En bref

  • Les 7 premiers mois de 2026 totalisent 2 575 CVE Microsoft corrigées — soit une moyenne de 368 CVE/mois, 67% au-dessus des volumes de 2025.
  • 21 zero-days activement exploités ont été publiés sur la période, avec des pics d'intensité en février (6), juin (6) et une convergence unique en juillet (622 CVE record).
  • L'IA comme moteur de découverte de failles, les obligations NIS2 et la réduction du délai d'exploitation sous 6 jours transforment structurellement la gestion des vulnérabilités.

Patch Tuesday 2026 (jan-juil) : les chiffres d'un semestre record

À la mi-parcours de l'année 2026, les 7 bulletins Patch Tuesday publiés dessinent un bilan sans équivoque : Microsoft et ses équipes de recherche en sécurité ont franchi un cap quantitatif sans précédent dans l'histoire du programme mensuel de correctifs. Les 2 575 CVE corrigées en 7 mois dépassent déjà le total annuel de toutes les années antérieures à 2024, et la cadence actuelle projette l'année 2026 vers un total final de 4 000 à 4 500 CVE — un doublement par rapport à 2025.

Mois CVE totales Critiques Zero-days exploités CVSS max Profil de risque
Janvier 2026 310 84 2 9.9 Volume élevé + zero-days
Février 2026 169 9 6 10.0 Intensité maximale (6 0-days)
Mars 2026 460 123 0 10.0 Densité critique record (26,7%)
Avril 2026 701 63 2 10.0 Record volume absolu
Mai 2026 602 48 3 10.0 Volume très élevé + Secure Boot
Juin 2026 206 28 6 9.8 Intensité maximale (6 0-days)
Juillet 2026 127 18 2 9.8 Modéré + SharePoint 0-day critique
TOTAL 7 mois 2 575 373 21 — Année record projetée à +4000 CVE

Analyse des 4 profils de risque identifiés en 2026

En examinant les 7 bulletins, quatre profils de risque distincts émergent, chacun exigeant une réponse opérationnelle différente. Comprendre ces profils permet d'anticiper et de préparer les processus de réponse avant la publication du bulletin mensuel.

Profil 1 — Intensité d'exploitation (février, juin) : Volume modéré mais 6 zero-days exploités activement. Ce profil active les procédures d'urgence et raccourcit les délais de déploiement à 24-72h pour les composants concernés. En 2026, ce profil a frappé deux fois avec la même intensité (6 zero-days), ce qui suggère des cycles d'activité des acteurs menaçants plutôt qu'une tendance linéaire.

Profil 2 — Volume record (avril, mai) : 601 et 602 CVE respectivement, avec des critiques mais peu de zero-days. Ce profil teste la capacité opérationnelle des équipes de vulnerability management : pas d'urgence immédiate, mais un travail de triage et de déploiement disproportionné par rapport aux processus conçus pour des bulletins de 100-200 CVE. Les outils de priorisation automatique sont particulièrement précieux dans ce profil.

Profil 3 — Densité critique sans exploitation (mars) : 123 CVE critiques sur 460, sans zero-day exploité. Ce profil offre une fenêtre de planification confortable mais exige une priorisation fine des 123 critiques par vecteur d'attaque et exposition. Le risque principal est le faux sentiment de sécurité lié à l'absence d'exploitation active — les 123 critiques sont néanmoins des failles sérieuses dont certaines seront exploitées dans les semaines suivant leur publication.

Profil 4 — Mixte ciblé (janvier, juillet) : Volume modéré (127-310 CVE), peu de zero-days (2) mais des cibles systémiques à fort impact (AD FS, SharePoint, Kerberos). Ce profil exige une lecture fine du contenu du bulletin plutôt qu'une réaction proportionnelle au volume.

Les tendances structurelles de 2026

L'IA comme moteur de découverte de failles : implications pour les équipes sécurité

La tendance la plus structurante de 2026 est la double accélération alimentée par l'IA : les outils de Microsoft (MDASH) et des chercheurs externes découvrent des failles en quelques jours là où les méthodes traditionnelles prenaient des mois. Cette accélération de la découverte se traduit mécaniquement par une hausse des volumes CVE. Mais l'IA accélère aussi le développement d'exploits par les attaquants. En 2020, le délai moyen entre la publication d'un patch et un exploit stable était de 30 à 45 jours. En 2026, ce délai est estimé à moins de 6 jours pour les CVE critiques accompagnées de détails techniques publics.

Pour les équipes sécurité, cette double accélération crée un paradoxe opérationnel : le patch est disponible plus vite (grâce aux outils IA de l'éditeur), mais l'exploit arrive aussi plus vite (grâce aux mêmes outils chez les attaquants). La "fenêtre dorée" entre la publication du patch et la disponibilité d'un exploit stable, qui était de plusieurs semaines en 2020, est aujourd'hui compressée à quelques jours. Les organisations dont le cycle de patching mensuel prend 2 à 4 semaines de déploiement vivent désormais systématiquement dans la fenêtre d'exploit.

NIS2 : la documentation comme enjeu stratégique

La directive NIS2 a introduit des obligations formelles de gestion des vulnérabilités avec documentation des délais et des décisions de priorisation. Les premiers audits NIS2 en France en 2026 ont révélé que la traçabilité du processus de vulnerability management est l'un des points de contrôle les plus fréquemment insuffisants. Face à 2 575 CVE en 7 mois, maintenir manuellement cette documentation est pratiquement impossible — les organisations qui ne se sont pas dotées d'un outil de vulnerability management centralisé (Qualys VMDR, Tenable One, Rapid7 InsightVM) se retrouvent dans une impasse documentaire.

Active Directory, cible persistante des zero-days

Sur les 21 zero-days exploités en 7 mois, une proportion significative cible des composants liés à l'identité et à l'authentification Windows : AD FS, LDAP, Kerberos, NTLM. Ce pattern reflète la stratégie des acteurs menaçants modernes : compromettre la couche d'identité pour obtenir un accès latéral maximal avec des identifiants légitimes, rendant la détection plus difficile que les exploitations traditionnelles via des malwares. L'investissement dans les solutions ITDR (Identity Threat Detection and Response) et dans le tiering Active Directory n'a jamais été aussi justifié.

Recommandations stratégiques pour H2 2026

Adopter un score de priorisation contextuel : Le score CVSS brut est insuffisant pour traiter 368 CVE par mois. Passer à un score contextuel intégrant l'exposition effective de l'actif, sa criticité business, et le statut d'exploitation en temps réel (EPSS, flux de threat intelligence). Des outils comme Tenable One et Qualys VMDR implémentent ce scoring nativement.

Formaliser une procédure OOB : Avec une moyenne de 3 correctifs hors-bande par mois en 2026, la procédure OOB n'est plus exceptionnelle — c'est un processus standard. Définir clairement : qui décide du déploiement d'un OOB, dans quel délai (24h pour zero-day exploité, 72h pour critique sans exploitation), avec quelle procédure de test accéléré.

Renforcer la surveillance des composants d'identité : Les solutions ITDR permettent de détecter en temps réel les tentatives d'exploitation des composants AD ciblés par les zero-days 2026. Microsoft Defender for Identity, CrowdStrike Falcon Identity et Semperis Directory Services Protector sont les solutions leaders sur ce segment.

Documenter mensuellement pour NIS2 : Créer un registre mensuel de vulnerability management avec : date de réception du bulletin, décisions de priorisation et leurs justifications, dates de déploiement par groupe d'actifs, exceptions documentées avec compensations. Ce registre est la pièce maîtresse des audits NIS2 et ISO 27001 clauseA.8.8.

Bilan Patch Tuesday H1 2026 — À retenir

  • 2 575 CVE en 7 mois — record, 67% au-dessus de 2025, projection 2026 à 4000-4500 CVE
  • 4 profils de risque — intensité exploitation (fév/juin), volume record (avr/mai), densité critique (mars), mixte ciblé (jan/juil)
  • Délai exploit < 6 jours — le cycle mensuel de patching ne couvre plus la fenêtre d'exploitation des CVE critiques
  • 21 zero-days exploités avec concentration sur les composants Active Directory/identité
  • NIS2 oblige la documentation — registre mensuel de vulnerability management indispensable pour les audits 2026-2027

Combien de CVE Microsoft faut-il prévoir pour l'ensemble de l'année 2026 ?

Sur la base des 2 575 CVE des 7 premiers mois, la projection pour 2026 complète se situe entre 4 000 et 4 500 CVE Microsoft — plus du double des volumes de 2024. Cette projection intègre une légère décélération possible au second semestre liée à la saturation des composants déjà analysés par les outils IA de Microsoft, et un probable retour sous les 400 CVE mensuels après les pics d'avril-mai. Si la tendance se confirme, 2026 sera l'année de transition vers un modèle de vulnerability management continu, incompatible avec les processus mensuels traditionnels.

Comment comparer l'intensité des différents mois pour prioriser les ressources de mon équipe ?

Le score CVSS maximal et le nombre de zero-days exploités sont les deux indicateurs les plus utiles pour évaluer rapidement l'intensité d'un bulletin et calibrer l'urgence de réponse. Un bulletin avec 0 zero-day exploité permet un processus standard de 4 semaines même si le volume est élevé. Un bulletin avec 4+ zero-days exploités active la procédure d'urgence et réduit les délais à 24-72h pour les composants concernés. En 2026, les mois de février et juin (6 zero-days chacun) ont représenté les pics d'intensité opérationnelle malgré des volumes totaux modérés (169 et 206 CVE).

Quelles sont les catégories de vulnérabilités les plus représentées dans les 2 575 CVE de 2026 ?

En analysant les bulletins 2026 par type de vulnérabilité, trois catégories dominent : 1) Élévation de privilèges locales (EoP) — environ 35% des CVE, principalement dans le kernel Windows et les pilotes ; typiquement découvertes par les outils d'analyse IA sur des classes de bugs (integer overflow, use-after-free). 2) Exécution de code à distance (RCE) — environ 28% des CVE, concentrées sur les composants réseau (LDAP, RDS, TCP/IP) et applicatifs (Office, SharePoint) ; c'est cette catégorie qui concentre les zero-days critiques. 3) Divulgation d'informations (ID) — environ 20% des CVE ; souvent moins urgentes mais importantes dans des environnements régulés (données personnelles, propriété intellectuelle).

Pour approfondir l'analyse de chaque mois, consultez nos articles dédiés : Patch Tuesday mars 2026 (123 critiques) et Patch Tuesday juillet 2026 (622 CVE record). Pour sécuriser votre infrastructure face aux vecteurs Active Directory ciblés en 2026, notre guide audit Active Directory 2026 couvre les méthodes de détection et remédiation. Découvrez également notre offre de RSSI externalisé pour piloter la gestion des vulnérabilités sans recruter en interne.