Microsoft je objavio ažuriranja u sklopu Patch Tuesday za jul 2025, otklanjajući ukupno 130 Microsoftovih Common Vulnerabilities and Exposures (CVE) i ponovno objavljujući 10 CVE-ova koji nijesu povezani sa Microsoftom.
Ovo ažuriranje pokriva širok spektar proizvoda i usluga, uključujući Windows, Microsoft Office, SQL Server, Microsoft Edge (zasnovan na Chromiumu) i Visual Studio, između ostalih. U ovom izdanju su uključene kritične i važne ranjivosti, od kojih nekoliko omogućava daljinsko izvršavanje koda (RCE). Važno je napomenuti da u ovom ažuriranju nisu prijavljene nulte-dnevne ranjivosti niti ranjivosti koje se aktivno iskorištavaju.
Među kritičnim ranjivostima ističu se:
* CVE-2025-47981 (Windows SPNEGO Extended Negotiation, CVSS 9.8): Ova ranjivost omogućava napadačima da ostvare značajne uticaje na povjerljivost, integritet i dostupnost preko mreže bez interakcije korisnika, što je čini visoko prioritetnim ciljem za zakrpljivanje.
* CVE-2025-49717 (SQL Server, CVSS 8.5): Ova ranjivost bi mogla omogućiti napadačima daljinsko izvršavanje koda sa značajnim uticajem na pogođene sisteme.
Važne ranjivosti obuhvataju razne Microsoft proizvode i usluge, kao što su Windows Kernel, Remote Desktop Client, Microsoft Office, Windows BitLocker i Windows Routing and Remote Access Service (RRAS). Većina njih ima CVSS rezultate u rasponu od 5.5 do 8.8, ukazujući na umjerenu do visoku ozbiljnost.
Značajan broj ranjivosti, tačnije 41 CVE, potencijalno može dovesti do daljinskog izvršavanja koda, dozvoljavajući napadačima da pokrenu proizvoljni kod na pogođenim sistemima. Ključni primjeri uključuju:
* CVE-2025-47981 (Windows SPNEGO Extended Negotiation, CVSS 9.8): Kritična RCE ranjivost koja se može iskoristiti preko mreže bez interakcije korisnika.
* CVE-2025-47998, CVE-2025-49657, CVE-2025-49663, CVE-2025-49668, CVE-2025–49674, CVE-2025-49676, CVE-2025-49729, CVE-2025-49753 (Windows RRAS, CVSS 8.8): Ove ranjivosti zahtijevaju interakciju korisnika, ali predstavljaju značajne rizike zbog mrežnog vektora napada.
* CVE-2025-49687 (Microsoft Input Method Editor, CVSS 8.8): Ova lokalna RCE ranjivost pogađa sisteme sa specifičnim konfiguracijama.
* CVE-2025-49701, CVE-2025-49704 (Microsoft Office SharePoint, CVSS 8.8): Ove ranjivosti bi mogle omogućiti napadačima sa niskim privilegijama da daljinski izvrše kod.
Microsoft je potvrdio da nijedna od ranjivosti u ovom ažuriranju nije aktivno eksploatisana niti klasifikovana kao nulta-dnevna. Kolona “Exploitation Status” za sve CVE-ove navodi “Exploitation Unlikely” ili “Exploitation Less Likely”, što ukazuje na odsustvo poznate aktivne eksploatacije u trenutku objave.
Ranjivosti pogađaju širok spektar Microsoftovih proizvoda, uključujući:
* Komponente Windowsa: Windows Kernel, Windows BitLocker, Windows SSDP Service, Windows Hyper-V i Windows Routing and Remote Access Service (RRAS).
* Microsoft Office Suite: Ranjivosti u Excelu, Wordu, PowerPointu i SharePointu, od kojih nekoliko omogućava RCE ili eskalaciju privilegija.
* Cloud i Enterprise usluge: Azure Monitor Agent, Microsoft Intune i SQL Server.
* Alati za razvoj: Visual Studio i Visual Studio Code Python extension.
* Pregledači: Microsoft Edge (zasnovan na Chromiumu).
Za 120 od 130 Microsoftovih CVE-ova, Microsoft je pružio Često postavljana pitanja (FAQ) kako bi korisnicima pružio smjernice o zakrpljivanju i strategijama ublažavanja. Nisu navedeni nikakvi radni putevi za ranjivosti, što ukazuje da je primjena sigurnosnih ažuriranja primarna strategija ublažavanja. Samo dva CVE-a (CVE-2025-47981 i CVE-2025-49724) imaju navedena specifična ublažavanja, što sugeriše da većina ranjivosti zahtijeva zakrpljivanje kako bi se u potpunosti riješili rizici.
