Microsoft har gitt ut sin november 2025 Patch Tuesday-oppdatering fra Redmond, Washington, og adresserer 63 sikkerhetsfeil på tvers av programvareutvalget.
Oppdateringen, utgitt 11. november, inkluderer rettinger for fem kritiske sårbarheter.
Særligst lapper den en aktivt utnyttet zero-day bug i Windows-kjernen, sporet som CVE-2025-62215. Angripere brukte denne feilen for å få fulle systemprivilegier. Patchene løser også kritiske risikoer for ekstern kjøring av kode i Microsoft Office og GDI+-grafikkkomponenten.
beskytter mot potensielle systemer for oppdateringer av go nettangrep.
Tirsdag oppdatering for november 2025: 63 sårbarheter fikset
Tirsdag inneholdt Microsofts månedlige sikkerhetsoppdatering rettelser for 63 sårbarheter, en betydelig nedgang fra forrige måneds volum.
Denne utgivelsen adresserer og har fem kritiske feilrater. «Viktig».
Med disse siste oppdateringene er det totale antallet Common Vulnerabilities and Exposures (CVE) adressert av Microsoft i 2025 nå på 1084.
Selskapet ga ut totalt 68 rettelser, et antall som inkluderer tidligere oppdateringer for Chromium-baserte Edge-nettleseren som fokuserer på tunge oppdateringer
.
eskalering og inkluderer 29 for Elevation of Privilege, 16 for Remote Code Execution, og 11 for Information Disclosure.
I tillegg retter oppdateringen tre Denial of Service-feil og to for Security Feature Bypass. For IT-team som prioriterer timeplanene sine, har Microsoft også flagget fem «viktige» sårbarheter som «utnyttelse mer sannsynlig».
Zero-Day in the Wild: Windows-kjernefeil aktivt utnyttet
Månedens mest alvorlige trussel ble fremhevet og Microsoft løste en aktiv Windows-sårbarhet
i en aktiv dag.
Sporet som CVE-2025-62215, er feilen en Elevation of Privilege (EoP)-feil. Den lar en autentisert angriper få full tilgang på SYSTEM-nivå til en kompromittert maskin.
Dens rotårsak er en rasetilstand, der feilaktig synkronisering av en delt kjerneressurs kan manipuleres til å ødelegge minnet.
En angriper må vinne dette tidsbaserte kappløpet for å lykkes med å utnytte feilen, noe som kan føre til at en kjernetildeling frigjøres to ganger, noe som fører til heap-korrupsjon.
Selv om Microsoft ikke har detaljert de spesifikke angrepene, bekreftet dets Threat Intelligence Center at sårbarheten ble brukt i naturen før en oppdatering var tilgjengelig, ifølge Microsofts råd. Sikkerhetseksperter advarer ofte om faren for slike feil når de er lenket sammen med andre utnyttelser.
Slike feil kobles ofte sammen med en kodeutførelsesfeil av skadelig programvare for å fullstendig overta et system. Dette gjør oppdatering av CVE-2025-62215 til en toppprioritet for alle Windows-administratorer.
Dissecting the Five Critical Vulnerabilities
Utover den umiddelbare nulldagstrusselen, må administratorer også slite med fem kritiske sårbarheter som kan tillate alvorlige systemkompromitteringer. Hver av dem presenterer en distinkt risikoprofil.
Den høyest rangerte feilen er CVE-2025-60724, en Remote Code Execution-sårbarhet i Windowscom G-sårbarheten DICE+. Den har en CVSS-score på 9,8 av 10.
En angriper kan utnytte dette ved å overbevise en bruker om å åpne et spesiallaget dokument. Mer farlig kan det påvirke nettjenester som analyserer dokumenter som inneholder en ondsinnet metafil, noe som tillater RCE uten brukerinteraksjon.
Vellykket utnyttelse lar en angriper kjøre kode med brukerens rettigheter, som Microsofts bulletin forklarer.
Dette fremhever en ny angrepsoverflate i AI-assisterte utviklingsverktøy. En elevation of Privilege-sårbarhet i DirectX Graphics-kjernen, CVE-2025-60716, kan tillate en lokal angriper å få høyere privilegier i henhold til et Microsoft-dokument, selv om det også krever høyere vilkår i henhold til
å vinne.
Til slutt, CVE-2025-30398 er en sårbarhet for informasjonsavsløring i Nuance PowerScribe 360. Denne feilen kan tillate et sensitivt anrop til et unautent informasjonsangrep og en unautent-sensitiv informasjonsangrep. den rådgivende.
Dataene inkluderer personlig identifiserbar informasjon (PII), tilgjengelig over nettverket. Alle de fem kritiske sårbarhetene understreker den brede angrepsoverflaten som organisasjoner må forsvare.
