Une faille Windows corrigée par Microsoft en novembre 2025 est aujourd’hui signalée comme utilisée par des gangs de rançongiciels. Entre ces deux dates, tout organisme qui n’avait pas appliqué la mise à jour est resté exposé. Ce guide explique comment lire le catalogue des vulnérabilités exploitées de la CISA et en tirer une liste de priorités réaliste, même sans équipe informatique dédiée.
Le problème : trop de failles, peu de temps
Chaque mois, les éditeurs publient des dizaines de correctifs. Une petite structure ne peut pas tout appliquer le jour même. La question utile n’est donc pas « quelles failles existent ? » mais « lesquelles sont déjà utilisées par des attaquants ? ».
Trois indicateurs, trois questions
- CVSS mesure la gravité théorique d’une faille (de 0 à 10). Il ne dit pas si quelqu’un l’exploite.
- EPSS, maintenu par le FIRST, estime la probabilité qu’une faille soit exploitée dans les 30 jours (de 0 à 100 %), recalculée chaque jour. C’est une prévision, identique pour toutes les organisations.
- KEV (Known Exploited Vulnerabilities), le catalogue de la CISA américaine, répond à une question plus simple : la faille est-elle déjà exploitée ? Elle n’y entre que sur la base d’une exploitation constatée. Une colonne indique en outre si un usage par des rançongiciels est connu.
Pour décider quoi corriger d’abord, KEV est le signal le plus net : une faille qui y figure n’est plus un risque théorique. Le catalogue est public, et la CISA recommande aux organisations privées de s’en servir pour prioriser leurs correctifs (directive BOD 22-01).
Précision utile : les délais de correction du catalogue s’imposent aux agences fédérales américaines. Ils ne s’appliquent pas au Cameroun ; ils servent ici de repère.
Deux cas suivis dans le temps
1. Windows (CVE-2025-60710). Faille d’élévation de privilèges, dite « Task Host » dans la presse spécialisée : un utilisateur local aux droits limités peut obtenir les droits les plus élevés sur la machine. Microsoft l’a corrigée dans sa mise à jour du 11 novembre 2025. La CISA l’a ajoutée au catalogue KEV le 13 avril 2026, puis, à la mi-août 2026, l’a marquée comme utilisée dans des campagnes de rançongiciels. Selon la presse spécialisée, Windows 11 et Windows Server 2025 sont principalement concernés ; la CISA n’a pas détaillé les attaques.
2. Microsoft Defender « BlueHammer » (CVE-2026-33825). Autre élévation de privilèges locale. Divulguée début avril 2026, exploitée à partir du 10 avril selon les chercheurs de Huntress, corrigée par Microsoft en avril et ajoutée au catalogue KEV le 22 avril 2026. Fin juin 2026, la CISA l’a marquée à son tour comme utilisée par des rançongiciels.
Ce que ces deux cas montrent. Dans les deux cas, le correctif existait des mois avant l’usage par des rançongiciels. Ces failles exigent un accès local préalable : elles ne sont pas la porte d’entrée, mais elles permettent à un intrus déjà dans le réseau de prendre le contrôle complet de la machine. C’est l’étape d’« élévation de privilèges » de l’enchaînement décrit par l’ANTIC au forum de Yaoundé (voir notre article du 6 octobre).
Une routine de 30 minutes par semaine
- Lister vos systèmes : versions de Windows, routeurs, VPN, serveurs web, CMS. Sans inventaire, pas de priorité.
- Consulter le catalogue KEV (ou s’abonner à ses alertes) et repérer les produits de votre liste.
- Lire les bulletins du CIRT-CM, qui relaient les failles critiques pertinentes localement (voir notre article du 29 septembre).
- Corriger d’abord ce qui cumule : présent dans le KEV + exposé à Internet. Puis ce qui est dans le KEV mais interne.
- Noter ce que vous ne pouvez pas corriger (équipement ancien, éditeur disparu) et l’isoler du reste du réseau.
- Signaler tout comportement suspect au 8202, numéro vert de l’ANTIC, sans redémarrer la machine.
Ce que cette méthode ne fait pas
KEV ne liste que des exploitations constatées et rapportées : une faille absente du catalogue peut être exploitée sans que personne ne l’ait signalé. Le catalogue est centré sur des produits courants dans le monde ; un logiciel local ou rare n’y figurera pas. Il reste utile comme premier filtre, pas comme garantie.
Ce que nous ne savons pas
L’Observatoire n’a pas de donnée publique sur le nombre d’organisations camerounaises exposées à ces deux failles, ni sur un incident local qui leur serait attribué. Cet article décrit un risque documenté à l’international, pas un impact constaté au Cameroun.
Vous avez été touché par un incident ? Signalez-le à l’ANTIC (8202) ou écrivez-nous : mon@obs-cc.org.
Sources
- CISA — Known Exploited Vulnerabilities Catalog (fiches CVE-2025-60710, ajout 13/04/2026, et CVE-2026-33825, ajout 22/04/2026 ; usage par rançongiciels : « Known » ; données consultées le 27/10/2026)
- SC World — CISA confirms 2025 Windows Task Host flaw exploited by ransomware groups · BleepingComputer
- Security Affairs — CISA warns BlueHammer flaw is now exploited in ransomware attacks (01/07/2026) · BleepingComputer
- CISA — BOD 22-01, Reducing the Significant Risk of Known Exploited Vulnerabilities
- FIRST — Exploit Prediction Scoring System (EPSS)