Microsoft a corrigé 974 failles de sécurité dans sa mise à jour de septembre, un nouveau record pour son traditionnel Patch Tuesday qui concerne notamment Windows. Deux de ces vulnérabilités étaient déjà exploitées par des pirates avant la publication des correctifs.
Deux failles critiques déjà exploitées
Les deux failles de type zero-day les plus préoccupantes concernent Windows et permettent à un attaquant ayant déjà accès à la machine d’obtenir des privilèges très élevés. La première (qui a pour identifiant CVE-2026-85880) touche le système de communication interne de Windows et peut permettre de sortir d’un environnement isolé pour obtenir les droits SYSTEM.
La seconde (CVE-2026-81963) concerne Windows Update et permet également une élévation de privilèges. Microsoft indique que les deux vulnérabilités ont été exploitées dans des attaques réelles, même si l’entreprise n’a pas détaillé qui se trouve derrière ces attaques ni quelles opérations ont été menées.
Le volume du correctif dépasse largement les précédents records. Microsoft avait corrigé 622 failles en juillet puis 421 en août, avant d’atteindre les 974 vulnérabilités de septembre. Cette hausse intervient dans un contexte où les outils d’intelligence artificielle accélèrent la découverte de failles dans les logiciels.
Windows et Office concentrent l’essentiel des correctifs
Windows concentre 723 des failles de sécurité corrigées ce mois-ci, tandis que Microsoft en a corrigé 222 dans sa suite bureautique Office. Les autres correctifs concernent notamment SQL, les outils de développement, SharePoint Server, Azure, Skype for Business et Exchange Server.
Certaines failles supplémentaires nécessitent une attention particulière. Une vulnérabilité d’Exchange Server peut notamment permettre l’exécution de code à distance, tandis que 20 failles corrigées pourraient être utilisées pour propager automatiquement une attaque d’une machine à une autre sans authentification ni intervention de l’utilisateur.
Face à cette avalanche de correctifs, les spécialistes de la sécurité recommandent aux entreprises de prioriser les failles réellement exploitables dans leur environnement plutôt que de traiter les 974 vulnérabilités avec le même niveau d’urgence. Les deux failles de type zero-day exploitées dans la nature font évidemment partie des correctifs à installer en priorité.
