Microsoft corrige 966 failles critiques lors de son Patch Tuesday de septembre 2026

**CVE-2026-81963 : Windows Update Stack**
Cette vulnérabilité affecte le composant Windows Update Stack et permet une élévation de privilèges locale. Une analyse de la faille indique qu'une résolution incorrecte avant l'accès aux fichiers (« link following ») permet à un attaquant autorisé de gagner des privilèges SYSTEM. Microsoft a identifié cette vulnérabilité comme étant activement exploitée dans le monde réel, ce qui en fait l'une des deux failles zero-day de la mise à jour. La classification de cette vulnérabilité comme « EoP » signifie que ni la faille n'était pas publiquement divulguée ni exploitée avant sa correction, mais qu'elle est déjà utilisée par des acteurs malveillants.

**CVE-2026-85880 : Windows Advanced Local Procedure Call (ALPC)**
La seconde faille zero-day concerne le module ALPC de Windows, qui présente également une vulnérabilité d'élévation de privilèges basée sur un débordement de tampon lié au tas (heap-based buffer overflow). Cette faille permet à un attaquant authentifié d'élever ses privilèges locaux jusqu'à SYSTEM. Contrairement à la première faille, les détails sur la manière dont cette vulnérabilité a été exploitée dans des attaques ne sont pas encore partagés par Microsoft. La même faille a été ajoutée au catalogue des vulnérabilités exploitées par CISA (Cybersecurity and Infrastructure Security Agency) avec une urgence d'application avant le 22 septembre 2026.

Répartition des vulnérabilités corrigées Au-delà des deux zero-days, la mise à jour a corrigé 964 à 973 vulnérabilités selon les sources, dont environ 113 critiques et 860 importantes. La répartition par type de vulnérabilité montre une concentration sur plusieurs catégories :

• **Élévation de privilèges (EoP)** : 44,7 % des vulnérabilités corrigées, incluant les deux zero-days mentionnées ci-dessus.
• **Exécution à distance (Remote Code Execution - RCE)** : 26,8 % des vulnérabilités corrigées, couvrant des surfaces telles que les serveurs Exchange, les services de bureau à distance (RDS), le DNS Windows, et les services Kerberos.
• **Autres catégories** : incluent des failles de divulgation d'informations, des problèmes de fonctionnalités de sécurité contournées, et des vulnérabilités liées à des composants spécifiques comme SQL Server, Office, et les services Microsoft Cloud.

Les sources indiquent que sept produits différents ont corrigé au moins 20 vulnérabilités chacun, dont le Windows Biometric Service (64 vulnérabilités), Microsoft SQL Server (54), Windows DHCP Server (36), Microsoft Office Word (35), Windows NTFS (29), Microsoft Excel (28), et Windows Win32k (24).

Implications et recommandations La magnitude de ces mises à jour souligne l'augmentation continue de la surface d'attaque de Microsoft et la nécessité pour les organisations de mettre en place des stratégies de gestion des vulnérabilités adaptatives. Selon les experts cités dans les analyses, la priorité doit être donnée aux failles les plus critiques, notamment celles permettant l'élévation de privilèges et l'exécution à distance, car elles représentent les vecteurs les plus directs vers le contrôle complet des systèmes.

L'expert Alexander V. Leonov note que la majorité des vulnérabilités corrigées concernent des produits Windows, reflétant la centralité de cet écosystème dans la stratégie de sécurité de Microsoft. Le Catalogue des vulnérabilités exploitées par CISA recommande explicitement de corriger ces deux zero-days avant le 22 septembre 2026, soulignant leur urgence.

Pour les organisations, la recommandation principale est de prioriser rapidement les correctifs liés aux failles EoP et RCE, car une fois qu'un attaquant obtient des privilèges élevés, la protection des défenses devient beaucoup moins efficace. La publication de ces mises à jour met en évidence l'importance croissante des outils d'IA dans la découverte proactive de vulnérabilités, bien que cela nécessite une approche de gestion des risques rigoureuse pour éviter la saturation des processus de déploiement.

Sources Les informations proviennent de plusieurs sources indépendantes : BleepingComputer (966 vulnérabilités, deux zero-days), Infosecurity Magazine (974 CVE corrigés), le blog de sécurité de Qualys (964 CVE), ThreatCluster (974 patches), et Tenable Blog (964 CVE). Ces sources convergent sur le nombre élevé de corrections et sur l'existence des deux failles zero-day activement exploitées.