Microsoft Patches Record 974 Flaws, Including Two Exploited Windows Zero-Days
Mis à jour :
Record historique de vulnérabilités corrigées par Microsoft
Microsoft a publié une mise à jour corrective majeure en septembre 2026, corrigeant un nombre sans précédent de 974 vulnérabilités au sein de son écosystème logiciel. Cette vague de correctifs inclut plus de 110 failles critiques, principalement liées à l’escalade de privilèges, à l’exécution de code à distance (RCE) et à la divulgation d’informations.
Points clés :
- Volume record : Le total des correctifs cumulés depuis le début de l’année 2026 dépasse déjà les 2 600, soit plus du double du record annuel précédent (2020).
- Exploitation active : Deux vulnérabilités « zero-day » ont été identifiées comme étant activement exploitées dans la nature.
- Priorisation : La CISA a ajouté les deux failles exploitées à son catalogue KEV (Known Exploited Vulnerabilities), imposant une correction rapide pour les agences fédérales américaines.
Vulnérabilités critiques (Zero-days) :
- CVE-2026-85880 (Score 7.8) : Dépassement de tampon basé sur le tas dans Windows ALPC. Permet à un attaquant local d’échapper au bac à sable et d’élever ses privilèges au niveau SYSTEM.
- CVE-2026-81963 (Score 7.8) : Résolution de lien incorrecte dans la pile Windows Update. Permet l’élévation de privilèges locaux en écrasant des composants système via des liens malveillants.
Autres vulnérabilités majeures :
- CVE-2026-69525, 69595, 69730, 69829, 72979 : Plusieurs vulnérabilités de type “use-after-free” et dépassement de tampon (Score 9.8) permettant l’exécution de code à distance sur divers services Windows (Remote Desktop, DNS, DHCP, NFS).
- CVE-2026-65669 (Score 9.6) : Injection dans SQL Server permettant une élévation de privilèges réseau.
- CVE-2026-69465 (Score 8.8) : Défaut d’autorisation dans Microsoft Office SharePoint autorisant l’exécution de code à distance.
Recommandations :
- Application immédiate : Prioriser le déploiement des correctifs pour les deux vulnérabilités exploitées (CVE-2026-85880 et CVE-2026-81963).
- Analyse des risques : Ne pas se laisser submerger par le volume massif de correctifs ; utiliser une approche fondée sur le risque pour identifier les failles exposées sur Internet et celles réellement exploitables dans votre environnement spécifique.
- Surveillance : Maintenir une veille active sur le catalogue KEV de la CISA et suivre les bulletins de sécurité de Microsoft pour ajuster le calendrier de mise à jour.