Trois failles graves menacent Microsoft Office sur PC et Mac

Le 12 août, Microsoft a publié des correctifs visant trois vulnérabilités critiques dans Office, identifiées sous les numéros CVE-2025-53731, CVE-2025-53740 et CVE-2025-53730. Ces failles touchent des versions d’Office sur Windows comme sur macOS.

Deux de ces vulnérabilités sont particulièrement dangereuses : elles permettent l’exécution de code malveillant simplement en prévisualisant un document, sans aucun clic ni action de l’utilisateur. Le score de gravité CVSS atteint jusqu’à 8,4 dans certains cas.

Les suites concernées incluent Office 2016, Office 2019, LTSC 2021/2024, ainsi que Microsoft 365, sur toutes les architectures 32 bits et 64 bits. Même les versions Mac LTSC 2021 et 2024 sont impactées.

Comment les attaques fonctionnent ?

Les vulnérabilités CVE-2025-53731 et CVE-2025-53740 sont dues à des erreurs de gestion de mémoire de type use-after-free. Elles permettent à un attaquant d’insérer et d’exécuter du code arbitraire à distance.

Le caractère critique de ces failles réside dans le fait qu’elles peuvent être déclenchées automatiquement dès qu’un document est affiché dans le volet de prévisualisation. L’utilisateur n’a pas besoin d’ouvrir réellement le fichier, ce qui rend ces attaques difficiles à contrer avec des mesures classiques.

Déploiement des correctifs et mesures recommandées

Microsoft a diffusé des correctifs pour toutes les versions concernées :

• Sur Office 2016, le correctif est disponible sous la forme du package KB5002756.

• Pour les autres versions, les mises à jour sont distribuées via le mécanisme Click-to-Run.

Il est vivement conseillé d’installer ces mises à jour sans attendre. Si leur déploiement immédiat n’est pas possible, certaines mesures de précaution peuvent réduire les risques :

1. Désactiver le volet de prévisualisation dans Outlook et dans l’explorateur de fichiers Windows.

2. Restreindre l’accès aux documents provenant de sources non fiables.

Les administrateurs doivent également renforcer la surveillance, analyser les journaux d’événements et rester attentifs à toute activité suspecte le temps que les correctifs soient appliqués.

Portée et impact potentiel

Avec plus de deux milliards d’ordinateurs dans le monde, dont une large majorité sous Windows et une part non négligeable sous macOS, l’exposition potentielle est massive. Ces vulnérabilités représentent donc un risque global, tant pour les particuliers que pour les entreprises.

Réactions et recommandations

• Trois vulnérabilités critiques affectent Microsoft Office et permettent l’exécution de code à distance.

• Elles peuvent être exploitées même sans interaction de l’utilisateur, uniquement via la prévisualisation de documents.

• Microsoft a publié des correctifs le 12 août ; leur installation rapide est indispensable.

• En attendant, il est recommandé de désactiver la prévisualisation et de limiter l’ouverture de fichiers externes.