Microsoft vient de transformer une mise à jour mensuelle en signal d’alarme mondial. Son Patch Tuesday de septembre 2026 corrige environ 972 vulnérabilités selon le décompte de la Zero Day Initiative relayé par Ars Technica. Parmi elles, 112 sont classées critiques et deux failles zero-day ont été signalées comme déjà exploitées. Derrière ces chiffres vertigineux se cache une réalité très concrète : des millions de PC, de serveurs et d’outils professionnels doivent être mis à jour rapidement, alors que la vitesse de découverte des failles s’accélère.
Un Patch Tuesday hors norme
Microsoft a publié ses mises à jour de sécurité le 8 septembre. Le nombre exact peut varier légèrement selon que l’on inclut certains correctifs déjà traités ou les vulnérabilités de Chromium intégrées à Edge. Ars Technica retient environ 972 failles Microsoft, ou 997 en ajoutant les correctifs Chromium portés dans Edge. TechRadar évoque de son côté 974 vulnérabilités. Cette différence de méthode ne change pas l’essentiel : il s’agit de la plus grosse vague mensuelle de correctifs jamais observée pour l’écosystème Microsoft.
La comparaison donne la mesure du saut. En juillet, Microsoft avait déjà établi un record autour de 570 failles, avant d’en corriger environ 620 en août. En septembre, le volume approche soudain le millier. Ars Technica estime que Microsoft a traité 2 760 vulnérabilités depuis le début de 2026, soit plus du double du total de l’année précédente.
Deux zero-days imposent une priorité immédiate
Deux vulnérabilités retiennent particulièrement l’attention : CVE-2026-81963 dans la pile Windows Update et CVE-2026-85880 dans le mécanisme Windows Advanced Local Procedure Call. Elles permettent une élévation de privilèges et ont été associées à une exploitation observée. Cela signifie qu’elles ne relèvent plus seulement d’un risque théorique étudié en laboratoire.
Une élévation de privilèges peut permettre à un attaquant déjà présent sur une machine d’obtenir des droits plus élevés, puis de désactiver des protections, déployer d’autres outils ou progresser dans un réseau. Microsoft n’a pas rendu publics tous les détails sur l’identité des attaquants ni sur l’ampleur des campagnes. Cette absence d’information ne réduit pas l’urgence : elle invite au contraire les responsables informatiques à traiter les systèmes exposés selon leur criticité.
Exchange, SharePoint, SQL Server et Remote Desktop concernés
Le lot de septembre ne se limite pas aux postes Windows. Parmi les vulnérabilités mises en avant figurent une faille d’exécution de code à distance dans Exchange Server, plusieurs problèmes affectant SharePoint, des dizaines de vulnérabilités d’élévation de privilèges dans SQL Server et une faille critique dans Remote Desktop Services.
Le cas d’Exchange est particulièrement sensible pour les organisations qui hébergent encore leur messagerie sur leurs propres serveurs. D’après l’analyse de la Zero Day Initiative citée par Ars Technica, un attaquant non authentifié pourrait exploiter une vulnérabilité au moyen d’un message comportant une pièce jointe Visio malveillante. La faille de Remote Desktop Services, notée 9,8 sur l’échelle CVSS, mérite également une attention rapide lorsque le service est accessible ou utilisé dans des environnements critiques.
L’IA accélère la chasse aux failles
Pourquoi un tel déluge de correctifs maintenant ? Une partie de la réponse tient à la montée en puissance des outils de découverte assistée par intelligence artificielle. Ils peuvent explorer de vastes bases de code, repérer des motifs suspects et aider les chercheurs à tester plus vite des scénarios qui auraient demandé beaucoup plus de temps manuellement.
Il serait toutefois trompeur d’affirmer que toutes les failles de septembre ont été découvertes par l’IA. Microsoft ne l’a pas déclaré. Le record illustre plutôt une combinaison : amélioration des méthodes de recherche, automatisation croissante, pression des chercheurs indépendants et élargissement des surfaces logicielles. Le progrès défensif est réel, mais les attaquants disposent eux aussi d’outils plus rapides pour analyser des correctifs et construire des exploits.
Le nouveau goulot d’étranglement des entreprises
Découvrir et corriger une faille n’est que la première moitié du travail. Les entreprises doivent ensuite comprendre quels produits sont concernés, tester les mises à jour, vérifier la compatibilité avec leurs applications métiers, organiser les redémarrages et surveiller les incidents. Quand près d’un millier de vulnérabilités arrivent en même temps, la capacité à prioriser devient aussi importante que la capacité à patcher.
Les petites structures sont particulièrement exposées. Elles utilisent souvent Windows, Microsoft 365, SQL Server ou des outils d’accès à distance sans disposer d’une équipe dédiée à la cybersécurité. Pour elles, les mises à jour automatiques restent une protection essentielle. Microsoft rappelle que, sauf exceptions, les mises à jour sont activées par défaut sur ses produits grand public.
Ce qu’il faut faire maintenant
La priorité est de vérifier que les correctifs de septembre ont bien été déployés sur les postes Windows et les serveurs. Les équipes informatiques doivent commencer par les deux zero-days exploités, les systèmes exposés à Internet, les serveurs Exchange et SharePoint, les accès Remote Desktop et les comptes disposant de privilèges élevés.
- Installer les mises à jour de sécurité Microsoft de septembre 2026.
- Inventorier les versions de Windows, Exchange, SharePoint, SQL Server et Remote Desktop utilisées.
- Contrôler les journaux pour détecter des élévations de privilèges ou comportements inhabituels.
- Limiter les accès administrateurs et l’exposition des services distants.
- Tester les applications critiques, puis accélérer le déploiement à l’ensemble du parc.
Pour les particuliers, le message est plus simple : ouvrir Windows Update, rechercher les mises à jour, les installer et redémarrer l’appareil. Reporter durablement le redémarrage peut laisser en place une vulnérabilité pourtant déjà corrigée par l’éditeur.
Un record qui annonce une nouvelle normalité
Ce Patch Tuesday ne prouve pas à lui seul que les logiciels deviennent soudainement moins sûrs. Il montre surtout que la capacité à trouver les défauts progresse à une vitesse spectaculaire. C’est une bonne nouvelle lorsque les défenseurs découvrent les failles avant les criminels, mais un défi majeur lorsque le volume dépasse la capacité des organisations à appliquer les correctifs.
Le chiffre de 972 restera comme un record, mais son véritable impact se mesurera ailleurs : dans le délai entre la publication du correctif et son installation effective. Dans la cybersécurité moderne, quelques jours de retard peuvent suffire à transformer une faiblesse connue en porte d’entrée.
