Microsoft Hotpatch corrige la défaillance critique du SRAS qui pourrait permettre l'exécution de code à distance sans redémarrer

Microsoft a lancé une mise à jour hors cycle hier pour les équipes Windows 11 Enterprise qui reçoivent les hotpatches au lieu des mises à jour cumulatives habituelles le deuxième mardi de chaque mois. La correction, distribuée comme suit: Numéro de référence, corrige les défaillances dans l'outil de gestion RRAS qui pourraient permettre l'exécution de code à distance si un ordinateur se connecte à un serveur malveillant.

Selon Microsoft, les vulnérabilités résolues sont identifiées comme CVE-2026-25172, CVE-2026-25173 et CVE-2026-26111. Dans les trois cas, l'attaque exige qu'un utilisateur d'un ordinateur attaché au domaine soit trompé pour que la console RRAS établisse une connexion à un serveur contrôlé par l'attaquant, ce qui pourrait entraîner l'exécution de code sur la machine administrative.

Les couvertures de hotpatch KB5084597 Windows 11 installations dans les versions 25H2 et 24H2, ainsi que Windows 11 Enterprise LTSC 2024 systèmes. Microsoft précise que ces corrections faisaient déjà partie des mises à jour de sécurité publiées dans le Mars Patch mardi, mais ont été rééditées en format hotpatch assurer la couverture dans les scénarios où un redémarrage prévu n'est pas viable comme dans l'équipement qui soutient les services essentiels et doit rester en exploitation continue.

La différence clé entre une mise à jour cumulative normale et un hotpatch est son mode d'application. Bien que les accumulations nécessitent habituellement de redémarrer le système de sorte que les fichiers de disque soient mis à jour et que les processus soient réintroduits, les hotpatches appliquent des changements de mémoire pour atténuer les vulnérabilités sans interrompre les services d'exécution et, en même temps, mettent à jour les fichiers de disque de sorte que la correction persiste après le prochain départ. Microsoft explique ce mécanisme et sa gestion au sein de Windows Autopatch dans sa documentation dédiée à mises à jour hotpatch.

Il est important de souligner que ce hotpatch sera offert seul un appareil enregistré dans le programme Hotpatch et géré par Windows Autopatch; dans ces équipements, la mise à jour est installée automatiquement et sans demande de redémarrage. Pour le reste des environnements, la protection contre ces défaillances continue d'être l'installation de mises à jour cumulatives publiées en mars et, si elles ne sont pas gérées par Autopatch, planifier le redémarrage nécessaire pour terminer la réparation.

Du point de vue pratique et sécuritaire, il y a plusieurs conclusions et étapes que tout gestionnaire d'infrastructure devrait prendre en considération. Tout d'abord, vérifiez quelles machines de l'organisation sont enregistrées dans Windows Autopatch et, sinon, prioriser l'installation de mises à jour cumulatives et programmer le redémarrage dans les fenêtres de maintenance. Deuxièmement, limiter l'utilisation des consoles administratives et empêcher les équipements de gestion de se connecter à des serveurs peu fiables; le risque décrit dépend précisément de l'outil RRAS connecté à une fin malveillante. Troisièmement, examiner les politiques de segmentation du réseau et d'accès afin de réduire l'exposition des stations administratives aux serveurs externes non vérifiés.

Microsoft a déjà indiqué qu'il avait publié des précédents hotfixs pour ces échecs et que la version distribuée vise maintenant à combler les lacunes dans tous les scénarios concernés;. Néanmoins, les gestionnaires devraient lire les pages d'entrée technique et de vulnérabilité de KB pour comprendre la portée exacte et confirmer les mesures à prendre dans leur environnement. La note de support hotpatch est disponible sur la page Microsoft mentionnée ci-dessus, et les entrées détaillées de chaque CVE peuvent être trouvées dans le catalogue de sécurité Microsoft: Centre de réponse de sécurité de Microsoft.

Si vous gérez des équipements qui ne font pas partie du programme Hotpatch et ne permettent pas de redémarrer fréquemment, il est approprié de planifier une stratégie d'atténuation supplémentaire : restreindre l'administration à distance par des réseaux contrôlés, utiliser des stations de gestion dédiées avec le logiciel minimum installé, et appliquer des contrôles d'accès qui réduisent la probabilité qu'un utilisateur authentifié soit amené à établir des connexions avec des serveurs malveillants.

En bref, l'émergence de KB5084597 rappelle deux idées simples mais pertinentes: la première, que les outils de gestion à distance peuvent devenir vecteurs d'attaque si les connexions qu'ils créent ne sont pas contrôlées; la seconde, que les technologies telles que hotpatch cherchent à compenser les limites opérationnelles des environnements critiques, permettant de corriger les vulnérabilités sans redémarrage immédiat. Pour plus d'informations et pour télécharger la mise à jour s'il y a lieu, veuillez vous référer à la note d'assistance Microsoft et aux pages du CVE auxquelles nous nous référons ci-dessus.