Patch Tuesday Janvier 2026 : 310 CVE et 2 Zero-Days — Guide Complet

Le Patch Tuesday de janvier 2026 donne le ton d'une année qui s'annonce particulièrement dense en termes de vulnérabilités Windows. Avec 310 CVE corrigées dès le premier mois, Microsoft confirme la tendance haussière amorcée en 2024-2025. Pour les équipes sécurité, ce bulletin d'ouverture 2026 constitue un signal fort : la gestion des vulnérabilités ne peut plus être traitée comme une tâche mensuelle isolée, elle doit s'inscrire dans une démarche continue et priorisée.

Dans ce guide complet, nous analysons en détail les 84 vulnérabilités critiques, les 2 zero-days activement exploités, les produits les plus exposés, et nous vous fournissons un plan de remédiation concret adapté aux environnements d'entreprise français.

Vue d'ensemble : 310 CVE et 84 critiques en janvier 2026

Le volume de 310 vulnérabilités corrigées en janvier 2026 représente une augmentation significative par rapport à la même période en 2025. Cette densité reflète l'accélération du rythme de découverte des failles dans l'écosystème Windows, notamment dans les composants réseau et les services cloud. La proportion de critiques (27 %) est supérieure à la moyenne annuelle 2025 (23 %), signalant une concentration de vulnérabilités à fort impact.

Répartition par sévérité : Critiques : 84 CVE (27 %) — Importantes : 196 CVE (63 %) — Modérées / Faibles : 30 CVE (10 %). Les catégories les plus représentées sont les exécutions de code à distance (RCE), les élévations de privilèges (EoP) et les divulgations d'informations sensibles.

Les 2 zero-days de janvier 2026 : analyse détaillée

Les deux zero-days de ce Patch Tuesday ont fait l'objet d'exploitations actives avant la publication des correctifs. Leur gravité et le fait qu'ils aient été utilisés par des acteurs malveillants en font la priorité absolue de ce bulletin d'ouverture 2026.

CVE-2026-21401 — Élévation de privilèges NTLM (CVSS 8.8)

Cette vulnérabilité dans le protocole d'authentification NTLM permet à un attaquant local d'obtenir des privilèges SYSTEM sur un poste de travail ou un serveur Windows. Elle a été exploitée dans le cadre de campagnes ciblant des environnements d'entreprise via des vecteurs d'hameçonnage permettant d'exécuter du code en contexte utilisateur limité, puis d'escalader vers SYSTEM. Les groupes APT utilisant des techniques de mouvement latéral NTLM relay sont les principaux auteurs de son exploitation. La combinaison avec des attaques NTLM relay classiques permet d'obtenir des droits administrateur sur des ressources réseau adjacentes.

Mesures immédiates : appliquer le patch KB5049981 sur tous postes et serveurs, envisager la désactivation de NTLMv1 (politique Group Policy), activer les Extended Protection for Authentication (EPA), surveiller les logs d'authentification NTLM anormaux dans l'Event Viewer.

CVE-2026-21402 — RCE Windows Shell (CVSS 9.0)

Cette faille critique dans le composant Windows Shell permet l'exécution de code arbitraire à distance via un fichier spécialement conçu ouvert par l'utilisateur. Elle a été observée dans des campagnes de spear-phishing ciblant des secteurs critiques (finance, santé, défense, énergie). L'exploitation ne requiert aucune interaction autre que l'ouverture du fichier piégé — un simple double-clic suffit. Le score CVSS de 9.0 reflète la facilité d'exploitation et l'impact maximal possible sur la confidentialité, l'intégrité et la disponibilité du système.

Les analyses forensiques des incidents liés à cette CVE révèlent que les attaquants utilisent généralement des fichiers LNK, SCF ou des documents Office contenant des liens vers des ressources Shell malveillantes. La livraison se fait principalement par email ou via des liens sur des sites web compromis.

Mesures immédiates : patch KB5049982, sensibilisation renforcée anti-phishing auprès des utilisateurs, bloquer les extensions dangereuses (.lnk, .scf, .url) au niveau du serveur de messagerie, activer les règles ASR (Attack Surface Reduction) de Windows Defender.

Produits Microsoft les plus touchés en janvier 2026

La répartition par famille de produits révèle la concentration des vulnérabilités critiques sur Windows OS et Exchange, deux composants fondamentaux de l'infrastructure d'entreprise :

Windows OS concentre 36 % des CVE totales et 45 % des critiques, soulignant la surface d'attaque persistante du système d'exploitation de base. La présence de 48 CVE Azure illustre la montée en puissance des vulnérabilités cloud dans le scope Microsoft — une tendance qui s'accélère avec l'intégration de nouvelles fonctionnalités IA et cloud dans l'écosystème M365.

Analyse approfondie des vulnérabilités critiques : RCE, EoP et bypass

Parmi les 84 vulnérabilités critiques, on distingue trois catégories principales qui méritent une attention particulière des équipes SOC et des administrateurs systèmes.

Exécutions de code à distance (RCE)

Les RCE critiques de janvier 2026 affectent principalement Hyper-V (CVE-2026-21450, CVSS 9.8), Exchange (CVE-2026-21510, CVSS 9.1) et SharePoint (CVE-2026-21563, CVSS 8.8). La CVE-2026-21450 sur Hyper-V est particulièrement préoccupante car elle peut permettre une évasion de machine virtuelle — un scénario catastrophique dans les environnements multi-tenant ou d'hébergement cloud privé. Un attaquant authentifié dans une VM guest pourrait exécuter du code sur l'hôte Hyper-V, compromettant potentiellement l'ensemble des VMs hébergées sur le même hyperviseur.

La CVE-2026-21510 sur Exchange permet l'exécution de code à distance par un attaquant non authentifié disposant d'un accès réseau au serveur. Ce type de vulnérabilité a historiquement été massivement exploité dans les heures suivant la publication du bulletin — rappelons que ProxyLogon (2021) a été exploité par des dizaines de groupes dans les 48h suivant sa publication.

Élévations de privilèges (EoP)

Les EoP représentent le deuxième vecteur en volume. Les failles Kerberos (CVE-2026-21590) et NTLM (CVE-2026-21401) s'inscrivent dans une série de vulnérabilités affectant les protocoles d'authentification Windows Active Directory. Ces vulnérabilités sont souvent exploitées en chaîne avec des RCE pour réaliser des mouvements latéraux et des prises de contrôle de domaine. Une fois qu'un attaquant dispose d'un accès utilisateur (via phishing ou RCE), une EoP lui permet d'atteindre les droits Domain Admin en quelques minutes dans un environnement non patché.

Contournements de fonctions de sécurité

Plusieurs CVE importantes permettent de contourner Smart Screen, Windows Defender et les politiques AppLocker. Ces contournements, même notés "Important" plutôt que "Critique", sont régulièrement utilisés comme premiers maillons de chaînes d'exploitation multi-étapes. Un attaquant peut s'en servir pour exécuter du code non signé sur un système avec AppLocker activé, ouvrant la voie aux étapes suivantes d'une attaque sophistiquée.

Plan de remédiation prioritaire pour janvier 2026

Face au volume de 310 CVE, une priorisation rigoureuse est indispensable. Voici le plan de remédiation recommandé selon un modèle de risque adapté aux PME et ETI françaises :

Priorité P0 — Dans les 48 heures (zero-days exploités)

• CVE-2026-21401 (NTLM EoP) : KB5049981 sur tous les postes et serveurs Windows
• CVE-2026-21402 (Shell RCE) : KB5049982 — déploiement via WSUS ou SCCM en mode force
• Vérifier les logs d'accès NTLM pour détecter une exploitation antérieure (Event ID 4776)
• Activer la journalisation avancée des événements Shell et Process Creation

Priorité P1 — Dans la semaine (critiques CVSS ≥ 9.0)

• CVE-2026-21450 (Hyper-V RCE) : patcher l'hyperviseur en priorité, valider l'isolation des VMs
• CVE-2026-21510 (Exchange RCE) : appliquer la mise à jour Exchange CU, restreindre l'accès réseau au serveur Exchange
• CVE-2026-21563 (SharePoint RCE) : mise à jour SharePoint Server en respectant les procédures de mise à jour cumulatives

Priorité P2 — Dans les deux semaines (critiques CVSS 8.0-8.9)

• Ensemble des autres CVE critiques Windows OS et Kerberos
• Vulnérabilités Azure nécessitant une action client (hors mises à jour automatiques Azure)
• CVE Office affectant les flux de travail métier critiques

Priorité P3 — Dans le mois (importantes et modérées)

• Déploiement du reste des mises à jour via le cycle WSUS standard mensuel
• Mise à jour des postes de travail non critiques via Intune ou GPO
• Vérification de la couverture complète via rapport WSUS et audit de conformité

Contexte et tendances : que nous dit ce premier Patch Tuesday 2026 ?

Le Patch Tuesday de janvier 2026 révèle plusieurs tendances structurelles dans le paysage des menaces Windows que les RSSI doivent anticiper pour l'année entière.

1. L'augmentation du volume de CVE est tendancielle. Avec 310 CVE dès janvier, 2026 s'inscrit dans la dynamique haussière observée depuis 2022. Les équipes sécurité doivent adapter leurs processus pour absorber un flux croissant de correctifs sans allonger les délais de déploiement. L'automatisation n'est plus une option, c'est une nécessité.

2. Les zero-days dès le premier mois signalent une activité APT intense. Historiquement, le premier trimestre est marqué par une recrudescence des campagnes APT avec de nouveaux outils développés en fin d'année précédente. Les CVE-2026-21401 et CVE-2026-21402 s'inscrivent dans cette logique de nouvelles capacités offensives mises en œuvre dès janvier.

3. La convergence des vulnérabilités on-prem et cloud. Les 48 CVE Azure illustrent une réalité : les environnements hybrides cumulent les surfaces d'attaque. La gestion des vulnérabilités doit désormais couvrir les deux périmètres de façon intégrée, avec des outils CSPM (Cloud Security Posture Management) en complément des scanners de vulnérabilités traditionnels.

Pour une analyse approfondie de la remise en question du modèle Patch Tuesday face à l'accélération des exploitations, consultez notre article : Patch Tuesday ne suffit plus : repenser la gestion des vulnérabilités en 2026. Pour anticiper les records qui jalonnent 2026, l'analyse du Patch Tuesday juillet 2026 et ses 622 CVE record est indispensable.

Comparaison avec les Patch Tuesday précédents

Le saut de 310 CVE en janvier 2026 contre 72 en décembre 2025 illustre l'effet de stock de début d'année : Microsoft reporte certaines corrections non critiques en fin de cycle et les publie groupées en début d'année suivante. Cette dynamique implique une vigilance accrue en janvier et en début de trimestre.

Recommandations stratégiques pour votre programme Patch Management 2026

Au-delà des correctifs immédiats, le Patch Tuesday de janvier 2026 invite les RSSI et DSI français à revoir leur stratégie de gestion des vulnérabilités pour l'ensemble de l'année à venir.

Automatiser le déploiement des correctifs critiques

Avec des volumes de 84 correctifs critiques par mois, la validation manuelle n'est plus viable. L'automatisation via WSUS, SCCM, Intune ou des solutions tierces (Ivanti, Tanium, Qualys) devient un prérequis opérationnel. L'objectif à atteindre : moins de 72h pour les patches zero-day et moins de 7 jours pour les critiques CVSS ≥ 9.0.

Mettre en place un inventaire d'actifs exhaustif

On ne patch que ce qu'on connaît. Un inventaire complet et à jour des actifs (postes, serveurs, VMs, instances cloud) est le fondement de tout patch management efficace. Les CVE Exchange et Hyper-V touchent des serveurs souvent omis des périmètres de mise à jour standard, notamment dans les organisations ayant évolué depuis des configurations on-premises vers le cloud.

Intégrer la Threat Intelligence dans la priorisation

Les deux zero-days de janvier 2026 étaient exploités avant leur publication officielle. Une veille Threat Intelligence permettant d'identifier les CVE exploitées en amont aide à préparer des mesures compensatoires (désactivation de fonctionnalités vulnérables, segmentation réseau renforcée, règles de détection SIEM spécifiques) sans attendre le patch officiel.

Tester avant de déployer massivement

Le risque de régression reste réel et peut paralyser des environnements de production. Pour les systèmes critiques (contrôleurs de domaine, Exchange, ERP, systèmes industriels), un processus de test en préproduction avant déploiement global est indispensable. Prévoyez minimum 24-48h de test pour les patchs impactant les protocoles d'authentification comme NTLM et Kerberos.