Le Patch Tuesday d'octobre de Microsoft est décrit comme la plus grande mise à jour de sécurité jamais publiée par l'entreprise. Selon Dark Reading, cette version inclut quelques surprises indésirables : des vulnérabilités zero-day, des contournements de sécurité et des failles d'exécution de code à distance (RCE) non authentifiées. Si vous utilisez Windows à la maison ou gérez des machines au travail, c'est une mise à jour à installer rapidement.
Ce guide explique ce que ces termes signifient, pourquoi ils importent, et comment vous protéger.
Ce que contient la mise à jour du Patch Tuesday d'octobre
Le rapport source met en évidence deux catégories de préoccupation : les contournements de sécurité et les RCE non authentifiées. Les rapports d'autres médias couvrant la même version chiffrent le total à 172 failles. Ces médias ne s'accordent pas sur le nombre de zero-days que contient la mise à jour ni sur combien sont confirmés comme exploités. Des décomptes de quatre et six zero-days apparaissent tous les deux, et certains résumés indiquent que deux sont activement exploités. Les méthodes de comptage diffèrent entre les publications, alors consultez le guide des mises à jour de sécurité de Microsoft pour obtenir la liste faisant autorité pour vos systèmes.
La version coïncide également avec la fin du support de Windows 10, selon la couverture de la mise à jour. Cela fait de ce mois un mois notable pour quiconque utilise encore cette version.
Voici ce que signifient les termes clés :
- Zero-day : une vulnérabilité qui est publiquement connue ou exploitée avant qu'un correctif ne soit disponible. Les défenseurs n'ont eu aucune longueur d'avance.
- Contournement de sécurité : une faille qui permet à un attaquant de contourner une protection censée l'arrêter, comme une safeguard destinée à bloquer du code ou un accès non fiable.
- RCE non authentifiée : une faille qui permet à un attaquant d'exécuter du code sur un système cible sans se connecter au préalable. C'est l'un des types de bugs les plus graves car aucun mot de passe volé n'est nécessaire.
Pourquoi les systèmes non corrigés sont risqués
Une fois qu'une mise à jour est publiée par Microsoft, les attaquants peuvent l'étudier pour déterminer ce qui a été corrigé. Cela leur donne une feuille de route pour cibler les machines qui n'ont pas encore été mises à jour. L'écart entre la publication d'un correctif et votre date d'installation est la période où les systèmes sont les plus exposés.
Les RCE non authentifiées méritent une attention particulière. Selon la façon dont un composant vulnérable est accessible, un attaquant peut ne pas avoir besoin de tromper un utilisateur pour qu'il fasse quoi que ce soit. Les contournements de sécurité sont également dangereux en combinaison : un attaquant peut enchaîner un contournement avec une autre faille pour transformer un point d'appui mineur en contrôle total d'une machine.
Une mise à jour de cette ampleur a aussi une conséquence pratique. Avec autant de correctifs dans une seule version, le coût de ne pas l'installer est plus élevé que d'habitude, car un seul cycle manqué laisse de nombreuses failles ouvertes en même temps.
Comment installer les mises à jour du Patch Tuesday d'octobre
Pour la plupart des utilisateurs à domicile, le processus est rapide :
- Ouvrez Paramètres et allez dans Windows Update.
- Sélectionnez Rechercher des mises à jour.
- Téléchargez et installez tout ce qui est proposé, puis redémarrez lorsque vous y êtes invité. De nombreux correctifs ne prennent effet qu'après un redémarrage.
- Revenez ensuite dans Windows Update et confirmez qu'il indique que vous êtes à jour.
Pour vous assurer de ne pas prendre de retard dans les mois à venir, activez les mises à jour automatiques. Dans Windows Update, assurez-vous que les mises à jour ne sont pas suspendues, et envisagez d'activer l'option permettant d'obtenir les dernières mises à jour dès qu'elles sont disponibles. Définissez vos heures actives pour que les redémarrages aient lieu lorsque vous ne travaillez pas.
Si vous gérez plusieurs machines, testez la mise à jour sur un petit groupe d'abord, puis déployez-la rapidement. Donnez la priorité aux serveurs exposés à Internet et à tout système qui traite des données sensibles, car les RCE non authentifiées sont plus dangereuses là où les attaquants peuvent atteindre le système à distance.
Si vous utilisez encore Windows 10, vérifiez si votre appareil est éligible à la mise à niveau vers Windows 11 ou à toute option de mise à jour de sécurité étendue proposée par Microsoft. Utiliser un système d'exploitation non pris en charge signifie que les futures vulnérabilités pourraient ne pas être corrigées.
Ce que cela signifie pour vous
Vous n'avez pas besoin de paniquer, mais vous ne devez pas attendre. Le risque pratique dépend de votre configuration :
- Utilisateurs à domicile : Installez la mise à jour cette semaine et redémarrez. Les mises à jour automatiques géreront la plupart de ces aspects, mais confirmez qu'elles ont bien eu lieu.
- Travailleurs à distance : Les ordinateurs portables professionnels se trouvent souvent sur des réseaux domestiques et manquent parfois des mises à jour. Vérifiez que le vôtre est à jour.
- Petites entreprises : Dressez une liste de chaque machine Windows, y compris les anciennes dans un bureau annexe, et confirmez que chacune a reçu la mise à jour.
- Utilisateurs de Windows 10 : Planifiez votre trajectoire dès maintenant, car la fin du support modifie votre risque à long terme.
Un VPN ne remplace pas la correction des vulnérabilités. Il chiffre votre trafic, mais il ne corrige pas une vulnérabilité dans votre système d'exploitation. La correction et un VPN répondent à des problèmes différents, et vous avez besoin du correctif quoi qu'il arrive.
Points clés à retenir
La version du Patch Tuesday d'octobre est volumineuse, et elle inclut des zero-days, des contournements de sécurité et des RCE non authentifiées. Les étapes qui comptent sont simples :
- Ouvrez Windows Update, installez tout ce qui est disponible, et redémarrez.
- Vérifiez que votre système indique qu'il est à jour.
- Activez les mises à jour automatiques pour être couvert le mois prochain.
- Consultez le guide des mises à jour de sécurité de Microsoft pour connaître les vulnérabilités exactes qui concernent vos logiciels.
- Si vous utilisez Windows 10, décidez d'un plan de mise à niveau ou de support étendu.
Prendre quelques minutes pour appliquer cette mise à jour du Patch Tuesday d'octobre comble les failles que les attaquants sont les plus susceptibles d'essayer en premier. Faites-le aujourd'hui, et laissez les mises à jour automatiques s'occuper du reste.
