Microsoft a publié des mises à jour de sécurité pour aborder deux défauts critiques sur les pages Bing et Power, dont une qui a fait l’objet d’une exploitation active dans la nature.
Les vulnérabilités sont énumérées ci-dessous –
- CVE-2025-21355 (Score CVSS: 8.6) – Vulnérabilité d’exécution du code distant de Microsoft Bing
- CVE-2025-24989 (Score CVSS: 8.2) – Pages de puissance Microsoft Élévation de la vulnérabilité des privilèges
“L’authentification manquante pour la fonction critique dans Microsoft Bing permet à un attaquant non autorisé d’exécuter du code sur un réseau”, a déclaré le géant de la technologie dans un avis du CVE-2025-21355. Aucune action client n’est requise.
D’un autre côté, CVE-2025-24989 concerne un cas de contrôle d’accès inapproprié en Pages électriquesune plate-forme à faible code pour créer, héberger et gérer des sites Web d’entreprise sécurisés, qu’un attaquant non autorisé pourrait exploiter pour élever les privilèges sur un réseau et contourner le contrôle d’enregistrement des utilisateurs.
Microsoft, qui a crédité son propre employé Raj Kumar pour avoir signalé la vulnérabilité, l’a étiquetée avec une évaluation “d’exploitation détectée”, indiquant qu’il est conscient d’au moins un cas du bug armé dans la nature.
Cela dit, l’avis n’offre aucun détail sur la nature ou l’échelle des attaques, l’identité des acteurs de la menace derrière eux et qui peut avoir été ciblé de cette manière.
“Cette vulnérabilité a déjà été atténuée dans le service et tous les clients concernés ont été informés”, a-t-il ajouté.
“Cette mise à jour a abordé le contournement du contrôle d’enregistrement. Les clients concernés ont reçu des instructions sur la révision de leurs sites pour des méthodes d’étendue et de nettoyage potentielles. Si vous n’avez pas été informé, cette vulnérabilité ne vous affecte pas.”
Le Hacker News a contacté Microsoft pour des commentaires supplémentaires, et nous mettrons à jour l’histoire si nous obtenons une réponse.