Microsoft a publié mardi 11 août 2026 l’un des plus gros correctifs mensuels de son histoire, avec environ 400 vulnérabilités corrigées d’un coup sur Windows, Office, Exchange et SharePoint. Le chiffre exact oscille entre 398 et 421 selon les méthodes de décompte, mais l’ordre de grandeur suffit à donner le vertige. Troisième mois consécutif où Redmond livre plusieurs centaines de correctifs, ce Patch Tuesday représente à peu près le double du volume de juin et reste toutefois en deçà du record de juillet (plus de 570 CVE). L’éditeur attribue cette inflation à un nouveau système de détection de vulnérabilités dopé à l’intelligence artificielle, ce qui laisse entrevoir des mois à venir tout aussi copieux.
La faille qui concentre toute l’urgence porte le nom CVE-2026-68820 et affiche un score CVSS de 7.0, modéré en apparence, redoutable en pratique. Il s’agit d’un use-after-free dans afd.sys, le pilote noyau qui gère les opérations de sockets réseau sous Windows. Un attaquant déjà authentifié localement peut exploiter une condition de concurrence (race condition) pour élever ses privilèges jusqu’au niveau SYSTEM, sans aucune interaction de l’utilisateur. Microsoft la signale comme la seule faille activement exploitée ce mois-ci. « C’est l’étape deux d’une chaîne d’attaque, après l’obtention d’un premier accès à bas privilèges », précise Landon Miles, analyste chez Automox.
Check Point Research a formellement attribué l’exploitation de cette vulnérabilité au groupe nord-coréen Lazarus, qui l’aurait intégrée à sa campagne Operation Dream Job pour déployer une version inédite de FudModule, son rootkit en mode noyau. Microsoft n’a pas confirmé publiquement cette attribution, mais le fait que Lazarus dispose d’un tel outil dans la nature devrait suffire à accélérer le déploiement du correctif dans toute organisation connectée à un réseau d’entreprise.
Deux autres zero-days complètent le tableau, divulgués publiquement avant la publication du patch sans avoir été exploités à ce stade. CVE-2026-62832 touche le Windows User Profile Service et permet une élévation de privilèges vers administrateur par suivi de lien symbolique (LegacyHive), une trouvaille du chercheur Nightmare Eclipse que Microsoft juge « susceptible d’être exploitée ». CVE-2026-72971 affecte le pilote unionfs.sys du système d’isolation des conteneurs Windows, avec un impact limité à de la falsification locale.
Quatre vulnérabilités d’exécution de code à distance non authentifiées atteignent le score maximal de 9.8, dont CVE-2026-62878 dans le serveur DNS Windows, un débordement de tampon sur la pile que le Zero Day Initiative qualifie de « wormable », c’est-à-dire potentiellement propageable d’un serveur à l’autre sans intervention humaine. Les trois autres concernent Windows Deployment Services (CVE-2026-62893, via le protocole TFTP), Microsoft QUIC (CVE-2026-62815) et HPC Pack (CVE-2026-59124, composant non installé par défaut). Aucune n’est signalée comme exploitée à la date de publication… ce qui ne garantit évidemment rien pour les jours suivants.
Les administrateurs de fermes SharePoint locales devront prêter une attention particulière à CVE-2026-63520, la seconde moitié d’une chaîne d’exploitation dont la première partie (CVE-2026-55040, un contournement d’authentification noté 9.1) avait été corrigée en juillet. Rapid7 avait signalé cette chaîne dès le 18 mai, et les deux correctifs sont désormais indispensables pour neutraliser le risque.
La surface d’attaque couverte par ce Patch Tuesday est vertigineusement étendue, avec notamment une trentaine de CVE dans Excel, 34 dans SharePoint, 18 dans Word, 18 dans le DNS Windows, 14 dans Win32k et 15 dans la pile Telephony. Au total, 42 failles sont classées critiques (dont 37 exécutions de code à distance et 5 élévations de privilèges), un ratio qui impose un tri méthodique.
Tyler Reguly, directeur de recherche chez Fortra, relativise toutefois la panique potentielle. « Une seule faille sur environ 400 est activement exploitée. Il ne faut pas tout patcher dans l’affolement, il faut prioriser le zero-day, puis les 9.8, puis descendre méthodiquement. » Le conseil de plusieurs experts converge vers une sauvegarde complète avant application du lot, voire un délai de 24 à 48 heures (le fameux « Reboot Wednesday ») pour laisser à Microsoft le temps de retirer d’éventuels correctifs défectueux.
Peut-on encore parler de routine mensuelle quand un seul mardi impose la mise à jour de pratiquement chaque couche du système d’exploitation, du noyau au serveur DNS en passant par la suite bureautique ? L’ère de la détection automatisée par IA chez Microsoft promet des Patch Tuesdays toujours plus volumineux, et les équipes de sécurité feraient bien de s’y préparer, du moins tant que Lazarus et consorts continueront de transformer chaque faille oubliée en porte d’entrée.
