Le Patch Tuesday de septembre 2026 vient de battre un record peu enviable : 974 vulnérabilités corrigées en un seul mois, dont deux zero-days activement exploités. Si tu gères des serveurs Windows, des contrôleurs de domaine ou de l’infrastructure Azure, voici ce qu’il faut retenir pour prioriser tes déploiements sans te noyer dans la liste complète des CVE.
Un volume de correctifs inédit
Microsoft a corrigé 974 failles ce mois-ci, contre 570 en juillet et 400 en août 2026 — une hausse en partie attribuée au déploiement d’un système de découverte de vulnérabilités assisté par IA côté Microsoft. La répartition donne une idée de l’ampleur : 113 vulnérabilités critiques et 860 importantes, avec 253 failles d’exécution de code à distance (RCE) et 438 d’élévation de privilèges. Les zones les plus touchées : composants Windows (Hyper-V, DNS Server, ALPC), Office, SQL Server, Exchange Server, et les services cloud (Entra ID, Azure).
Les deux zero-days activement exploités
Deux failles sont d’ores et déjà exploitées dans la nature — c’est elles qu’il faut patcher en tout premier, avant même de regarder le reste de la liste.
CVE-2026-81963 — Windows Update Stack, élévation de privilèges
Une faille de résolution de lien qui permet à un attaquant d’obtenir des privilèges SYSTEM. C’est la première vulnérabilité d’élévation de privilèges du Windows Update Stack exploitée dans la nature depuis 2022 — un composant qui, par nature, tourne avec des droits élevés sur quasiment toutes les machines Windows du parc.
CVE-2026-85880 — Windows ALPC, élévation de privilèges
Un dépassement de tampon basé sur le tas (heap overflow) dans l’Advanced Local Procedure Call de Windows, exploitable localement pour obtenir SYSTEM. C’est le premier correctif touchant l’ALPC en plus de trois ans, et le deuxième zero-day sur ce composant depuis janvier 2023 — un signal que cette surface d’attaque reste activement ciblée par les chercheurs offensifs comme par les attaquants.
Les autres CVE critiques à ne pas laisser traîner
- CVE-2026-69730 — Windows DNS Server, RCE, CVSS 9.8, « exploitation plus probable » selon Microsoft. Si tu exposes un DNS Server Windows, en particulier sur un contrôleur de domaine, ce correctif passe avant tout le reste.
- CVE-2026-69676 — Windows Kerberos, RCE, CVSS 8.8. Kerberos étant au cœur de l’authentification Active Directory, une exploitation réussie a un impact potentiellement massif sur l’ensemble du domaine.
Comment prioriser sans tout patcher en urgence le même jour
Avec près de 1000 correctifs, il est illusoire de vouloir tout déployer en une nuit. Voici l’ordre de priorité qui ressort de l’analyse des éditeurs de sécurité (Qualys, Tenable, CrowdStrike) :
- Immédiat : les deux zero-days (CVE-2026-81963 et CVE-2026-85880) sur l’ensemble du parc Windows, en particulier les machines avec des privilèges élevés ou exposées à des réseaux non fiables. Priorité absolue aux contrôleurs de domaine et à l’infrastructure d’authentification, puisque l’ALPC touche des processus Windows centraux.
- Haute priorité : les RCE critiques exposées côté réseau — DNS Server (CVE-2026-69730) et Kerberos (CVE-2026-69676) — ainsi qu’Exchange Server et les applications Office directement exposées à du contenu externe.
- Priorité secondaire : élévations de privilèges locales sans exploitation connue, divulgations d’information, et vulnérabilités de déni de service.
Comme toujours sur un volume aussi important, teste en environnement non-production avant un déploiement large, surtout pour les correctifs touchant des composants aussi sensibles que l’ALPC ou le DNS Server.
Automatiser le déploiement plutôt que courir après chaque Patch Tuesday
Si ton parc de postes Windows dépend encore de campagnes de patch manuelles, c’est le bon moment pour regarder du côté de Windows Autopatch, qui gère désormais le hotpatching par défaut et priorise automatiquement les correctifs de sécurité critiques sans redémarrage complet pour une bonne partie des CVE mensuelles — on en parlait plus en détail dans notre article sur l’évolution d’Intune et du bundling M365 E3/E5. Pour les contrôleurs de domaine et l’infrastructure Windows Server, notre guide sur les changements sécurité d’Active Directory dans Windows Server 2025 complète bien la priorisation ci-dessus.
FAQ
Faut-il patcher en urgence même hors fenêtre de maintenance habituelle ?
Pour les deux zero-days activement exploités, oui — un déploiement hors cycle est justifié sur les systèmes à risque (contrôleurs de domaine, serveurs exposés), quitte à planifier un redémarrage en heures creuses plutôt que d’attendre la prochaine fenêtre mensuelle.
Le volume record de ce mois signifie-t-il que Windows est devenu moins sûr ?
Pas nécessairement — la hausse est en grande partie due à l’intensification des efforts de découverte de vulnérabilités par Microsoft lui-même (recherche interne assistée par IA), ce qui tend plutôt à réduire le nombre de failles non découvertes exploitables par des tiers. Ça ne change rien à l’urgence de patcher, en revanche.
Où suivre les détails techniques de chaque CVE ?
Le security update guide officiel de Microsoft reste la référence pour le détail CVE par CVE ; les analyses d’éditeurs comme Tenable ou Qualys sont utiles pour une lecture priorisée rapide.
En résumé
Deux CVE à patcher aujourd’hui (CVE-2026-81963, CVE-2026-85880), deux RCE critiques à ne pas laisser traîner plus de quelques jours (DNS Server, Kerberos), et un volume global qui justifie plus que jamais un déploiement automatisé et priorisé plutôt qu’une gestion manuelle mois par mois. Si ce n’est pas déjà fait, c’est l’occasion de vérifier que ton dispositif de patch management priorise automatiquement les CVE avec exploitation active — c’est ce qui fait la différence entre un incident évité et un incident subi.
Laisser un commentaire