SharePoint

Microsoft SharePoint contient une vulnérabilité de désérialisation de données non fiables qui permet à un attaquant non autorisé d'exécuter du code sur un réseau.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · msrc.microsoft.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-56164 — Microsoft SharePoint Server : vulnérabilité d'absence d'authentification pour une fonction critique Critique

  • Produit : Microsoft SharePoint Server
  • Ajoutée au catalogue : 14 juillet 2026
  • Échéance CISA : 17 juillet 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-306
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 1 %
  • Technologie : SharePoint

Microsoft SharePoint contient une vulnérabilité d'absence d'authentification pour une fonction critique qui permet à un attaquant non autorisé d'élever des privilèges sur un réseau.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · msrc.microsoft.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-56155 — Microsoft Active Directory Federation Services : vulnérabilité de granularité insuffisante du contrôle d'accès

  • Produit : Microsoft Active Directory Federation Services
  • Ajoutée au catalogue : 14 juillet 2026
  • Échéance CISA : 28 juillet 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-1220
  • Gravité : CVSS 7,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 0 %

Microsoft Active Directory Federation Services contient une vulnérabilité de granularité insuffisante du contrôle d'accès qui permet à un attaquant autorisé d'effectuer une élévation de privilèges localement.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · msrc.microsoft.com · learn.microsoft.com

CVE-2026-45659 — Microsoft SharePoint Server : vulnérabilité de désérialisation de données non fiables

  • Produit : Microsoft SharePoint Server
  • Ajoutée au catalogue : 1 juillet 2026
  • Échéance CISA : 4 juillet 2026
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-502
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 80 %
  • Technologie : SharePoint

Microsoft SharePoint Server contient une vulnérabilité de désérialisation de données non fiables qui permet à un attaquant autorisé d'exécuter du code sur un réseau.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · msrc.microsoft.com

CVE-2026-45498 — Microsoft Defender : vulnérabilité de déni de service

  • Produit : Microsoft Defender
  • Ajoutée au catalogue : 20 mai 2026
  • Échéance CISA : 3 juin 2026
  • Rançongiciels : pas d’usage connu
  • Gravité : CVSS 7,5 (élevée)
  • Probabilité d’exploitation (EPSS) : 63 %

Microsoft Defender contient une vulnérabilité non spécifiée qui permet un déni de service.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2026-41091 — Microsoft Defender : vulnérabilité de suivi de liens

  • Produit : Microsoft Defender
  • Ajoutée au catalogue : 20 mai 2026
  • Échéance CISA : 3 juin 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-59
  • Gravité : CVSS 7,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 8 %

Microsoft Defender contient une vulnérabilité de suivi de liens qui permet à un attaquant autorisé d'effectuer une élévation de privilèges localement.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2010-0806 — Microsoft Internet Explorer : vulnérabilité d'utilisation après libération

  • Produit : Microsoft Internet Explorer
  • Ajoutée au catalogue : 20 mai 2026
  • Échéance CISA : 3 juin 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-399
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 82 %

Microsoft Internet Explorer contient une vulnérabilité d'utilisation après libération qui pourrait permettre à des attaquants distants d'exécuter du code arbitraire via des vecteurs impliquant l'accès à un pointeur invalide après la suppression d'un objet. Le produit impacté pourrait être en fin de vie (EoL) et/ou en fin de service (EoS). Les utilisateurs devraient cesser d'utiliser le produit.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · learn.microsoft.com

CVE-2010-0249 — Microsoft Internet Explorer : vulnérabilité utilisation après libération

  • Produit : Microsoft Internet Explorer
  • Ajoutée au catalogue : 20 mai 2026
  • Échéance CISA : 3 juin 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-416
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 92 %

Microsoft Internet Explorer contient une vulnérabilité d'utilisation après libération qui pourrait permettre à des attaquants distants d'exécuter du code arbitraire en accédant à un pointeur associé à un objet supprimé. Le produit impacté pourrait être en fin de vie (EoL) et/ou en fin de service (EoS). Les utilisateurs devraient cesser d'utiliser le produit.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · learn.microsoft.com

CVE-2009-1537 — Microsoft DirectX : vulnérabilité d'écrasement de caractère nul

  • Produit : Microsoft DirectX
  • Ajoutée au catalogue : 20 mai 2026
  • Échéance CISA : 3 juin 2026
  • Rançongiciels : pas d’usage connu
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 51 %

Microsoft DirectX contient une vulnérabilité d'écrasement de caractère nul dans le filtre d'analyse de films QuickTime dans quartz.dll dans DirectShow, ce qui pourrait permettre à des attaquants distants d'exécuter du code arbitraire via un fichier média QuickTime spécialement conçu.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · learn.microsoft.com

CVE-2008-4250 — Microsoft Windows : dépassement de tampon Critique

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 20 mai 2026
  • Échéance CISA : 3 juin 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-94
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 99 %
  • Technologie : Windows

Microsoft Windows contient une vulnérabilité de dépassement de tampon dans le service Windows Server qui permet à des attaquants distants d'exécuter du code arbitraire via une requête RPC élaborée qui déclenche un dépassement lors de la canonicalisation du chemin.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · learn.microsoft.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-42897 — Microsoft Exchange Server : vulnérabilité cross-site scripting

  • Produit : Microsoft Microsoft
  • Ajoutée au catalogue : 15 mai 2026
  • Échéance CISA : 29 mai 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-79
  • Gravité : CVSS 6,1 (moyenne)
  • Probabilité d’exploitation (EPSS) : 71 %
  • Technologie : Exchange

Microsoft Exchange Server contient une vulnérabilité cross-site scripting lors de la génération de pages web dans Outlook Web Access et lorsque certaines conditions d'interaction sont remplies, du JavaScript arbitraire peut être exécuté dans le contexte du navigateur.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com · learn.microsoft.com

CVE-2026-32202 — Microsoft Windows : échec du mécanisme de protection

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 28 avril 2026
  • Échéance CISA : 12 mai 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-693
  • Gravité : CVSS 4,3 (moyenne)
  • Probabilité d’exploitation (EPSS) : 71 %
  • Technologie : Windows

Le shell de Microsoft Windows contient une vulnérabilité d'échec de mécanisme de protection qui permet à un attaquant non autorisé d'effectuer du spoofing sur un réseau.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2026-33825 — Microsoft Defender : vulnérabilité de granularité insuffisante du contrôle d'accès

  • Produit : Microsoft Defender
  • Ajoutée au catalogue : 22 avril 2026
  • Échéance CISA : 6 mai 2026
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-1220
  • Gravité : CVSS 7,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 7 %

Microsoft Defender contient une vulnérabilité de granularité insuffisante du contrôle d'accès qui pourrait permettre à un attaquant autorisé d'effectuer une élévation de privilèges localement.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2026-32201 — Microsoft SharePoint Server : validation incorrecte des entrées

  • Produit : Microsoft SharePoint Server
  • Ajoutée au catalogue : 14 avril 2026
  • Échéance CISA : 28 avril 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-20
  • Gravité : CVSS 6,5 (moyenne)
  • Probabilité d’exploitation (EPSS) : 43 %
  • Technologie : SharePoint

Microsoft SharePoint Server contient une vulnérabilité de validation incorrecte des entrées qui permet à un attaquant non autorisé d'effectuer du spoofing sur un réseau.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2009-0238 — Microsoft Office : exécution de code à distance

  • Produit : Microsoft Office
  • Ajoutée au catalogue : 14 avril 2026
  • Échéance CISA : 28 avril 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-94
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 43 %
  • Technologie : Microsoft Office

Microsoft Office Excel contient une vulnérabilité d'exécution de code à distance qui pourrait permettre à un attaquant de prendre le contrôle complet d'un système affecté si un utilisateur ouvre un fichier Excel spécialement conçu qui contient un objet malformé.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · learn.microsoft.com

CVE-2025-60710 — Microsoft Windows : vulnérabilité de suivi de liens

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 13 avril 2026
  • Échéance CISA : 27 avril 2026
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-59
  • Gravité : CVSS 7,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 5 %
  • Technologie : Windows

Microsoft Windows contient une vulnérabilité de suivi de liens qui permet une élévation de privilèges

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2023-36424 — Microsoft Windows : vulnérabilité de lecture hors limites

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 13 avril 2026
  • Échéance CISA : 27 avril 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-125
  • Gravité : CVSS 7,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 12 %
  • Technologie : Windows

Le pilote de système de fichiers de journal commun de Microsoft Windows contient une vulnérabilité de lecture hors limites qui pourrait permettre à un acteur malveillant une élévation de privilèges

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2023-21529 — Microsoft Exchange Server : vulnérabilité de désérialisation de données non fiables

  • Produit : Microsoft Exchange Server
  • Ajoutée au catalogue : 13 avril 2026
  • Échéance CISA : 27 avril 2026
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-502
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 59 %
  • Technologie : Exchange

Microsoft Exchange Server contient une désérialisation de données non fiables qui permet à un attaquant authentifié d'obtenir une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2012-1854 — Microsoft Visual Basic for Applications : vulnérabilité de chargement de bibliothèque non sécurisé

  • Produit : Microsoft Visual Basic for Applications (VBA)
  • Ajoutée au catalogue : 13 avril 2026
  • Échéance CISA : 27 avril 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-426
  • Gravité : CVSS 7,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 21 %

Microsoft Visual Basic for Applications (VBA) contient une vulnérabilité de chargement de bibliothèque non sécurisé qui pourrait permettre une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · learn.microsoft.com

CVE-2026-20963 — Microsoft SharePoint : vulnérabilité de désérialisation de données non fiables Critique

  • Produit : Microsoft SharePoint
  • Ajoutée au catalogue : 18 mars 2026
  • Échéance CISA : 21 mars 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-502
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 29 %
  • Technologie : SharePoint

Microsoft SharePoint contient une vulnérabilité de désérialisation de données non fiables qui permet à un attaquant non autorisé d'exécuter du code sur un réseau.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

Fiche détaillée : versions, références, chronologie →

CVE-2008-0015 — Microsoft Windows Video ActiveX Control : exécution de code à distance

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 17 février 2026
  • Échéance CISA : 10 mars 2026
  • Rançongiciels : pas d’usage connu
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 77 %
  • Technologie : Windows

Le contrôle ActiveX Video de Microsoft Windows contient une vulnérabilité d'exécution de code à distance. Un attaquant pourrait exploiter la vulnérabilité en construisant une page Web spécialement conçue. Lorsque l'utilisateur consulte la page Web, la vulnérabilité pourrait permettre une exécution de code à distance. Un attaquant qui exploite avec succès cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur connecté.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · web.archive.org

CVE-2024-43468 — Microsoft Configuration Manager : vulnérabilité d'injection SQL Critique

  • Produit : Microsoft Configuration Manager
  • Ajoutée au catalogue : 12 février 2026
  • Échéance CISA : 5 mars 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-89
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 81 %

Microsoft Configuration Manager contient une vulnérabilité d'injection SQL. Un attaquant non authentifié pourrait exploiter cette vulnérabilité en envoyant des requêtes spécialement conçues à l'environnement cible qui sont traitées de manière non sécurisée, permettant à l'attaquant d'exécuter des commandes sur le serveur et/ou la base de données sous-jacente.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-21533 — Microsoft Windows : vulnérabilité de gestion incorrecte des privilèges

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 10 février 2026
  • Échéance CISA : 3 mars 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-269
  • Gravité : CVSS 7,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 4 %
  • Technologie : Windows

Microsoft Windows Remote Desktop Services contient une vulnérabilité de gestion incorrecte des privilèges qui pourrait permettre à un attaquant autorisé d'élever les privilèges localement.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2026-21525 — Microsoft Windows : vulnérabilité de déréférencement de pointeur nul

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 10 février 2026
  • Échéance CISA : 3 mars 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-476
  • Gravité : CVSS 6,2 (moyenne)
  • Probabilité d’exploitation (EPSS) : 5 %
  • Technologie : Windows

Microsoft Windows Remote Access Connection Manager contient un déréférencement de pointeur nul qui pourrait permettre à un attaquant non autorisé de nier le service localement.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2026-21519 — Microsoft Windows : vulnérabilité de confusion de types

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 10 février 2026
  • Échéance CISA : 3 mars 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-843
  • Gravité : CVSS 7,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 2 %
  • Technologie : Windows

Microsoft Desktop Windows Manager contient une vulnérabilité de confusion de types qui pourrait permettre à un attaquant autorisé d'effectuer une élévation de privilèges localement.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2026-21514 — Microsoft Office : dépendance à des entrées non fiables dans une décision de sécurité

  • Produit : Microsoft Office
  • Ajoutée au catalogue : 10 février 2026
  • Échéance CISA : 3 mars 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-807
  • Gravité : CVSS 7,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 2 %
  • Technologie : Microsoft Office

Microsoft Office Word contient une vulnérabilité de dépendance à des entrées non fiables dans une décision de sécurité qui pourrait permettre à un attaquant autorisé d'effectuer une élévation de privilèges localement.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2026-21513 — Microsoft, Windows : échec du mécanisme de protection du framework MSHTML

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 10 février 2026
  • Échéance CISA : 3 mars 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-693
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 16 %
  • Technologie : Windows

Le framework MSHTML de Microsoft contient une vulnérabilité d'échec de mécanisme de protection qui pourrait permettre à un attaquant non autorisé de contourner une fonctionnalité de sécurité sur un réseau.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2026-21510 — Microsoft Windows : échec du mécanisme de protection de l'interface shell

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 10 février 2026
  • Échéance CISA : 3 mars 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-693
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 61 %
  • Technologie : Windows

L'interface shell de Microsoft Windows contient une vulnérabilité d'échec de mécanisme de protection qui pourrait permettre à un attaquant non autorisé de contourner une fonctionnalité de sécurité sur un réseau.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2026-21509 — Microsoft Office : contournement de fonctionnalité de sécurité

  • Produit : Microsoft Office
  • Ajoutée au catalogue : 26 janvier 2026
  • Échéance CISA : 16 février 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-807
  • Gravité : CVSS 7,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 71 %
  • Technologie : Microsoft Office

Microsoft Office contient une vulnérabilité de contournement de fonctionnalité de sécurité dans laquelle la dépendance à des entrées non fiables dans une décision de sécurité dans Microsoft Office pourrait permettre à un attaquant non autorisé de contourner une fonctionnalité de sécurité localement. Certains des produits impactés pourraient être en fin de vie (EoL) et/ou en fin de service (EoS). Il est conseillé aux utilisateurs de cesser d'utiliser et/ou de passer à une version prise en charge.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2026-20805 — Microsoft Windows : divulgation d'informations

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 13 janvier 2026
  • Échéance CISA : 3 février 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-200
  • Gravité : CVSS 5,5 (moyenne)
  • Probabilité d’exploitation (EPSS) : 7 %
  • Technologie : Windows

Le gestionnaire de fenêtres de bureau de microsoft windows contient une vulnérabilité de divulgation d'informations qui permet à un attaquant autorisé de divulguer des informations localement.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2009-0556 — Microsoft Office PowerPoint : vulnérabilité d'injection de code

  • Produit : Microsoft Office
  • Ajoutée au catalogue : 7 janvier 2026
  • Échéance CISA : 28 janvier 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-94
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 67 %
  • Technologie : Microsoft Office

Microsoft Office PowerPoint contient une vulnérabilité d'injection de code qui permet à des attaquants distants d'exécuter du code arbitraire via un fichier PowerPoint contenant un OutlineTextRefAtom avec une valeur d'index invalide qui déclenche une corruption de la mémoire.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · learn.microsoft.com

CVE-2025-62221 — Microsoft Windows : vulnérabilité d'utilisation après libération

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 9 décembre 2025
  • Échéance CISA : 30 décembre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-416
  • Gravité : CVSS 7,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 3 %
  • Technologie : Windows

Le pilote de filtre Cloud Files Mini de Microsoft Windows contient une vulnérabilité d'utilisation après libération qui peut permettre à un attaquant autorisé d'obtenir une élévation de privilèges localement.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2025-62215 — Microsoft Windows : vulnérabilité de condition de concurrence

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 12 novembre 2025
  • Échéance CISA : 3 décembre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-362
  • Gravité : CVSS 7,0 (élevée)
  • Probabilité d’exploitation (EPSS) : 4 %
  • Technologie : Windows

Le noyau Microsoft Windows contient une vulnérabilité de condition de concurrence qui permet à un attaquant local disposant de privilèges de bas niveau d'effectuer une élévation de privilèges. L'exploitation réussie de cette vulnérabilité pourrait permettre à l'attaquant d'obtenir un accès au niveau SYSTEM.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2025-59287 — Microsoft Windows Server Update Service (WSUS) : vulnérabilité de désérialisation de données non fiables Critique

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 24 octobre 2025
  • Échéance CISA : 14 novembre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-502
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : > 99,9 %
  • Technologie : Windows

Microsoft Windows Server Update Service (WSUS) contient une vulnérabilité de désérialisation de données non fiables qui permet une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-33073 — Microsoft Windows SMB Client : vulnérabilité de contrôle d'accès incorrect

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 20 octobre 2025
  • Échéance CISA : 10 novembre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-284
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 83 %
  • Technologie : Windows

Le client SMB de Microsoft Windows contient une vulnérabilité de contrôle d'accès incorrect qui pourrait permettre une élévation de privilèges. Un attaquant pourrait exécuter un script malveillant spécialement conçu pour forcer la machine victime à se reconnecter au système d'attaque en utilisant SMB et à s'authentifier.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2025-59230 — Microsoft Windows : vulnérabilité de contrôle d'accès incorrect

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 14 octobre 2025
  • Échéance CISA : 4 novembre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-284
  • Gravité : CVSS 7,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 3 %
  • Technologie : Windows

Microsoft Windows contient une vulnérabilité de contrôle d'accès incorrect dans Windows Remote Access Connection Manager qui pourrait permettre à un attaquant autorisé d'élever des privilèges localement.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2025-24990 — Microsoft Windows : vulnérabilité de déréférencement de pointeur non fiable

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 14 octobre 2025
  • Échéance CISA : 4 novembre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-822
  • Gravité : CVSS 7,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 7 %
  • Technologie : Windows

Le pilote Agere Modem de Microsoft Windows contient une vulnérabilité de déréférencement de pointeur non fiable qui permet une élévation de privilèges. un attaquant qui exploiterait avec succès cette vulnérabilité pourrait obtenir des privilèges d'administrateur.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2021-43226 — Microsoft Windows : vulnérabilité d'élévation de privilèges

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 6 octobre 2025
  • Échéance CISA : 27 octobre 2025
  • Rançongiciels : utilisée dans des campagnes connues
  • Gravité : CVSS 7,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 3 %
  • Technologie : Windows

Le pilote de système de fichiers de journal commun de microsoft windows contient une vulnérabilité d'élévation de privilèges qui pourrait permettre à un attaquant local privilégié de contourner certains mécanismes de sécurité.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

CVE-2013-3918 — Microsoft Windows : vulnérabilité d'écriture hors limites

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 6 octobre 2025
  • Échéance CISA : 27 octobre 2025
  • Rançongiciels : pas d’usage connu
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 74 %
  • Technologie : Windows

Microsoft Windows contient une vulnérabilité d'écriture hors limites dans le contrôle ActiveX InformationCardSigninHelper Class, icardie.dll. Un attaquant pourrait exploiter la vulnérabilité en construisant une page web spécialement conçue. Lorsque l'utilisateur consulte la page web, la vulnérabilité pourrait permettre une exécution de code à distance. Un attaquant qui exploite avec succès cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur actuel. Le produit impacté pourrait être en fin de vie (EoL) et/ou en fin de service (EoS). Les utilisateurs doivent cesser d'utiliser le produit.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · docs.microsoft.com

CVE-2011-3402 — Microsoft Windows : exécution de code à distance

  • Produit : Microsoft Windows
  • Ajoutée au catalogue : 6 octobre 2025
  • Échéance CISA : 27 octobre 2025
  • Rançongiciels : pas d’usage connu
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 78 %
  • Technologie : Windows

Le noyau Microsoft Windows contient une vulnérabilité non spécifiée dans le moteur d'analyse de polices TrueType dans win32k.sys dans les pilotes en mode noyau qui permet à des attaquants distants d'exécuter du code arbitraire via des données de police spécialement conçues dans un document Word ou une page web.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · docs.microsoft.com

CVE-2010-3962 — Microsoft Internet Explorer : vulnérabilité de corruption de mémoire non initialisée

  • Produit : Microsoft Internet Explorer
  • Ajoutée au catalogue : 6 octobre 2025
  • Échéance CISA : 27 octobre 2025
  • Rançongiciels : pas d’usage connu
  • Gravité : CVSS 8,1 (élevée)
  • Probabilité d’exploitation (EPSS) : 97 %

Microsoft Internet Explorer contient une vulnérabilité de corruption de mémoire non initialisée qui pourrait permettre une exécution de code à distance. Le produit impacté pourrait être en fin de vie (EoL) et/ou en fin de service (EoS). Les utilisateurs devraient cesser d'utiliser le produit.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · learn.microsoft.com

← Retour au suivi KEV · télécharger tout le catalogue (CSV)