Microsoft a bouché 570 failles de sécurité sécurité sur Windows 10, Windows 11 et Windows Server avec sa mise à jour Patch Tuesday de juillet, un chiffre qui pulvérise tous les records mensuels établis jusqu’ici. Ce total dépasse largement le précédent record mensuel de 206 failles de sécurité, enregistré en juin, et porte le nombre total de vulnérabilités corrigées depuis le début du mois à plus de 620.
Cumulé sur l’ensemble de l’année 2026, le nombre de vulnérabilités traitées par Microsoft atteint désormais 1 380, un chiffre qui surpasse déjà le précédent record annuel de 1 250 établi en 2020. Plus de 400 de ces failles concernent directement les différentes versions de Windows, qu’il s’agisse de Windows 10, Windows 11 ou Windows Server.
Des failles critiques déjà exploitées sur Windows
Parmi les vulnérabilités de Windows corrigées ce mois-ci figurent 24 failles d’exécution de code à distance jugées critiques, ainsi que 7 failles d’élévation de privilèges tout aussi critiques. La plus préoccupante concerne Active Directory Federation Services (ADFS), où la faille référencée CVE-2026-56155 permet à un attaquant d’obtenir un accès administrateur en exploitant des contrôles d’accès insuffisants. Elle est déjà activement exploitée dans la nature. Cette vulnérabilité touche un large éventail de systèmes, allant de Windows Server 2012 jusqu’à Windows Server 2025, ainsi que certaines versions plus anciennes de Windows 10.
D’autres failles techniques méritent l’attention des administrateurs système :
- une vulnérabilité de type « use-after-free » (CVE-2026-57092) dans Hyper-V VMSwitch, permettant à un attaquant disposant de faibles privilèges d’élever ses droits depuis une machine invitée jusqu’à l’hôte
- une faille d’exécution de code à distance (CVE-2026-56190) dans le protocole RDP (Remote Desktop Protocol), exploitable via des paquets spécialement conçus qui interagissent avec de la mémoire non initialisée
- une vulnérabilité similaire (CVE-2026-56188) dans le pilote réseau de Windows Server, touchant toutes les éditions de Windows 10 jusqu’à Server 2025
- neuf failles distinctes affectant le serveur DHCP, dont la faille critique CVE-2026-50518
Office et SharePoint concentrent également des risques
Le lot de correctifs de juillet comprend 97 vulnérabilités touchant la suite Office, soit près du double des 49 failles recensées en juin. 17 d’entre elles sont de type code arbitraire classées critiques, dont certaines sont exploitables simplement via le volet de prévisualisation, sans même nécessiter l’ouverture du fichier concerné. Les 48 autres failles d’Office suivent un schéma d’attaque plus classique, nécessitant l’ouverture directe d’un fichier malveillant par l’utilisateur.
SharePoint Server concentre lui aussi plusieurs vulnérabilités sensibles ce mois-ci. La faille CVE-2026-56164, de type élévation de privilèges, est déjà exploitée activement et permet un accès réseau sans authentification préalable de l’utilisateur. Une deuxième faille, CVE-2026-55040, autorise également un accès aux fichiers sans authentification. Deux vulnérabilités supplémentaires, référencées CVE-2026-50522 et CVE-2026-58644, complètent ce lot, la première ayant fait l’objet d’une démonstration publique lors du concours de piratage Pwn2Own.
C’est l’occasion de rappeler que Microsoft a prolongé son programme de mises à jour de sécurité étendues pour Windows 10 jusqu’au 12 octobre 2027. L’entreprise a également corrigé des failles touchant Exchange Server, son navigateur Edge, ainsi que les jeux Minecraft et Age of Empires II: Definitive Edition. Le prochain Patch Tuesday verra le jour le 11 août 2026.
Un commentaire pour cet article :