Patch Tuesday, Microsoft pulvérise un record avec 964 failles corrigées

[chtimi054]

Patch Tuesday, Microsoft pulvérise un record avec 964 failles corrigées, deux zero-day sont déjà exploitées
Il est fortement conseillé de mettre à jour son PC

Le Patch Tuesday du mois de septembre débute. Microsoft déploie plusieurs mises à jour cumulatives et dévoile une maintenance d’une ampleur inhabituelle. En effet nous avons le plus grand nombre de failles corrigés jamais observés.

Plus préoccupant encore deux vulnérabilités affectant Windows sont déjà exploitées dans des attaques. Toutes deux permettent une élévation de privilèges pouvant conduire à l’obtention des droits SYSTEM.

964 CVE : un Patch Tuesday hors norme

Le décompte fait état de 964 CVE, dont 104 sont classées de gravité critique et 860 de gravité importante. Le précédent record remontait à juillet 2026 avec 569 vulnérabilités. À titre de comparaison, le Patch Tuesday d’août avait concerné 398 CVE. Le volume a donc plus que doublé en seulement un mois.

Attention toutefois ces 964 CVE ne correspondent pas à 964 nouvelles failles affectant chaque PC sous Windows 11.

Cette situation concerne une très large gamme de produits et composants Microsoft allant de Windows, à Windows Server en passant par Office, .NET, Exchange Server, Azure, Visual Studio, Xbox Gaming Services ou encore différents services réseau.

A noter également que les méthodes de comptage peuvent varier selon que les chercheurs dédupliquent certaines références, produits ou corrections. Le chiffre de 964 CVE cité ici correspond explicitement au décompte publié par Tenable Research.

Deux failles Windows sont déjà exploitées

Le focus ici reste deux vulnérabilités zero-day pour lesquelles Microsoft signale une exploitation active. La première nommée CVE-2026-81963, touche la pile Windows Update. Un attaquant disposant déjà d’un accès au système peut l’exploiter afin d’obtenir les privilèges SYSTEM, soit l’un des niveaux de droits les plus élevés sous Windows.

La seconde, CVE-2026-85880, concerne Windows Advanced Local Procedure Call (ALPC), un mécanisme de communication utilisé entre les processus Windows. Elle affiche elle aussi un score CVSS de 7,8/10. Son exploitation permet à un attaquant d’élever ses privilèges jusqu’au niveau SYSTEM.

D’autres failles affichent un score allant jusqu’à 9,8/10

CePatch Tuesday contient aussi plusieurs vulnérabilités particulièrement sévères pas heureusement pas encore signalées comme exploitées.

CVE-2026-69525 par exemple qui touche Remote Desktop Services, affiche un score CVSS de 9,8. Elle repose sur une erreur de type « use-after-free » susceptible de permettre l’exécution de code arbitraire.

Une autre vulnérabilité critique, CVE-2026-69730, concerne Windows DNS Server. Un attaquant distant non authentifié peut envoyer un paquet spécialement conçu afin de provoquer une exécution de code à distance. Elle obtient elle aussi une note de 9,8/10.

Windows 11 et KB5124008

Concernant Windows, Microsoft déploie la mise à jour KB5124008. Elle s’adresse aux PCs sous 24H2 ou 25H2. Elle fait passer Windows 11 24H2 en build 26100.9445 et 25H2 en 26200.9445. Ces deux chiffres sont importants. Ils permettent de s’assurer que l’installation s’est correctement déroulée. Vous les trouverez en lançant winver.exe dans Executer (WIN+R).

A noter que cette mise à jour ne se limite pas à la sécurité. Elle déploie aussi plusieurs nouveautés apparues précédemment dans la mise à jour facultative d’août. L’une des plus visible concerne la possibilité de placer la barre des tâches sur différents côtés de l’écran.

merci à Ginjfo

[acideburn]

Merci Claude "Mythos" quand tu nous tiens.. (Interdite à jamais pour les users lambda)

Et ce n'est pas du mytho ça