La faille Windows Task Host CVE-2025-60710 devient une arme de ransomware au catalogue KEV de la CISA
La CISA a mis à jour son catalogue KEV pour signaler que la faille d’élévation de privilèges Windows Task Host CVE-2025-60710, corrigée en novembre 2025, est désormais exploitée par des gangs ransomware. Les organisations doivent traiter les correctifs d’élévation de privilèges avec la même urgence que les RCE : c’est le chaînon qui transforme un accès limité en contrôle total.
Novembre 2025. Microsoft corrige la CVE-2025-60710, une faille d’élévation de privilèges dans Windows Task Host, composant central de Windows 11 et Windows Server 2025. 13 avril 2026. La CISA l’inscrit au catalogue KEV des vulnérabilités activement exploitées. 14 août 2026. L’agence met à jour la fiche pour signaler que des gangs ransomware exploitent désormais la faille.
L’événement est moins spectaculaire qu’une exécution de code à distance, et c’est précisément pour cela qu’il est dangereux : une élévation de privilèges locale passe souvent au second plan des priorités de patch, alors qu’elle est le chaînon qui transforme un accès utilisateur banal en contrôle SYSTEM.
Ce qu’est Task Host et ce que permet la faille
Task Host (taskhostw.exe) est un composant système qui permet à des processus basés sur des DLL de s’exécuter en arrière-plan, et qui évite la corruption de données en s’assurant qu’ils se referment proprement à l’arrêt du système. C’est une brique de base de Windows, présente sur toutes les machines.
La CVE-2025-60710 est classée comme une faiblesse de suivi de lien (link following, CWE-59). Concrètement, le composant suit un lien sans en valider la cible, ce qu’un attaquant peut exploiter pour faire pointer l’opération vers un fichier de son choix.
Le résultat tient en une phrase : un attaquant local disposant de simples permissions utilisateur peut obtenir les privilèges SYSTEM et prendre le contrôle total de la machine non corrigée. C’est une élévation de privilèges locale — il faut déjà un pied sur la machine — mais c’est exactement le type de primitive que les opérateurs ransomware enchaînent après un premier accès par hameçonnage ou par un logiciel vulnérable exposé.
La chronologie d’une faille qui ne meurt pas
La trajectoire de la CVE-2025-60710 illustre le cycle de vie d’une vulnérabilité sous-exploitée :
- Novembre 2025. Microsoft publie le correctif et documente la faille dans son bulletin MSRC.
- 13 avril 2026. La CISA ajoute la faille au catalogue KEV, signalant une exploitation active confirmée, et donne aux agences fédérales civiles (FCEB) deux semaines pour corriger.
- 14 août 2026. La CISA met à jour la fiche : la faille est désormais exploitée par des gangs ransomware.
L’agence n’a pas encore partagé de détail sur les campagnes en cours, et Microsoft n’a pas mis à jour son bulletin pour confirmer l’exploitation à grande échelle. Mais le passage du statut « activement exploitée » au statut « exploitée par des gangs ransomware » est un signal de gravité à part entière.
Il s’inscrit dans une série. Une semaine plus tôt, la CISA alertait déjà sur l’exploitation par des ransomwares d’une faille RCE de Microsoft SharePoint (CVE-2026-45659). Le tableau d’ensemble est limpide : les groupes extorsionnistes ne se contentent plus de cibler des failles de bureau à distance, ils intègrent les élévations de privilèges dans leurs chaînes d’attaque.
L’élévation de privilèges, chaînon oublié du ransomware
Le chiffre que la CISA met en avant est le plus parlant : depuis novembre 2021, l’agence a recensé 383 vulnérabilités activement exploitées dans des produits Microsoft, dont 112 ont également servi dans des attaques par ransomware. Près d’une sur trois.
Pourquoi ce ratio compte ? Parce qu’un ransomware ne tombe pas du ciel. La chaîne classique combine un accès initial — identifiants volés, hameçonnage, service exposé — puis une élévation de privilèges pour sortir du compte utilisateur, une propagation latérale, et enfin le chiffrement et l’extorsion. Chaque maillon est une occasion de détecter et d’arrêter l’attaque ; l’élévation de privilèges est celui qui débloque tous les suivants.
Une faille comme la CVE-2025-60710 est donc un multiplicateur de gravité : prise isolément, elle exige un accès local ; combinée à un accès initial, elle livre la machine entière. C’est la raison pour laquelle la CISA la traite avec la même urgence qu’une RCE — et pourquoi les équipes qui trient leurs correctifs par score CVSS brut risquent de la rater : une élévation de privilèges locale « moyenne » en sévérité peut être décisive dans le contexte d’une chaîne d’attaque complète.
Ce que dit la CISA et ce qu’il faut faire
La recommandation de l’agence est directe : « appliquez les correctifs conformément aux instructions de l’éditeur, suivez la directive BOD 22-01 pour les services cloud, ou cessez d’utiliser le produit si aucune atténuation n’est disponible. » Elle ajoute que ce type de vulnérabilité est un « vecteur d’attaque fréquent pour les acteurs malveillants ».
La traduction opérationnelle est simple :
- Prioriser le correctif de novembre 2025 sur Windows 11 et Windows Server 2025 s’il n’est pas déjà déployé — la faille est activement exploitée, y compris par des ransomwares ;
- Corréler les journaux : une élévation de privilèges réussie se voit dans les événements de sécurité liés aux changements de contexte d’exécution ;
- Traiter l’élévation de privilèges comme un signal de première classe dans votre matrice de risque, au lieu de la reléguer derrière les RCE ;
- Vérifier l’exposition des machines Windows Server 2025 en particulier, souvent déployées sans la même cadence de patch que les postes.
Pourquoi ce correctif passe souvent à la trappe
La CVE-2025-60710 illustre un biais de priorisation courant. Une élévation de privilèges locale exige, pour être exploitée, qu’un attaquant ait déjà un accès au système — ce que les équipes traduisent souvent par « moins urgent qu’une RCE ». Or c’est précisément le chaînon que les ransomwares recherchent une fois le premier accès obtenu, et la CISA le signale désormais explicitement.
Le vecteur technique joue aussi. Une faiblesse de suivi de lien (CWE-59) ne laisse pas de signature spectaculaire : le composant Task Host suit un lien vers une cible choisie par l’attaquant, et l’opération ressemble à du fonctionnement normal. Sans corrélation des journaux — changements de contexte d’exécution, processus lancés par SYSTEM depuis un compte utilisateur — l’exploitation passe inaperçue.
Le périmètre compte enfin. La faille touche Windows 11 et Windows Server 2025, deux systèmes encore largement en phase de déploiement, où les politiques de correctifs sont parfois moins mûres que sur des versions plus anciennes et mieux rodées. Un serveur 2025 fraîchement installé sans le correctif de novembre 2025 est une cible de choix pour un opérateur ransomware qui cherche à transformer un compte de service en SYSTEM.
Verdict
Si vous gérez un parc Windows 11 ou Windows Server 2025, vérifiez dès aujourd’hui que le correctif de la CVE-2025-60710 est appliqué : une faille exploitée par des ransomwares ne laisse pas le temps d’attendre la prochaine fenêtre de maintenance.
Si vous priorisez vos correctifs par score CVSS, ajoutez une règle : toute vulnérabilité présente au catalogue KEV — et a fortiori marquée « ransomware » — passe en tête de file, quel que soit son score. Le KEV reflète l’exploitation réelle, pas la théorie.
Le signal de fond : les gangs ransomware industrialisent l’élévation de privilèges. La faille de Task Host n’est pas la plus médiatique de l’année, mais elle est le genre de maillon discret sur lequel une chaîne d’extorsion entière peut s’appuyer.
Références
- BleepingComputer — CISA: Windows Task Host flaw now exploited by ransomware gangs, 18 août 2026
- NVD — CVE-2025-60710 Detail, consulté le 18 août 2026
- Microsoft Security Response Center — CVE-2025-60710, consulté le 18 août 2026
- CISA — Known Exploited Vulnerabilities Catalog, consulté le 18 août 2026
- CISA — CISA Adds Seven Known Exploited Vulnerabilities to Catalog, 13 avril 2026