Le Patch Tuesday de septembre 2026 est une publication Microsoft d’une ampleur record, mais votre première action est simple : corriger les deux zero-days exploités, CVE-2026-81963 et CVE-2026-85880. Passez ensuite aux serveurs exposés à Internet et aux failles d’exécution de code à distance potentiellement exploitables en ver, en particulier Exchange Server et Remote Desktop Services. Ne poursuivez pas d’abord le plus grand numéro de CVE. Poursuivez le risque accessible.
Patch Tuesday de septembre 2026 : pourquoi le « record » est confus
Le Patch Tuesday de Microsoft de septembre 2026 est tombé le 8 septembre 2026, et les fournisseurs de sécurité l’ont rapidement qualifié de plus grande publication Patch Tuesday jamais enregistrée. Le décompte exact dépend de qui compte et de ce qu’ils incluent. Les rapports ont cité 966, 972, 974 ou jusqu’à 997 vulnérabilités lorsque les CVE Chromium, externes ou non-Microsoft sont intégrés au total.
Cela ressemble à un débat de comptabilité. Ce n’en est pas un. Si votre tableau de bord affiche « 974 CVE » et que votre équipe essaie de les traiter toutes comme équivalentes, vous avez déjà perdu la semaine.
CrowdStrike a signalé 972 CVE Microsoft, dont 113 vulnérabilités critiques, tandis que la Zero Day Initiative a compté 114 éléments critiques lorsque des problèmes externes ou documentés par Chromium étaient inclus. SecurityWeek a indiqué que Microsoft avait corrigé 723 failles Windows, 222 bogues de la suite Office, 62 bogues SQL, 22 bogues d’outils de développement, 16 bogues SharePoint Server, 12 bogues Azure, 10 bogues Skype for Business et 9 bogues Exchange Server dans la publication de septembre 2026.
La question utile est plus restreinte : quelles failles sont déjà exploitées, accessibles depuis l’extérieur, non authentifiées ou susceptibles de devenir des cibles d’exploitation de masse ? La publication de septembre est énorme, mais seuls deux zero-days Microsoft ont été confirmés ou signalés comme exploités le jour de la publication. C’est le point d’ancrage du triage.
Corrigez d’abord ces deux zero-days exploités
Le premier niveau du Patch Tuesday de septembre 2026 n’est pas négociable : CVE-2026-81963 et CVE-2026-85880. La CISA a ajouté les deux à son catalogue Known Exploited Vulnerabilities et a fixé une échéance de remédiation au 22 septembre 2026 pour les agences civiles fédérales américaines. Même si vous n’êtes pas une agence fédérale, l’inscription au KEV est un signal utile, car elle indique une exploitation observée, et non une gravité théorique.
CVE-2026-81963 est une vulnérabilité d’élévation de privilèges de Windows Update Stack avec un score CVSS 3.1 de 7.8. Le vecteur d’attaque est local, de faibles privilèges sont requis, et aucune interaction utilisateur n’est nécessaire. En termes simples, ce n’est généralement pas le premier point d’appui ; c’est le type de bogue qu’un attaquant recherche après avoir compromis une machine.
CVE-2026-85880 affecte Windows Advanced Local Procedure Call, ou ALPC, et est également notée CVSS 7.8. Elle a été décrite comme un dépassement de tampon basé sur le tas pouvant permettre une élévation locale de privilèges. Encore une fois, local ne signifie pas faible risque. Une charge utile de phishing, un compte VPN volé, un programme d’installation malveillant ou l’exploitation d’un service exposé peuvent donner à un attaquant la position de départ dont il a besoin.
Voici l’écueil que beaucoup de résumés de correctifs omettent : les failles d’élévation de privilèges deviennent plus dangereuses lorsque votre parc de terminaux présente un confinement faible. Si les utilisateurs standard peuvent écrire dans des emplacements risqués, exécuter des outils non signés ou accéder à des outils d’administration depuis des postes de travail compromis, une faille « locale » peut devenir le pont entre un ordinateur portable infecté et une compromission du domaine. Si vous avez besoin d’un modèle plus large pour réduire ce rayon d’impact, le guide de ce site sur la vérification Zero Trust est un complément utile à la priorisation des correctifs.
Tableau de priorité : quoi corriger avant le week-end
Les équipes de sécurité ont besoin d’un ordre des opérations. Pas d’un vidage de CVE de 900 lignes. Le tableau ci-dessous utilise les faits de septembre 2026 qui comptent le plus : statut d’exploitation, accessibilité, exposition opérationnelle probable et conséquences d’un retard.
| Priorité | Zone | Exemples de 2026 | Pourquoi cela se trouve ici |
|---|---|---|---|
| 1 | Zero-days Microsoft exploités | CVE-2026-81963, CVE-2026-85880 | Déjà exploités ; échéance CISA KEV fixée au 2026-09-22 |
| 2 | RCE sur serveur exposé à Internet | Exchange Server CVE-2026-55007; RDS CVE-2026-69525 | L’exploitation à distance peut frapper une infrastructure exposée avant même que les terminaux ne soient touchés |
| 3 | Services potentiellement auto-propagateurs | DNS, DHCP, MSMQ, NFS, SSTP VPN, Netlogon, Kerberos, RRAS | ZDI a compté 20 bugs comme potentiellement auto-propagateurs en raison d’une RCE distante, non authentifiée, sans interaction utilisateur |
| 4 | Systèmes de collaboration accessibles depuis l’extérieur | SharePoint Server, Exchange, Skype for Business là où ils sont encore déployés | Points d’entrée à forte valeur avec un large accès aux identités et aux documents |
| 5 | Exposition des postes de travail et des applications | Office, Outlook, Word, Excel, PowerPoint, Edge-Chromium, Acrobat/Reader | Les flux de travail des utilisateurs, les volets de prévisualisation, les navigateurs et la gestion des documents créent des chemins d’exécution courants |
Un calcul concret aide. Supposons que vous gériez 2 000 terminaux Windows, 35 serveurs Windows, deux serveurs Exchange exposés à Internet, une passerelle Remote Desktop Services, et 250 postes de travail de finance et de juridique fortement axés sur Office. Corriger d’abord 2 000 ordinateurs portables peut améliorer l’apparence du graphique d’avancement, mais les quatre systèmes de messagerie et d’accès à distance accessibles depuis l’extérieur réduisent probablement une surface d’attaque plus immédiate par heure investie.
Les RCE exposées à Internet et potentiellement auto-propagatrices méritent une urgence de deuxième niveau
Après les zero-days exploités, votre prochain axe d’attention devrait être les chemins d’exécution de code à distance exposés. ZDI a signalé 20 vulnérabilités Microsoft de septembre 2026 comme potentiellement auto-propagatrices parce qu’elles permettent une exécution de code à distance, non authentifiée, sans interaction utilisateur. Cette formulation devrait changer le ton dans la salle.
Exchange Server CVE-2026-55007 se démarque. ZDI et SecurityWeek l’ont tous deux mis en avant comme un correctif côté serveur hautement prioritaire, avec un chemin d’attaque impliquant un e-mail contenant une pièce jointe Visio malveillante que l’indexation de contenu d’Exchange traite sans interaction utilisateur. Il n’est pas nécessaire qu’un utilisateur clique. Le serveur fait le travail dangereux.
Remote Desktop Services CVE-2026-69525 est un autre élément urgent. ZDI l’a signalé avec un score CVSS de 9.8 et exploitable à distance par un attaquant non authentifié sur les systèmes affectés. Si RDS est exposé directement à Internet, franchement, cette conception n’a de sens qu’avec des contrôles compensatoires très stricts, et même dans ce cas elle mérite un examen inconfortable.
CrowdStrike a également signalé des vulnérabilités RCE non authentifiées, accessibles sur le réseau, couvrant au moins 17 CVE dans DNS, DHCP, MSMQ, NFS et SSTP VPN. Ajoutez des services proches de l’identité comme Netlogon et Kerberos, ainsi que RRAS, Failover Cluster et SharePoint accessible depuis l’extérieur. Ce sont les systèmes pour lesquels un mauvais week-end de correctifs reste préférable à un mauvais mois de violation.
L’intégrité de la chaîne d’approvisionnement et des canaux de mise à jour compte aussi ici. Le déploiement des correctifs suppose que le chemin entre le fournisseur et le terminal est digne de confiance, mais l’infrastructure de routage et de mise à jour a déjà été détournée auparavant ; pour plus de contexte, voir l’analyse de la façon dont Le détournement BGP peut compromettre les mises à jour logicielles.
Utilisez le contexte des actifs, pas le volume brut de CVE
Le nombre brut de CVE est désormais un faible signal de triage. Le Patch Tuesday de septembre 2026 le prouve : publication d’une taille record, comptage incohérent, seulement deux zero-day Microsoft confirmés comme exploités, et une large répartition entre Windows, Office, SQL, Exchange, SharePoint, Azure et les outils de développement.
Le point de vue de Tenable, cité par SecurityWeek, était direct de la bonne manière : la découverte de vulnérabilités assistée par l’IA crée des bottes de foin plus grandes. Davantage de découvertes arrivent plus vite, mais l’aiguille est toujours définie par l’applicabilité, l’accessibilité, l’exploitabilité et le contexte métier.
Utilisez un court filtre de décision avant d’assigner un travail d’urgence :
- Le produit concerné est-il réellement présent dans votre environnement en 2026 ?
- Le composant vulnérable est-il exposé à Internet, accessible depuis des réseaux partenaires, ou accessible depuis des postes de travail ordinaires ?
- L’exploitation nécessite-t-elle une authentification, une interaction utilisateur ou une configuration spéciale ?
- Y a-t-il une exploitation active, un code de preuve de concept public, une inscription KEV, ou une mise en avant crédible du fournisseur ?
- La compromission de ce système exposerait-elle les identités, les e-mails, les partages de fichiers, les sauvegardes ou les outils d’administration ?
Ce filtre est plus efficace qu’un tri par sévérité. Un bug Critical dans un logiciel que vous n’utilisez pas n’est que du bruit ; un bug d’élévation locale de privilèges à l’apparence « modérée » sur chaque poste du helpdesk peut faire partie d’une véritable chaîne d’intrusion.
La détection doit aussi influencer l’ordonnancement. Si vous ne pouvez pas voir de manière fiable les tentatives d’exploitation contre Exchange, RDS ou les services d’identité, appliquez les correctifs plus tôt. Si vous utilisez la journalisation centralisée, l’aspect pratique est couvert dans ce guide sur la détection des menaces pilotée par le SIEM.
N’ignorez pas Office, les navigateurs et les menaces connexes de septembre
L’exposition des postes de travail vient après les zero-day exploités et les RCE de serveurs exposés, mais elle n’est pas facultative. CrowdStrike a signalé 135 correctifs Microsoft Office dans la publication de septembre 2026, tandis que le décompte plus large de SecurityWeek recensait 222 bugs de la suite Office. CrowdStrike a également signalé 22 correctifs Critical pour Office, dont 12 exploitables via le Preview Pane ou le Reading Pane.
Ce dernier détail compte. De nombreuses organisations considèrent encore « interaction utilisateur requise » comme une formule rassurante, mais les volets de prévisualisation et de lecture brouillent la frontière entre ouvrir un fichier et simplement traiter un e-mail normal. Pour la finance, le juridique, les RH, les assistants de direction et toute personne qui ouvre des documents non sollicités toute la journée, la mise à jour des postes de travail fait partie de la défense de première ligne.
Les navigateurs nécessitent une attention distincte, car septembre a aussi été chargé en dehors de Microsoft. Google a corrigé CVE-2026-85046, un zero-day Chrome V8 avec une exploitation connue le 3 septembre 2026, et The Register a ensuite signalé une incertitude concernant la couverture de l’avis Microsoft Edge. Si l’exposition à Edge-Chromium fait partie de votre parc, suivez directement le versioning du navigateur au lieu de supposer que le cumul mensuel raconte toute l’histoire. Le passage à des correctifs de navigateur plus rapides est expliqué dans l’article du site sur le cycle de mise à jour de deux semaines de Chrome.
Adobe a également compliqué les opérations de septembre. ZDI a indiqué qu’Adobe a publié 10 bulletins en septembre 2026 traitant 172 CVE dans Commerce, Campaign Classic, ColdFusion, Experience Manager, Acrobat/Reader, Photoshop, Illustrator, Animate et Photoshop Mobile. Séparément, Adobe a publié un avis hors bande le 7 septembre 2026 pour CVE-2026-75650, connu sous le nom de StyleSmuggler, une faille Adobe Commerce/Magento de CVSS 10.0 exploitée dans la nature.
Encore un cas limite : Microsoft Authenticator CVE-2026-80097, signalé par ZDI, pourrait exposer des jetons d’authentification après une application Android malveillante et une séquence d’authentification complétée par l’utilisateur. Ce ne sera pas le premier élément dans la plupart des plans de correctifs Windows, mais les applications d’identité mobile font désormais partie de la surface d’attaque des entreprises. Traitez-les comme telles.
Élaborez un plan de correctifs sur 72 heures qui résiste à la réalité
Pendant les 24 premières heures suivant le Patch Tuesday de septembre 2026, validez l’inventaire et déployez les correctifs pour CVE-2026-81963 et CVE-2026-85880 sur les systèmes Windows à haut risque, les postes de travail d’utilisateurs privilégiés, les jump boxes et les serveurs. N’attendez pas chaque permutation de laboratoire si vous avez déjà une exploitation active ainsi que des plans de retour arrière.
Au cours des 24 heures suivantes, ciblez les services Exchange, RDS, DNS, DHCP, VPN, SharePoint et liés à l’identité exposés. Si un système est accessible depuis Internet et apparaît dans le groupe de niveau deux, il est prioritaire par rapport aux terminaux de back-office. Segmentez ou limitez temporairement l’accès là où l’application des correctifs ne peut pas se faire assez vite.
Le troisième jour doit combler les lacunes concernant Office, Outlook, les navigateurs, Acrobat/Reader, SQL Server, les outils de développement et les groupes d’utilisateurs à haut risque. Les systèmes des développeurs méritent une attention particulière, car ils combinent souvent l’accès au code source, les identifiants, les gestionnaires de paquets et les droits d’administration. Les attaques récentes impliquant des dépôts Git malveillants ciblant des agents de codage IA montrent pourquoi les postes de travail des développeurs ne peuvent pas être traités comme de simples ordinateurs de bureau.
Microsoft Defender a également fait l’objet d’une attention particulière en septembre, car CrowdStrike a signalé une preuve de concept nouvellement divulguée pour un zero-day appelé ShieldCrash, évoquée séparément des correctifs du Patch Tuesday de Microsoft. Ne confondez pas « ne fait pas partie du correctif cumulatif principal » avec « sans importance ». Suivez-le comme un élément d’exposition distinct jusqu’à ce que les recommandations de votre fournisseur soient claires.
La leçon inconfortable de septembre est que la gestion des correctifs n’est plus une checklist mensuelle. C’est une opération de gestion des risques. Les équipes qui s’en sortent le mieux ne seront pas celles qui lisent chaque CVE en premier ; ce seront celles qui savent ce qu’elles exploitent, ce qui est accessible et où une compromission ferait le plus de dégâts.
FAQ
Qu’a corrigé le Patch Tuesday de septembre 2026 ?
Le Patch Tuesday de Microsoft de septembre 2026 a traité un nombre record de vulnérabilités, avec des totaux signalés allant de 966 à 997 selon la méthode de comptage. La publication comprenait deux zero-days de Microsoft exploités : CVE-2026-81963 et CVE-2026-85880.
Quels zero-days de Microsoft de septembre 2026 devrais-je corriger en priorité ?
Corrigez d’abord CVE-2026-81963 et CVE-2026-85880. Tous deux ont été signalés comme exploités, tous deux ont été ajoutés au catalogue Known Exploited Vulnerabilities de la CISA, et la CISA a fixé au 22 septembre 2026 la date limite de remédiation pour les agences civiles fédérales.
Pourquoi différentes sources signalent-elles des nombres différents de CVE Microsoft ?
Les chiffres varient parce que les sources incluent ou excluent différemment les CVE Chromium, externes, en double ou non documentées par Microsoft. Pour les opérations, le nombre exact en titre importe moins que le statut d’exploitation, l’exposition du produit et le fait que le composant vulnérable soit accessible dans votre environnement.
CVE-2026-55007 Exchange Server est-il dangereux sans clics de l’utilisateur ?
Oui. ZDI et SecurityWeek ont mis en avant CVE-2026-55007, car le scénario signalé implique le traitement par l’indexation du contenu Exchange d’un e-mail avec une pièce jointe Visio malveillante, sans interaction de l’utilisateur.
Les postes de travail doivent-ils attendre que tous les serveurs soient corrigés ?
Non, mais séquencez-les intelligemment. Corrigez d’abord les zero-days exploités et les chemins RCE exposés à internet, puis donnez la priorité à Office, Outlook, aux navigateurs, à Acrobat/Reader et aux groupes d’utilisateurs à haut risque où les flux de travail liés aux documents et à l’aperçu créent une exposition réelle.
FR 
EN 
ES