Patch Tuesday avril 2026 : Microsoft corrige 167 failles

Ce qui s'est passé

Microsoft a publié le 14 avril 2026 son traditionnel Patch Tuesday mensuel, corrigeant cette fois 167 vulnérabilités à travers l'ensemble de son écosystème : Windows, Office, Azure, Edge, Dynamics et Visual Studio. Parmi ces failles, deux sont classées comme zero-days, c'est-à-dire qu'elles étaient connues ou exploitées avant la disponibilité du correctif, selon BleepingComputer qui a détaillé le bulletin.

Ce volume de 167 correctifs place ce Patch Tuesday parmi les plus chargés depuis celui d'octobre 2025, qui en comptait 172. La tendance à la hausse du nombre de vulnérabilités traitées chaque mois confirme la complexité croissante de la surface d'attaque des produits Microsoft, amplifiée par l'intégration accélérée de fonctionnalités d'intelligence artificielle comme Copilot.

Le contexte est d'autant plus sensible que la CISA (Cybersecurity and Infrastructure Security Agency) a parallèlement alerté sur l'exploitation active de quatre anciennes vulnérabilités Microsoft par des groupes de ransomware, dont certaines remontent à plus de dix ans. Le groupe Storm-1175, lié à des opérations financières depuis la Chine et associé au ransomware Medusa, est particulièrement actif dans l'exploitation rapide de ces failles, d'après The Register.

Pourquoi c'est important

Avec 167 failles corrigées en un seul cycle, la charge de travail pour les équipes IT et sécurité est considérable. La présence de deux zero-days impose un déploiement en urgence, au moins pour les systèmes exposés à Internet. Les entreprises qui retardent l'application de ces correctifs s'exposent à un risque accru, d'autant que les groupes de ransomware comme Storm-1175 exploitent désormais les vulnérabilités dans les heures suivant leur divulgation.

Pour les organisations utilisant des environnements hybrides (on-premise et cloud Azure), la coordination du patching est un défi logistique majeur. Ce Patch Tuesday massif rappelle l'importance d'une stratégie de gestion des vulnérabilités automatisée et priorisée par le risque réel, plutôt que par le simple score CVSS.

Ce qu'il faut retenir

• Déployez en priorité les correctifs pour les deux zero-days sur tous les systèmes exposés, en particulier les postes de travail et serveurs accessibles depuis Internet.
• Vérifiez que les anciennes vulnérabilités Microsoft signalées par la CISA sont bien patchées dans votre environnement, certaines datant de plus de dix ans.
• Surveillez les indicateurs de compromission liés au groupe Storm-1175 et au ransomware Medusa, particulièrement actifs sur les failles Microsoft récentes.