Nous souhaitons attirer votre attention sur une vulnérabilité de sécurité critique dans Microsoft Windows qui représente actuellement un risque aigu pour votre infrastructure informatique. La vulnérabilité avec un score CVSS de 9,8 affecte presque toutes les versions actuelles de Windows et Windows Server – y compris Windows Server 2008 R2 – et permet aux attaquants d’exécuter du code malveillant avec des privilèges système sans interaction utilisateur.
Un correctif immédiat des systèmes affectés est urgent de s’imposer.
Les chercheurs en sécurité informatique rapportent des attaques actives dans lesquelles, entre autres, des sessions web existantes ont été compromises et des authentifications obtenues à l’insu des utilisateurs – ce qui suggère que l’authentification active à facteurs multiples pourrait également être contournée.
Que s’est-il passé ?
Microsoft a identifié et publié une vulnérabilité grave (CVE-2025-47981) dans le protocole d’authentification SPNEGO NEGOEX – une partie importante de l’authentification Windows dans l’environnement de domaine, entre autres. Cette vulnérabilité permet aux attaquants d’exécuter un code arbitraire avec des privilèges système – sans se connecter et sans aucune action utilisateur.
La menace est particulièrement sérieuse car Microsoft la classe comme « vermeable ». Cela signifie que le malware peut se propager automatiquement via les réseaux. Selon Microsoft, un premier abus de cette vulnérabilité est attendu prochainement.
Vulnérabilité signalée
Cette vulnérabilité permet aux attaquants non authentifiés d’exécuter du code avec des privilèges système via des messages RÉSEAU conçus, déclenchant un « débordement de tampon basé sur le tas ». C’est un bug dans la gestion de la mémoire. Lorsqu’ils sont exécutés, les programmes réservent de l’espace dans ce qu’on appelle le tas – une zone mémoire dynamique qui est demandée de manière flexible à l’exécution.
Si plus de détails sont écrits dans cette zone que prévu, les zones mémoire voisines peuvent être manipulées. Cela permet aux attaquants d’injecter et d’exécuter leur propre code malveillant – dans ce cas, même avec les privilèges les plus élevés.
Qu’est-ce qui est affecté ?
Cette vulnérabilité affecte tous les clients Windows à partir de Windows 10 version 1607 car ces versions ont la politique de groupe suivante activée par défaut : « Sécurité réseau : Autoriser les requêtes
Ce réglage par défaut signifie que la surface d’attaque est déjà active sur de nombreux systèmes – même sans configuration spéciale.
Les systèmes dans lesquels NEGOEX est utilisé en combinaison avec les services suivants sont également particulièrement à risque :
Que puis-je faire ?
La vulnérabilité CVE-2025-47981 représente une menace aiguë pour les réseaux basés sur Windows. La combinaison d’une haute criticité, d’une facilité d’exploitation et de la possibilité d’une distribution automatique rend cette vulnérabilité particulièrement dangereuse.
Nous vous recommandons d’agir immédiatement pour prévenir d’éventuels dommages :
Note importante : veuillez noter que bloquer les ports 135, 445 et 5985 peut entraîner les effets suivants :
Voici comment identifier une exploitation potentielle de la vulnérabilité :
