Microsoft n’a jamais corrigé autant de vulnérabilités en un seul Patch Tuesday. Derrière ce volume hors norme, des enjeux de sécurité toujours plus pressants, alors que l’IA accélère la course entre découverte et exploitation des failles.
Les Patch Tuesday se suivent et prennent désormais des proportions inédites. Après un record en juillet et un mois d’août particulièrement chargé, celui de septembre vient une fois encore pulvériser les compteurs. Au total, Microsoft confirme avoir corrigé 974 failles dans l’ensemble de ses produits, parmi lesquelles 723 concernent la seule famille Windows. Une mise à jour à installer au plus vite, alors que deux vulnérabilités sont déjà exploitées dans des attaques et que l’IA compresse les délais des deux côtés : Microsoft débusque les failles plus vite, tout comme les attaquants, qui peuvent alors les exploiter plus rapidement.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Deux failles d'élévation de privilèges déjà exploitées et peu contraignantes à déclencher
Dans le détail, CVE-2026-81963 (CVSS 7,8) touche la pile Windows Update sur Windows 11 23H2, 24H2, 25H2 et 26H1, ainsi que Windows Server 2025. Il faut savoir qu’au moment d’installer les mises à jour, Windows Update intervient sur des fichiers système avec des privilèges élevés. La faille permet ici à un attaquant ayant déjà obtenu un accès local au PC de détourner l’accès à ces fichiers vers une autre cible, puis de profiter de ces privilèges élevés pour décrocher les droits SYSTEM sur la machine.
La seconde zero-day, CVE-2026-85880 (CVSS 7,8), touche Windows ALPC, le système de communication utilisé par les processus locaux pour échanger des données entre eux. Un dépassement de tampon dans la mémoire peut permettre à du code exécuté avec de faibles privilèges dans un AppContainer, un environnement isolé de Windows, de sortir de cette sandbox et d’obtenir, là encore, les droits SYSTEM sur la machine. Cette vulnérabilité concerne Windows 10 21H2 et 22H2, ainsi que Windows Server 2012 à 2022.
Ces failles ne permettent donc pas, à elles seules, de compromettre un ordinateur à distance, mais elles peuvent transformer un premier accès limité en contrôle presque total de la machine. Microsoft précise en revanche que leur exploitation ne requiert ni condition particulière ni intervention de la victime, d’où l’importance de ne pas tarder à appliquer les correctifs correspondants.
Avec l’IA, le temps laissé pour appliquer les patchs fond à vue d’œil
Si Microsoft en arrive aujourd’hui à corriger près de mille failles en un mois, ce n’est pas tant parce que ses produits et services se seraient soudainement dégradés, mais parce qu’elle en repère davantage, et beaucoup plus vite. L’entreprise avait prévenu au printemps que ses bulletins de sécurité allaient gonfler à mesure que les signalements augmenteraient et que ses propres outils de recherche assistés par IA gagneraient en efficacité.
Redmond s’appuie notamment sur MDASH, son système de découverte et de correction des vulnérabilités piloté par plusieurs agents IA. En mai, il avait déjà permis d’identifier 16 failles dans des composants réseau et d’authentification de Windows, dont quatre vulnérabilités critiques permettant l’exécution de code à distance. Depuis, les Patch Tuesday enchaînent les mois hors norme, jusqu’à battre deux fois leur record en l’espace de trois mois.
Mais cette capacité à traquer les failles plus vite ne profite pas qu’à Microsoft. L’IA aide aussi les attaquants à analyser plus rapidement les vulnérabilités divulguées, à en comprendre le fonctionnement et à passer plus vite à leur exploitation.
Une course contre la montre qui a conduit Microsoft à durcir ses recommandations pour les parcs administrés dès cet été. L’entreprise conseille désormais de limiter à moins de trois jours l’attente précédant le déploiement des mises à jour qualité, de fixer leur délai d’installation à un jour grand maximum et de plafonner la période de grâce à deux jours, au terme de laquelle le redémarrage des machines devrait être imposé.
