Patch Tuesday sept. 2026 : 973 CVE et 2 zero-days exploités

Un Patch Tuesday historique : 973 vulnérabilités corrigées en un seul cycle

Le 8 septembre 2026, Microsoft a publié ses mises à jour de sécurité mensuelles dans le cadre du Patch Tuesday de septembre, marquant l'un des cycles correctifs les plus volumineux de l'histoire de la firme de Redmond avec 973 vulnérabilités adressées. Ce volume dépasse significativement les moyennes observées ces dernières années et illustre la complexité croissante des écosystèmes logiciels Microsoft, ainsi que l'intensification des efforts de détection de failles par la communauté de recherche en sécurité mondiale. À titre de comparaison, le précédent record mensuel de 2026 datait du Patch Tuesday de juin, lui-même qualifié de record à l'époque.

La répartition des vulnérabilités révèle l'étendue de la surface d'attaque Microsoft : 723 failles affectent Windows lui-même, 111 concernent Microsoft Office, 62 touchent SQL Server, 22 les outils de développement, 16 SharePoint Server et 9 Exchange Server. Cette distribution montre que Windows reste de loin le composant le plus exposé, ce qui n'est pas surprenant compte tenu de la complexité du système d'exploitation et de la multiplicité de ses composants internes. L'ensemble couvre des environnements aussi divers que les postes de travail grand public, les serveurs d'entreprise, les plateformes de collaboration et les services cloud Azure.

Parmi les 973 correctifs, deux vulnérabilités se distinguent par leur statut critique : elles sont déjà exploitées en conditions réelles au moment de la publication des patches, ce qui leur confère le qualificatif de zero-day et impose une réaction d'urgence de la part des équipes de sécurité. Ces deux failles sont classées « Important » par Microsoft — un niveau certes inférieur à « Critical » — mais leur exploitation active en fait les priorités absolues du mois de septembre 2026, devant même des failles theoriquement plus sévères mais non encore exploitées dans la nature.

La première vulnérabilité zero-day, répertoriée sous l'identifiant CVE-2026-85880, affecte le composant Windows Advanced Local Procedure Call (ALPC), un mécanisme de communication inter-processus fondamental dans l'architecture Windows depuis l'époque NT. La faille permet à un attaquant disposant déjà d'un accès local au système d'effectuer une élévation de privilèges, passant potentiellement d'un compte utilisateur standard à des droits SYSTEM, le niveau le plus élevé sous Windows. Ce type de vulnérabilité est particulièrement prisé dans les chaînes d'exploitation post-compromission, où l'attaquant cherche à consolider son emprise sur un système après une intrusion initiale par phishing, exploitation d'une application web ou accès physique.

La seconde zero-day, CVE-2026-81963, réside dans le composant Windows Update Stack et constitue également une vulnérabilité d'élévation de privilèges locale. Selon l'analyse de Check Point Research, qui a contribué à sa découverte et à sa divulgation responsable, la faille résulte d'une résolution incorrecte de liens symboliques avant l'accès aux fichiers, une technique connue sous le nom de « link following » ou CWE-59. Un attaquant peut ainsi accéder à des fichiers ou des répertoires normalement hors de sa portée, lui permettant d'élever ses privilèges dans le contexte local. L'ironie de cette faille est notable : le composant chargé d'appliquer les mises à jour de sécurité devient lui-même un vecteur d'escalade de privilèges.

Au-delà des deux zero-days, le volume total de 973 correctifs englobe des failles de sévérité variée. Les correctifs critiques concernent notamment Exchange Server, où des vulnérabilités d'exécution de code à distance (RCE) ont été identifiées, ainsi que plusieurs composants Azure affectant les environnements cloud d'entreprise. SharePoint Server, omniprésent dans les intranets d'entreprise, bénéficie de 16 correctifs, ce qui impose une coordination particulière entre les équipes IT et sécurité pour éviter les interruptions de service lors des maintenances. SQL Server, avec ses 62 failles corrigées, rappelle que les bases de données restent une cible de choix pour les attaquants cherchant à accéder à des données sensibles.

Les équipes de sécurité font face à un défi logistique considérable ce mois de septembre : coordonner des opérations de patch sur des postes de travail Windows, des serveurs Exchange et SharePoint, des instances SQL Server, des environnements Azure et des pipelines de développement, le tout en mobilisant les validations de la Direction des Systèmes d'Information et les fenêtres de maintenance imposées par les contraintes métier. D'après les premières analyses partagées par Tenable et Rapid7, aucun des 973 correctifs ne couvre une vulnérabilité de type wormable (propagation automatique de réseau à réseau) dans les conditions actuelles, ce qui limite légèrement l'urgence absolue. Néanmoins, la présence de deux zero-days activement exploités suffit à classer ce Patch Tuesday parmi les plus critiques de 2026.

Microsoft déploie ces correctifs via Windows Update, WSUS, Microsoft Endpoint Configuration Manager (MECM) et Intune. Pour les environnements Azure, la grande majorité des correctifs sont appliqués automatiquement par Microsoft côté infrastructure, mais certains services nécessitent des actions explicites de la part des équipes clients, notamment pour les machines virtuelles IaaS et certains services PaaS personnalisés. Une vérification des bulletins Azure Security Updates est donc indispensable pour les organisations ayant des déploiements Azure significatifs.

Pourquoi ce Patch Tuesday concentre l'attention des RSSI européens

Le volume exceptionnel de 973 correctifs en un seul Patch Tuesday reflète plusieurs tendances de fond dans le paysage de la sécurité des logiciels. La professionnalisation croissante de la recherche en vulnérabilités est la première explication : de plus en plus de chercheurs indépendants, d'équipes Red Team internes et de programmes de bug bounty structurés alimentent un pipeline de signalement qui atteint aujourd'hui des volumes sans précédent. Microsoft récompense les chercheurs via son programme MSRC (Microsoft Security Response Center), avec des primes pouvant atteindre plusieurs centaines de milliers de dollars pour les failles les plus critiques, ce qui crée une incitation économique forte à la découverte et au signalement responsable.

Ce Patch Tuesday illustre également la dette technique accumulée dans les composants historiques de Windows. Des composants comme ALPC, présents depuis l'architecture Windows NT, concentrent une complexité interne que les équipes de Microsoft auditent en profondeur, mais dont la surface d'attaque reste vaste. L'élévation de privilèges via ALPC (CVE-2026-85880) n'est pas une première : des chercheurs ont régulièrement identifié des failles dans ce composant ces dernières années, suggérant une surface d'attaque persistante malgré les efforts de renforcement et de sandboxing progressivement introduits.

Pour les responsables de la sécurité des systèmes d'information (RSSI) des entreprises françaises, ce Patch Tuesday arrive dans un contexte particulièrement tendu. Les obligations de mise à jour rapide imposées par NIS2 et, dans le secteur financier, par DORA, réduisent les marges de manœuvre pour une application différée des correctifs. La présence de zero-days exploités renforce encore la pression réglementaire : un incident survenant après publication d'un patch non appliqué expose l'organisation à des sanctions au titre de la négligence dans la gestion des vulnérabilités connues. L'ANSSI recommande systématiquement d'appliquer les correctifs concernant des vulnérabilités exploitées dans un délai maximal de 72 heures pour les systèmes exposés.

La multiplication des correctifs Azure traduit enfin l'expansion rapide des services cloud de Microsoft et les défis de sécurité qui l'accompagnent. Avec des milliers d'entreprises européennes hébergeant des données critiques dans Azure, chaque vulnérabilité non patchée dans l'infrastructure cloud représente un risque systémique. La responsabilité partagée dans le cloud signifie que Microsoft gère l'infrastructure sous-jacente mais que les clients conservent la responsabilité de leurs configurations, de leurs machines virtuelles et de leurs applications — un partage qui complexifie la gouvernance des patches dans les environnements hybrides.

Ce qu'il faut retenir

• Prioriser immédiatement CVE-2026-85880 (Windows ALPC, élévation de privilèges) et CVE-2026-81963 (Windows Update Stack, link following), les deux zero-days activement exploités.
• Coordonner les opérations de patch sur l'ensemble de l'écosystème Microsoft : endpoints Windows, Exchange Server, SharePoint, SQL Server et Azure.
• Vérifier les bulletins Azure Security Updates pour identifier les correctifs nécessitant une action explicite côté client, les autres étant déployés automatiquement par Microsoft.