TL;DR : lancez Windows Update, c’est tout. Le correctif est là depuis neuf mois. Si votre machine est à jour, cette nouvelle ne vous concerne pas.
L’agence américaine de cybersécurité a mis à jour sa fiche : la CVE-2025-60710 est désormais classée comme utilisée dans des campagnes de rançongiciel (le catalogue de la CISA). Elle y figure depuis le 13 avril 2026, avec une échéance de correction au 27 avril pour les agences fédérales.
Techniquement, il s’agit d’une résolution de lien défaillante dans le Host Process for Windows Tasks, le processus qui exécute les tâches planifiées. Elle est notée 7,8 sur 10, et le NVD la décrit sans détour : un attaquant déjà autorisé sur la machine peut élever ses privilèges localement.
Cette précision change tout. Ce n’est pas une faille qui permet d’entrer chez vous : c’est une faille qui permet de devenir administrateur une fois entré. C’est exactement l’outil dont un rançongiciel a besoin après une pièce jointe ouverte de travers, pour passer d’un compte utilisateur à toute la machine, puis à tout le réseau.
Le correctif, lui, est disponible depuis le 11 novembre 2025. Neuf mois se sont écoulés entre le bouchon et l’utilisation de masse du trou. C’est le délai habituel, et c’est le vrai sujet : les attaquants ne courent pas après les failles inconnues, ils comptent sur les machines qui ne redémarrent jamais.
Paramètres, Windows Update, on installe, on redémarre. Trois minutes, une fois par mois.
