Le Patch Tuesday record de Microsoft : 974 failles, deux déjà exploitées

Microsoft a publié le 8 septembre 2026 des mises à jour de sécurité pour un nombre record de 974 vulnérabilités, la plus grande livraison de Patch Tuesday de son histoire. Deux de ces failles étaient déjà exploitées avant qu'un correctif n'existe, et 113 ont reçu la qualification de « critiques » par Microsoft. La publication touche presque tous les recoins de sa plateforme : Windows, Office, Exchange Server, SharePoint, SQL Server, Hyper-V, Visual Studio et ses services cloud.

À lire aussi: Le Patch Tuesday d'octobre 2026 de Microsoft établit un record avec 1 407 correctifs · Le Patch Tuesday d'août de Microsoft a corrigé environ 400 failles, et un vrai incendie.

Pour les défenseurs, le chiffre principal est à la fois alarmant et trompeur. Le travail réellement urgent de ce mois se résume à un petit ensemble de failles : les deux zero-days exploités, une poignée de bugs critiques d'exécution de code à distance et une vingtaine de vulnérabilités « ver » que les chercheurs recensent. Le reste est un problème de priorisation qui s'aggrave chaque mois, largement alimenté par la découverte de vulnérabilités assistée par IA.

Les deux failles déjà attaquées

Les deux vulnérabilités activement exploitées sont des failles d'élévation de privilèges qui permettent à un attaquant d'atteindre le niveau SYSTEM, et Microsoft a partagé peu de détails sur l'une comme sur l'autre.

La première, CVE-2026-85880, est un débordement de tampon dans le tas (heap) dans Windows Advanced Local Procedure Call (ALPC). L'avis de Microsoft indique qu'un attaquant capable d'exécuter du code dans un AppContainer à faibles privilèges pourrait exploiter la faille pour s'échapper du bac à sable et élever ses privilèges, ajoutant que « No additional user interaction is required ». La CISA l'a ajoutée à son catalogue des vulnérabilités exploitées connues et a donné aux agences fédérales jusqu'au 22 septembre pour la corriger. Ce n'est que le deuxième zero-day ALPC que Microsoft a dû corriger depuis janvier 2023.

La seconde, CVE-2026-81963, est un défaut de résolution de lien (« link following ») dans Windows Update Stack, le composant qui installe les mises à jour. C'est la première faille d'Update Stack en cinq ans dont Microsoft confirme l'exploitation. Les deux bugs ont été attribués à des chercheurs externes ainsi qu'aux propres équipes de Microsoft, et les deux octroient un accès au niveau SYSTEM.

Dustin Childs, de la Zero Day Initiative, a averti que CVE-2026-81963 était probablement « being combined with a code execution bug to spread malware or ransomware », c'est-à-dire combiné à un bug d'exécution de code pour propager des malwares ou des rançongiciels, et a conseillé : « Patch this one quickly ».

D'où viennent les 974

Les notes de version de Microsoft et l'analyse de Qualys décomposent la livraison de septembre en 438 failles d'élévation de privilèges, 253 d'exécution de code à distance, 173 de divulgation d'informations, 56 de déni de service, 19 de contournement de fonctions de sécurité et 16 d'usurpation. Par produit, SecurityWeek rapporte qu'environ 723 problèmes concernent Windows, 222 Office (dont 111 dans Office 2016 seul), 62 SQL Server, 22 les outils de développement, 16 SharePoint Server, 12 Azure, 10 Skype for Business et neuf Exchange Server.

Cette répartition indique où se situe l'exposition. L'exécution de code à distance et l'élévation de privilèges sont les catégories qui comptent le plus, et elles dominent la publication. Les deux failles exploitées relèvent de la seconde catégorie, ce qui les rend dangereuses surtout comme second étage, après qu'un attaquant est déjà entré.

Au-delà des zero-days : Exchange, SharePoint et failles « ver »

Même en laissant de côté les zero-days, septembre comporte des correctifs hautement prioritaires qui exigent une planification plutôt qu'un déploiement de routine.

Le plus important, selon Childs, est CVE-2026-55007, une faille d'exécution de code à distance dans Exchange Server. Un attaquant non authentifié peut la déclencher en envoyant un e-mail avec une pièce jointe Visio malveillante; le code s'exécute lorsque le serveur traite la pièce jointe pendant l'indexation du contenu, sans interaction de l'utilisateur. Microsoft dit que la faille est « difficult to reliably trigger », mais la réplique de Childs est sans détour : « The attacker only needs to get it right once. Schedule your downtime and update your Exchange servers with haste ». Au total, Microsoft a corrigé neuf failles Exchange Server ce mois-ci.

Les chercheurs signalent aussi CVE-2026-80097, une élévation locale de privilèges dans Microsoft Authenticator que Childs a qualifiée du pire type d'escalade, car elle exploite le système d'authentification lui-même; CVE-2026-69465, l'une des quelque 17 failles SharePoint distinctes permettant l'exécution de code à distance; et CVE-2026-65669, l'un des quelque 60 bugs d'élévation de privilèges de SQL Server pouvant être déclenchés via SQL Copilot. Ars Technica a recensé les points saillants.

Childs compte 20 failles ce mois-ci qui sont « ver », c'est-à-dire exploitables à distance sans authentification ni interaction de l'utilisateur. Plusieurs affichent un score CVSS presque maximal de 9,8, dont des bugs dans Windows DNS Server, DHCP Server, Remote Desktop Services, le pilote NFS et le shell Windows. Ce type de faille transforme un cycle mensuel de correctifs en véritable fenêtre de maintenance plutôt qu'en simple case à cocher.

Le problème du volume lié à l'IA

Le contexte le plus important du chiffre de septembre est qu'il ne s'agit pas d'une anomalie. Les totaux mensuels de Microsoft ont explosé en 2026 : d'environ 200 failles en juin, alors un record, à environ 570 en juillet, puis environ 400 en août et désormais 974 en septembre. Selon le décompte de Krebs on Security, septembre porte le total de Microsoft pour 2026 à plus de 2 600 failles (plus du double de son précédent record annuel de 1 245, établi en 2020) et il reste trois mois.

Microsoft s'est montrée inhabituellement directe sur la cause. Dans un billet de blog de juillet, le vice-président exécutif Pavan Davuluri a prévenu les utilisateurs de Windows qu'ils devaient s'attendre à « a higher volume of security updates included in each security release », car l'IA accélérait la découverte de vulnérabilités. L'entreprise a déployé des systèmes de découverte dopés à l'IA, et les résultats se voient dans le nombre de correctifs.

L'industrie de la sécurité débat encore de ce que cela signifie. Satnam Narang, de Tenable, a livré la formule la plus citée du mois : « AI-assisted vulnerability discovery in 2026 is creating larger haystacks, but it isn't finding more needles ». Son point : la plupart des 974 failles ne concerneront jamais une organisation donnée, car elles ne sont ni atteignables ni exploitables dans cet environnement.

Childs tire une conclusion similaire mais plus prudente. « AI-assisted vulnerability discovery shows no signs of slowing down », a-t-il écrit. « However, we have not seen a correlating spike in active exploits—yet ».

Le thème de l'IA ne se limite pas à la découverte de vulnérabilités. Le jour même du Patch Tuesday, l'équipe Microsoft Edge a publié un billet décrivant comment la programmation assistée par IA avait provoqué une vague d'extensions de navigateur soumises pour examen. The Register a rapporté que l'équipe admettait que son pipeline d'examen était « experiencing additional strain », c'est-à-dire sous tension supplémentaire, et que sa réponse consistait à automatiser davantage de contrôles répétitifs. C'est la deuxième équipe de Microsoft en un mois à dire que la production générée par l'IA dépasse sa capacité de traitement : l'équipe Exchange avait déjà reporté une mise à jour cumulative après que la découverte assistée par IA a produit plus de bugs qu'elle ne pouvait en traiter.

La réalité opérationnelle de 974 correctifs

Pour la plupart des particuliers, la réponse pratique reste la même : laisser Windows Update s'exécuter. La vraie question est ce que font les entreprises d'un mois qui leur livre près d'un millier de correctifs d'un coup.

Les tests restent le goulot d'étranglement. Contrairement aux particuliers, les entreprises ne peuvent pas simplement installer les mises à jour et passer à autre chose, car les logiciels tiers cassent souvent lorsque le système d'exploitation sous-jacent change. Tyler Reguly, de Fortra, l'a dit sans détour : « It's time to put our CISOs and CSOs on notice... How are you helping your teams through these difficult times? ». Il a noté que de nombreux administrateurs allaient corriger hors horaires et le week-end pour limiter les perturbations, et a suggéré que la solution passait par des « gift cards for extra coffee », une phrase qui fait sourire surtout parce qu'elle est vraie.

Le consensus qui émerge chez les défenseurs est de cesser de traiter le Patch Tuesday comme une file d'attente unique et de prioriser selon l'atteignabilité et l'exploitabilité plutôt que selon la seule gravité. Les deux zero-days exploités et la faille Exchange passent en premier; le reste est trié selon que le service concerné est réellement exposé. Les indices d'exploitabilité de Microsoft, conçus pour un monde de chercheurs humains, n'ont pas suivi le rythme de la découverte dopée à l'IA, et les analystes critiquent les hypothèses du modèle.

Il y a aussi des conséquences en aval. À mesure que les volumes de correctifs augmentaient, Microsoft a délaissé les listes exhaustives par CVE sur lesquelles certains défenseurs s'appuyaient au profit d'un tableau récapitulatif et d'une section « Notable CVEs », un changement qui rend les traqueurs tiers plus importants, pas moins. Et l'ampleur a poussé d'autres éditeurs à changer de cadence : Google publie désormais des mises à jour de sécurité Chrome toutes les deux semaines, et Adobe est passé à des bulletins bimensuels.

Réserves et le problème du décompte

Quiconque cite un seul chiffre pour septembre doit le faire avec prudence. Les notes de version de Microsoft, la Zero Day Initiative, Qualys, The Register et Krebs on Security avancent 974. BleepingComputer en compte 966, car elle ne recense que les bugs publiés par Microsoft le jour même du Patch Tuesday, en excluant les 204 corrigés plus tôt en septembre dans Azure, Entra ID, Edge et d'autres services. Ars Technica cite environ 972. L'écart reflète de véritables différences dans ce qui est compté, et non un désaccord sur l'ampleur.

Deux autres réserves. Premièrement, toutes les failles du lot ne sont pas exploitables à distance; une large part sont des bugs locaux d'élévation de privilèges qui exigent que l'attaquant dispose déjà d'un point d'appui. Deuxièmement, le déluge attendu d'attaques assistées par IA n'est pas encore arrivé en force. La crainte est asymétrique : le versant de la découverte fonctionne déjà à la vitesse de la machine, celui de l'exploitation, pour l'instant, non.

Ce qu'il faut surveiller

Trois choses détermineront si septembre restera dans les mémoires comme un record ou comme la nouvelle norme.

D'abord, l'exploitation suivra-t-elle le volume ? Si les attaquants commencent à weaponiser à grande échelle les failles découvertes par l'IA, l'argument en faveur d'un patchage plus rapide devient bien plus urgent. Le « yet » de Childs pèse lourd.

Ensuite, les pratiques de triage et de divulgation de Microsoft tiendront-elles le rythme ? L'entreprise simplifie déjà le niveau de détail qu'elle publie; en contrepartie, les défenseurs dépendent davantage d'agrégateurs et de données d'exposition, que les petites équipes n'ont pas forcément.

Enfin, les régulateurs et les entreprises adapteront-ils leurs fenêtres de correctifs ? Les agences fédérales américaines ont jusqu'au 22 septembre pour les deux zero-days au titre de la directive contraignante de la CISA, mais la plupart des organisations privées fixent leurs propres échéances, et un cycle mensuel conçu pour quelques centaines de bugs paraît de plus en plus à l'étroit avec près d'un millier.

Le record est réel, et la charge de travail aussi. Pour les défenseurs, la tâche de ce mois n'est pas de corriger 974 choses. C'est de trouver la poignée qui compte, et de mettre le reste à l'agenda.

Image de couverture : le bâtiment 92 du siège de Microsoft à Redmond, photographié par Coolcaesar (Wikimedia Commons), sous licence CC BY-SA 4.0; recadré en 16:9.