Microsoft a corrigé 974 vulnérabilités de sécurité lors de sa mise à jour de septembre, établissant ainsi un nouveau record pour son traditionnel Patch Tuesday, qui concerne principalement Windows. Parmi ces failles, deux étaient déjà exploitées par des cybercriminels avant la diffusion des correctifs.
Deux vulnérabilités critiques déjà exploitées
Les deux failles zero-day les plus inquiétantes touchent Windows et permettent à un attaquant ayant déjà accès au système d’accroître ses privilèges. La première, identifiée comme CVE-2026-85880, affecte le système de communication interne de Windows et pourrait permettre de sortir d’un environnement isolé afin d’acquérir des droits SYSTÈME.
La seconde, désignée CVE-2026-81963, concerne Windows Update et permet également une élévation de privilèges. Microsoft indique que ces deux vulnérabilités ont été exploitées lors d’attaques réelles, sans toutefois préciser l’identité des attaquants ni la nature des opérations menées.
Le volume de la mise à jour dépasse de loin les chiffres précédents. En juillet, Microsoft avait corrigé 622 vulnérabilités, suivi de 421 en août, et a atteint le chiffre impressionnant de 974 pour septembre. Cette tendance à la hausse coïncide avec l’accélération de la découverte de failles logicielles grâce aux outils d’intelligence artificielle.
Windows et Office en tête des correctifs
Ce mois-ci, Windows a fait l’objet de 723 corrections de failles de sécurité, tandis que Microsoft en a résolu 222 pour sa suite bureautique Office. Les autres correctifs concernent SQL, les outils de développement, SharePoint Server, Azure, Skype Entreprise et Exchange Server.
Certains bugs supplémentaires requièrent une attention particulière. Une faille dans Exchange Server pourrait potentiellement permettre l’exécution de code à distance, et 20 des autres vulnérabilités corrigées pourraient être exploitées pour propager automatiquement une attaque d’une machine à une autre sans requérir d’authentification ou d’intervention de l’utilisateur.
Face à ce nombre conséquent de correctifs, les experts en sécurité conseillent aux entreprises de hiérarchiser les vulnérabilités exploitables au sein de leur environnement, au lieu de traiter les 974 failles avec le même niveau d’urgence. Il est tout naturel que les deux vulnérabilités zero-day exploitées dans la nature figurent parmi les mises à jour prioritaires à installer.
