L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a confirmé que des gangs de rançongiciels exploitent la vulnérabilité de sécurité CVE-2025-60710 dans le composant Windows Task Host. L’agence avait ajouté la vulnérabilité à son catalogue des vulnérabilités connues pour être exploitées dans la nature le 13 avril, avant de mettre à nouveau sa liste à jour vendredi afin d’indiquer explicitement son association à des attaques menées par des gangs de rançongiciels.
La vulnérabilité affecte les appareils fonctionnant sous Windows 11 et Windows Server 2025 et résulte d’une faiblesse dans le mécanisme de suivi des liens. Microsoft a corrigé le problème dans les mises à jour de sécurité publiées en novembre 2025. Selon la description de la vulnérabilité, un attaquant local disposant de privilèges utilisateur de base peut l’exploiter pour élever ses privilèges au niveau SYSTEM, ce qui lui confère un contrôle total sur l’appareil non mis à jour.
Quel est le rôle de Windows Task Host ?
Task Host est un composant essentiel de Windows. Il permet d’exécuter en arrière-plan des processus reposant sur des fichiers DLL et aide également le système à les fermer correctement lors de l’arrêt, afin de réduire les risques de corruption des données. Comme l’exploitation de la faille nécessite que l’attaquant soit présent localement avec un compte aux privilèges limités, elle ne constitue pas nécessairement le premier point d’entrée dans le réseau, mais peut offrir une étape décisive d’élévation de privilèges après que l’attaquant a accédé à un appareil.
Qu’est-ce qui change concrètement ?
La CISA n’a publié aucun détail sur les attaques en cours ni sur les acteurs ayant exploité CVE-2025-60710. Microsoft n’avait pas non plus mis à jour son bulletin de sécurité au moment de la publication de l’article afin de confirmer l’exploitation dans des attaques réelles. Néanmoins, l’ajout de la vulnérabilité au catalogue des vulnérabilités connues et exploitées, puis l’identification de son utilisation par des gangs de rançongiciels, accroît la priorité de l’application des mises à jour pour les organisations qui utilisent encore des versions non corrigées.
Microsoft a déclaré que la vulnérabilité avait été corrigée dans la mise à jour de novembre 2025 et que les clients ayant installé cette mise à jour étaient protégés et n’avaient aucune mesure supplémentaire à prendre. La CISA a, quant à elle, appelé les organisations à appliquer les mesures correctives conformément aux instructions de l’entreprise et à respecter les directives de la directive opérationnelle contraignante BOD 22-01 relatives aux services cloud, ou à cesser d’utiliser le produit s’il est impossible de mettre en place des mesures d’atténuation appropriées.
Un contexte plus large d’exploitation des produits Microsoft
L’avertissement intervient une semaine après l’annonce par la CISA que des gangs de rançongiciels avaient commencé à exploiter une vulnérabilité permettant l’exécution de code à distance dans Microsoft SharePoint, identifiée par le numéro CVE-2026-45659, après la confirmation de son exploitation effective au début du mois de juillet. Depuis novembre 2021, l’agence a ajouté à son catalogue 383 vulnérabilités exploitées dans la nature affectant des produits Microsoft, dont 112 ont également été utilisées dans des attaques de rançongiciels.
Cela signifie que le traitement de CVE-2025-60710 ne doit pas être considéré comme une mesure isolée du programme de gestion des vulnérabilités. La priorité pratique consiste à vérifier l’installation de la mise à jour de novembre 2025 sur les appareils Windows 11 et Windows Server 2025, puis à rechercher la présence d’indicateurs de compromission ou de comptes locaux inattendus sur les systèmes restés non mis à jour. L’article n’a fourni aucun détail supplémentaire sur les indicateurs de compromission ni sur les méthodes d’attaque utilisées.