Microsoft corrige un record de 974 failles, dont deux zero-days Windows

Un Patch Tuesday devenu test d’exploitation opérationnelle

La mise à jour de sécurité de septembre 2026 de Microsoft s’impose comme le plus gros Patch Tuesday jamais observé, les décomptes fondés sur les données de Microsoft faisant état de 974 vulnérabilités dans l’ensemble de son portefeuille logiciel [1]. Deux d’entre elles sont des zero-days Windows que Microsoft indique exploitées avant la disponibilité des correctifs: CVE-2026-81963 dans Windows Update Stack et CVE-2026-85880 dans Windows Advanced Local Procedure Call, ou ALPC [2].

Le chiffre est spectaculaire, mais sa portée réelle est opérationnelle. Une vague de correctifs de cette taille n’est pas seulement une liste plus longue pour les équipes poste de travail. C’est un test complet de la chaîne de patch management: inventaire des actifs, déploiement par anneaux, gestion des exceptions, fenêtres de changement, plans de retour arrière et capacité à savoir quelles machines sont réellement exposées à quelles familles de failles.

Les responsables sécurité retrouvent donc un dilemme connu, mais amplifié. Les deux failles exploitées imposent une réponse rapide, tandis qu’un lot proche du millier de CVE ne peut pas être poussé sans contrôle dans des environnements comprenant contrôleurs de domaine, clusters de bases de données, serveurs Exchange, infrastructures Remote Desktop, clients Office et applications métiers. La vitesse de correction devient un indicateur d’infrastructure autant qu’un indicateur de cybersécurité.

Les deux failles Windows exploitées passent en tête

Les deux vulnérabilités exploitées sont des élévations de privilèges. Cela signifie qu’un attaquant a généralement besoin d’un premier accès avant de s’en servir pour obtenir un niveau de contrôle plus élevé sur le système compromis. Ce n’est pas pour autant un risque secondaire. Dans une intrusion réelle, l’élévation locale est souvent l’étape qui transforme un poste hameçonné, un compte abusé ou un implant initial en accès SYSTEM, puis en vol d’identifiants, mouvement latéral et persistance.

CVE-2026-81963 touche Windows Update Stack et correspond à un problème de résolution incorrecte de liens avant l’accès à un fichier; selon l’analyse de Tenable, son exploitation peut permettre d’obtenir des privilèges SYSTEM [5]. Tenable précise aussi que, parmi les vulnérabilités d’élévation de privilèges de Windows Update Stack corrigées depuis 2022, celle-ci est la première à avoir été exploitée dans la nature comme zero-day [5].

CVE-2026-85880 concerne Windows ALPC et relève d’un dépassement de tampon sur le tas; elle est également classée importante avec un score CVSSv3 de 7,8 dans la synthèse de Tenable [5]. SecurityWeek rapporte que cette faille ALPC peut permettre à un attaquant local d’obtenir des privilèges System, sans interaction supplémentaire de l’utilisateur dès lors que du code s’exécute déjà dans un contexte AppContainer à faibles privilèges [2].

La CISA a ajouté CVE-2026-81963 et CVE-2026-85880 à son catalogue Known Exploited Vulnerabilities le 8 septembre 2026, sur la base d’éléments attestant une exploitation active [6]. Cette inscription transforme le signal “exploited” de Microsoft en priorité opérationnelle pour les agences civiles fédérales américaines, mais aussi en repère fort pour les entreprises privées.

Des totaux différents, un même signal de record

Plusieurs éditeurs de sécurité ont publié des totaux légèrement différents pour la livraison de septembre. The Hacker News et SecurityWeek rapportent 974 vulnérabilités Microsoft [1][2]. CrowdStrike en compte 972 dans la publication de sécurité Microsoft de septembre [4]. BleepingComputer arrive à 966 failles parce qu’il exclut de son total Patch Tuesday certaines vulnérabilités publiées plus tôt dans le mois [3]. Tenable décrit 964 CVE, dont 104 critiques et 860 importantes [5].

Ces écarts ne sont pas anormaux dans une publication qui combine CVE Microsoft, problèmes cloud déjà résolus, éléments liés à Chromium, CVE externes et divulgations intervenues au fil du mois. Pour les défenseurs, la différence de méthode compte moins que la conclusion commune: tous les décomptes sérieux décrivent un Patch Tuesday record ou quasi record, et toutes les analyses placent les deux vulnérabilités Windows exploitées en priorité immédiate.

La répartition par produits explique aussi la difficulté du tri. The Hacker News fait état de 723 failles dans Windows, 111 dans Office et Office 2016, 62 dans SQL et 22 dans Developer Tools, avec plus de 110 vulnérabilités classées critiques [1]. SecurityWeek identifie également Windows comme la catégorie la plus touchée, avec des correctifs supplémentaires pour Office, SQL, Developer Tools, SharePoint Server, Azure, Skype for Business et Exchange Server [2].

Le reste de la file ne peut pas attendre indéfiniment

Les deux failles exploitées doivent être traitées en premier, mais elles ne résument pas le risque de cette publication. CrowdStrike indique que les élévations de privilèges dominent le mois avec 437 correctifs, devant 258 correctifs d’exécution de code à distance et 171 correctifs de divulgation d’information [4]. Le découpage de BleepingComputer est très proche: 438 élévations de privilèges, 258 exécutions de code à distance et 173 divulgations d’information [3].

Cette distribution est importante, car les attaquants d’entreprise n’ont pas besoin d’exploiter toutes les vulnérabilités. Il leur faut un point d’entrée fiable, une marche d’élévation de privilèges et un chemin vers la persistance ou les données. Le grand nombre de failles d’élévation crée donc une longue traîne de durcissement post-compromission, tandis que le volume de RCE impose d’identifier les services côté serveur exposés à des réseaux non fiables.

La Zero Day Initiative a mis en avant 20 correctifs qu’elle considère comme potentiellement “wormable”, c’est-à-dire permettant une exécution de code distante, non authentifiée et sans interaction utilisateur sur les systèmes affectés [7]. Sa liste inclut des vulnérabilités dans Windows DHCP Server, Active Directory Domain Services, Windows Message Queuing, RRAS, NFS, DNS Server, SMB Client, IP Helper, Netlogon, Internet Connection Sharing, SSTP et Failover Cluster [7]. Même si certaines failles restent difficiles à exploiter en pratique, la présence d’autant de candidats théoriquement propagables dans un seul cycle doit modifier la planification des tests.

Exchange, SharePoint et SQL exigent aussi une attention particulière. ZDI distingue CVE-2026-55007, une exécution de code à distance dans Microsoft Exchange Server, car un attaquant distant non authentifié pourrait déclencher l’exécution via le traitement d’un e-mail contenant une pièce jointe Visio malveillante, sans dépendre du volet de prévisualisation [7]. ZDI recommande aussi des tests et déploiements rapides pour les serveurs SharePoint exposés à Internet, tout en avertissant que la correction de SQL Server ne sera pas triviale ce mois-ci [7].

Un ordre de bataille réaliste

La première étape consiste à séparer l’urgence du traitement complet du backlog. Les systèmes concernés par CVE-2026-81963 et CVE-2026-85880 doivent entrer dans le circuit de déploiement le plus rapide possible, surtout les ordinateurs portables, pools VDI, postes d’administration, bastions et serveurs où une élévation locale donnerait accès à des identifiants à forte valeur. L’inscription au catalogue KEV de la CISA en fait les deux éléments les plus clairs à corriger immédiatement [6].

La deuxième étape consiste à cartographier les rôles serveur exposés. Les infrastructures Exchange, SharePoint, Remote Desktop, DNS, DHCP, accès distant et administration distante accessibles depuis Internet ou depuis des zones peu fiables doivent être comparées aux listes de RCE et de failles potentiellement propagables avant les problèmes limités aux postes moins exposés. Le signal de ZDI sur 20 candidats sans authentification ni interaction doit l’emporter sur une priorisation fondée uniquement sur le score CVSS [7].

La troisième étape est d’utiliser fortement les anneaux de déploiement. Il faut tester les mises à jour sur des versions Windows clientes représentatives, des rôles serveurs clés et des configurations Office courantes, puis étendre vers les actifs les plus risqués avant le parc bureautique complet. Avec autant de CVE, l’objectif n’est pas la simultanéité parfaite, mais la fermeture rapide des chemins d’exploitation connus sans provoquer une panne qui imposerait un retour arrière massif.

La quatrième étape est de documenter les exceptions comme des décisions de risque. Si un cluster SQL, un nœud Exchange ou une instance Windows Server héritée ne peut pas être corrigé immédiatement, le dossier doit préciser le motif, les mesures compensatoires, le niveau d’exposition, le propriétaire et une date de remédiation. La publication de septembre est trop volumineuse pour laisser les reports devenir de simples reliquats de tickets.

La leçon: le patching devient une ingénierie de débit

Cette publication montre que la découverte de vulnérabilités, y compris par analyse assistée par IA selon plusieurs chercheurs, dépasse le rythme mensuel traditionnel du patch management [1][4]. À long terme, c’est potentiellement positif si les failles sont trouvées et corrigées avant que les attaquants ne les exploitent indépendamment. À court terme, les entreprises doivent absorber le choc opérationnel.

La réponse n’est pas de tout corriger avec la même urgence. Elle consiste à bâtir une chaîne capable de patcher très vite les vulnérabilités exploitées, de tester en continu les charges critiques et de classer le reste selon l’exploitabilité, l’exposition et la criticité métier. Le lot Microsoft de 974 failles de septembre n’est donc pas seulement un bulletin de sécurité. C’est une mesure de la capacité d’une organisation à exécuter assez de correctifs en parallèle.

Sources des dernières 72 heures

1. [1]Microsoft Patches Record 974 Flaws, Including Two Exploited Windows Zero-Days9 sept. 2026, 00:00 UTC
2. [2]Microsoft Patches Record 974 Vulnerabilities, Including Two Exploited Zero-Days - SecurityWeek8 sept. 2026, 19:20 UTC
3. [3]Microsoft September 2026 Patch Tuesday fixes 966 flaws, 2 zero-days8 sept. 2026, 18:18 UTC
4. [4]September 2026 Patch Tuesday: Updates and Analysis | CrowdStrike8 sept. 2026, 00:00 UTC
5. [5]September 2026 Microsoft Patch Tuesday | Tenable®8 sept. 2026, 18:30 UTC
6. [6]Zero Day Initiative — The September 2026 Security Update Review8 sept. 2026, 00:00 UTC
7. [7]CISA Adds Four Known Exploited Vulnerabilities to Catalog | CISA8 sept. 2026, 00:00 UTC

Article généré par IA à partir d’une recherche web récente, puis conservé comme instantané éditorial daté.