Le relevé d’incidents consécutif au déploiement du 8 septembre 2026 porte la marque chiffrée d’un record de failles colmatées par Microsoft, un volume inédit contenant 995 correctifs de sécurité qui a immédiatement provoqué l’asphyxie de composants vitaux du système d’exploitation. Loin des déclarations rassurantes diffusées par l’éditeur de Redmond, l’examen des registres d’événements Windows révèle une défaillance généralisée où Remote Desktop Services, la couche de virtualisation Hyper-V, l’Explorateur de fichiers et les flux audio USB se sont effondrés sous l’effet de blocages structurels du code.
Dans les centres de données, la tentation initiale consistait à exécuter un retour arrière via l’utilitaire de désinstallation, une manœuvre que les équipes de sécurité ont dû proscrire pour éviter une exposition immédiate. Le lot de mises à jour neutralisait deux vulnérabilités zero-day exploitées activement lors d’attaques ciblées, cataloguées sous les identifiants CVE-2026-81963 dans la pile de maintenance Windows Update et CVE-2026-85880 dans le mécanisme d’appels de procédure locale avancés (ALPC). Une suppression des correctifs rétablissait l’accès à distance tout en offrant aux attaquants une voie d’élévation de privilèges au niveau SYSTEM. Les gestionnaires de parcs informatiques se sont retrouvés piégés entre une chaîne de contrôle dégradée et le risque d’une compromission globale.
Autopsie d’un blocage généralisé sur Remote Desktop
La défaillance de Remote Desktop Services n’est pas imputable à de mauvaises configurations d’administrateurs. L’analyse des vidages mémoire met en évidence un blocage mutuel critique dans la bibliothèque termsrv.dll lors de l’allocation des descripteurs de session. Les relevés opérationnels confirment des sessions RDP soudainement interrompues après quelques minutes, des serveurs bloqués indéfiniment sur l’écran d’attente de configuration de bureau à distance et un gel complet du diagnostic de licences RDS dans la console de gestion MMC.
Le processus explorer.exe subissait une contention de threads pendant que le composant wuaueng.dll tournait en boucle sur la page Windows Update, saturant la file des requêtes sans générer d’incident traçable.
La rupture du protocole Plan9 et la paralysie des développeurs sous WSL2
L’examen forensique met en lumière une régression sévère au sein de l’architecture de virtualisation. La mise à jour initiale a altéré le pilote du système de fichiers Plan9 (p9fs) intégré au service Host Compute Service (HCS). Ce composant assure le transport des données et le partage de dossiers entre le noyau hôte Windows et les systèmes invités Linux. Sous l’effet du correctif, ces répertoires partagés sont devenus inaccessibles, renvoyant un échec de montage immédiat dans l’environnement virtuel.
Ce dysfonctionnement a neutralisé les environnements de travail sous Windows Subsystem for Linux (WSL2). La panne a frappé les développeurs exploitant les agents autonomes de Claude Cowork, l’outil conçu par Anthropic qui repose sur ces partages pour accéder au code source local. Les conteneurs de développement et les environnements en bac à sable ont cessé de fonctionner, interrompant l’activité des équipes logicielles.
Sur le banc d’essai audio, les vérifications matérielles révèlent des anomalies introduites dans le pilote usbaudio.sys. Les équipements conformes à la norme USB Audio Class 1.0 configurés en multicanal ou en audio spatialisé ont cessé toute émission sonore dès l’application du correctif du 8 septembre 2026. Les paquets correctifs du 14 septembre rétablissent le fonctionnement sur huit canaux, mais l’analyse des journaux d’événements montre l’existence de problèmes non résolus. Plusieurs convertisseurs et cartes d’acquisition restent bloqués avec le code d’erreur 10 dans le Gestionnaire de périphériques en raison d’un échec de démarrage matériel.
Le sous-système graphique connaît une dégradation analogue avec les cartes AMD Radeon. De nombreux rapports d’incidents signalent des délais d’attente dépassés du pilote d’affichage (TDR) et des instabilités dans le composant dxgkrnl.sys. Ces incidents demeurent exclus des correctifs déployés en urgence, ce qui laisse les postes concernés dans une situation d’instabilité non traitée.
L’arsenal des correctifs hors cycle et la réalité du déploiement pour les parcs serveurs
Pour endiguer cette crise opérationnelle, Microsoft a publié le 14 septembre au moins onze correctifs hors cycle (dont six principaux détaillés ci-dessous). Ces paquets intègrent les défenses de sécurité initiales tout en rectifiant les routines fautives de termsrv.dll et du pilote Plan9. L’éditeur fournit le correctif KB5129195 pour Windows 11 24H2 et 25H2, la mise à jour KB5129194 pour Windows 11 26H1, le paquet KB5129236 pour Windows 10 21H2 et 22H2, ainsi que les versions serveurs KB5129235 pour Server 2025, KB5129237 pour Server 2022 et KB5129238 pour Server 2019.
Les postes clients reçoivent la mise à jour de manière automatisée via Windows Update et Windows Update for Business. En revanche, l’application du correctif sur les parcs serveurs d’entreprise impose une démarche manuelle contraignante. Ces paquets pour Windows Server n’apparaissent sur aucun canal de distribution automatique. Les administrateurs d’infrastructures doivent télécharger les fichiers d’installation au format MSU depuis le Catalogue Microsoft Update pour planifier leur injection avec l’outil DISM ou des scripts PowerShell.
L’examen méthodique de cette séquence de déploiement montre les limites d’une stratégie axée sur le traitement quantitatif des failles au détriment des validations de non-régression. Le traitement record de 974 vulnérabilités en une journée masque mal la désorganisation provoquée chez les exploitants d’infrastructures. Les atténuations temporaires par stratégie de groupe (GPO) ont servi de solution d’attente précaire avant l’arrivée des correctifs hors cycle. L’absence de correctif pour les pilotes graphiques AMD et les périphériques audio résiduels démontre que l’autopsie de cet incident reste ouverte dans de nombreuses entreprises.
