Qu'est-ce que Patch Tuesday ?
Le Patch Tuesday tombe le deuxième mardi de chaque mois, et c'est ce jour-là que Microsoft publie les mises à jour de sécurité et non liées à la sécurité pour son système d'exploitation et d'autres applications connexes.
Comme Microsoft a maintenu ce processus de publication périodique des mises à jour, les administrateurs IT sont bien informés et ont le temps de se préparer aux nouvelles mises à jour.
Pourquoi Patch Tuesday est-il important ?
Les mises à jour de sécurité les plus importantes et les correctifs pour corriger les bogues ou les vulnérabilités critiques sont publiés lors du Patch Tuesday. Habituellement, les vulnérabilités de type "zero-day" sont également corrigées lors du Patch Tuesday, sauf si la vulnérabilité est critique et fortement exploitée, auquel cas une mise à jour de sécurité hors bande est publiée pour corriger cette vulnérabilité particulière.
Répartition des mises à jour du Patch Tuesday de août
Des mises à jour de sécurité ont été publiées pour les gammes de produits suivantes :
-
Microsoft Windows
-
Microsoft Edge (EdgeHTML-based)
-
Microsoft Edge (Chromium-based)
-
Microsoft ChakraCore
-
Internet Explorer
-
Microsoft Scripting Engine
-
SQL Server
-
Microsoft JET Database Engine
-
.NET Framework
-
ASP.NET Core
-
Microsoft Office et Microsoft Office Services et Web Apps
-
Microsoft Windows Codecs Library
-
Microsoft Dynamics
Vulnérabilités majeures et révélations publiques
Microsoft a corrigé deux vulnérabilités de type "zero-day", qui sont toutes deux activement exploitées et utilisées dans des attaques. Les ID CVE sont CVE-2020-1380 et CVE-2020-1464.
CVE-2020-1380 est une vulnérabilité d'exécution de code à distance due à la corruption de la mémoire du moteur de script. Cette vulnérabilité est activement exploitée dans le cadre de campagnes de phishing.
L'autre vulnérabilité divulguée publiquement est le CVE-2020-1464. Il s'agit d'une vulnérabilité de type "spoofing" de Windows qui permet aux pirates de contourner les dispositifs de sécurité.
Mises à jour critiques et remarquables
Ce Patch Tuesday comprend 17 mises à jour critiques et 103 mises à jour importantes. Microsoft a également publié une mise à jour de la pile de maintenance pour Windows 10.
Il est recommandé de classer les vulnérabilités critiques par ordre de priorité et de les corriger en premier, suivies des autres correctifs importants.
Mises à jour non liées à la sécurité
Microsoft a publié des mises à jour cumulatives pour Windows 10 qui comprennent les mises à jour non liées à la sécurité KB4566782 et KB4565351.
Mises à jour d'Adobe et de Chrome
Adobe a publié aujourd'hui des mises à jour de sécurité pour Acrobat et Reader. Google Chrome a également eu une mise à jour de canal stable, 84.0.4147.125, avec 15 corrections de sécurité.
Meilleures pratiques pour la gestion des correctifs dans le scénario actuel de travail à distance
Dans le contexte de la COVID-19, la plupart des entreprises ont opté pour un passage complet au travail à distance. Cette décision pose divers défis aux administrateurs IT, notamment en termes de gestion et de sécurisation des terminaux. Voici quelques conseils pour faciliter le processus de correctifs à distance.
-
Désactivez les mises à jour automatiques, car un seul patch défectueux pourrait faire tomber tout le système. Les administrateurs IT peuvent apprendre aux utilisateurs finaux comment désactiver les mises à jour automatiques sur leurs machines. Patch Manager Plus et Desktop Central disposent également d'un correctif dédié, 105427, qui peut être déployé sur les terminaux pour garantir la désactivation des mises à jour automatiques.
-
Créez un point de restauration, une sauvegarde ou une image qui capture l'état des machines, avant de déployer de grosses mises à jour comme celles de Patch Tuesday.
-
Établissez un calendrier de mise à jour et tenir les utilisateurs finaux informés de son déroulement. Il est recommandé de fixer un délai pour le déploiement des correctifs et le redémarrage des systèmes. Faites savoir aux utilisateurs finaux ce qui doit être fait de leur côté, par exemple qu'ils doivent se connecter au VPN pendant trois heures de 18 à 21 heures.
-
Testez les correctifs sur un groupe de systèmes pilotes avant de les déployer dans l'environnement de production. Cela permettra de s'assurer que les correctifs n'interfèrent pas avec le fonctionnement d'autres applications.
-
Comme la plupart des utilisateurs travaillent à distance, il se peut qu'ils ne respectent pas des horaires stricts ; par conséquent, permettez aux utilisateurs finaux de différer le déploiement et les redémarrages prévus. Cela leur donnera la liberté d'installer les mises à jour à leur convenance, sans perturber leur travail. Nos solutions de gestion des correctifs sont fournis avec des options de déploiement et de redémarrage définies par l'utilisateur.
-
La plupart des entreprises utilisent un réseau privé virtuel (VPN). Pour éviter que les tâches de correctifs n'absorbent la bande passante de votre VPN, installez d'abord les mises à jour critiques et de sécurité. Il est préférable de ne pas déployer les "feature packs" et les mises à jour cumulées, car ce sont des mises à jour volumineuses qui consomment trop de bande passante.
-
Programmez les mises à jour non liées à la sécurité, ainsi que les mises à jour de sécurité qui ne sont pas classées comme critiques, à déployer après le Patch Tuesday, par exemple au cours de la troisième ou quatrième semaine du mois. Vous pouvez également choisir de refuser certaines mises à jour si vous estimez qu'elles ne sont pas nécessaires dans votre environnement.
-
Exécutez des rapports de correctifs pour obtenir une vue détaillée de l'état de santé de vos terminaux.
Avec Desktop Central ou Patch Manager Plus, vous pouvez automatiser entièrement le processus de gestion des correctifs, depuis le test des correctifs jusqu'à leur déploiement. Vous pouvez également adapter les tâches de patchs en fonction de votre situation actuelle. Pour une expérience pratique avec l'une ou l'autre de ces solutions, lancez un essai gratuit de 30 jours et maintenez des milliers d'applications corrigées et sécurisées.