Microsoft corrige 966 failles alors que deux zero-days Windows sont activement exploités

Microsoft a publié le 8 septembre 2026 des mises à jour de sécurité corrigeant 966 vulnérabilités, dont deux zero-days d’élévation de privilèges dans Windows déjà exploités.

Ces deux zero-days peuvent permettre aux attaquants d’obtenir les privilèges SYSTEM après avoir acquis un premier accès avec des droits limités. L’une affecte Windows Update Stack, tandis que l’autre offre une voie de sortie d’un AppContainer faiblement privilégié via Windows Advanced Local Procedure Call.

Microsoft classe les deux vulnérabilités comme importantes et non comme critiques. Chacune affiche un score de base CVSS 3.1 de 7,8, nécessite un accès local et de faibles privilèges, et ne requiert aucune interaction de l’utilisateur.

Un Patch Tuesday record, avec des totaux par catégorie incohérents

Le Patch Tuesday de septembre 2026 est présenté comme la plus importante publication de sécurité jamais réalisée par Microsoft. Ses 966 vulnérabilités comprennent 105 failles critiques annoncées, alors que le détail publié des failles critiques n’en recense que 104 :

• 81 vulnérabilités d’exécution de code à distance
• 20 vulnérabilités d’élévation de privilèges
• Deux vulnérabilités de divulgation d’informations
• Une vulnérabilité de contournement d’une fonctionnalité de sécurité

Les chiffres détaillés par catégorie ne correspondent pas non plus totalement au total annoncé. La répartition communiquée comprend environ 438 failles d’élévation de privilèges, 258 problèmes d’exécution de code à distance, 173 vulnérabilités de divulgation d’informations, 56 vulnérabilités de déni de service, 19 failles de contournement d’une fonctionnalité de sécurité et 16 failles d’usurpation d’identité. Leur somme atteint 960.

Ces écarts signifient que les chiffres par catégorie doivent être considérés comme des estimations et non comme un décompte complet et dédoublonné des 966 vulnérabilités.

Le total couvre les vulnérabilités publiées le jour même du Patch Tuesday. Il exclut 204 autres failles corrigées plus tôt dans le mois dans des services et produits tels que Azure AI Language, Azure Cosmos DB, Copilot Studio, Entra ID, Mariner, Microsoft Azure Active Directory B2C, Microsoft Discovery Studio, Microsoft Edge basé sur Chromium, Microsoft Fabric et Power Automate.

À titre de comparaison, Microsoft avait corrigé 570 failles de sécurité en juillet et 400 en août. Cette forte hausse est attribuée à l’adoption par l’entreprise d’un système basé sur l’intelligence artificielle pour détecter davantage de défauts dans son portefeuille logiciel.

CVE-2026-81963 exploite la gestion des liens dans Windows Update

CVE-2026-81963 est une vulnérabilité d’élévation de privilèges dans Windows Update Stack. Microsoft a publié son avis de sécurité le 8 septembre 2026, classant la faille comme importante et confirmant que son exploitation avait été détectée.

La vulnérabilité résulte d’une résolution incorrecte des liens avant l’accès aux fichiers, associée à des contrôles d’accès insuffisants. Ce type de faiblesse peut apparaître lorsqu’un composant privilégié suit un lien du système de fichiers sans vérifier correctement sa destination ni s’assurer que celle-ci peut être consultée en toute sécurité.

Selon l’évaluation de Microsoft, un attaquant local autorisé disposant de faibles privilèges peut exploiter la faille sans interaction de l’utilisateur. La complexité de l’attaque est jugée faible et une exploitation réussie peut fournir un accès SYSTEM.

Le vecteur CVSS est le suivant :

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Cela correspond à un score de base de 7,8. Microsoft attribue également un score temporel de 7,2, considère la maturité du code d’exploitation comme fonctionnelle et fait état d’un impact potentiel élevé sur la confidentialité, l’intégrité et la disponibilité.

La vulnérabilité n’avait pas été divulguée publiquement avant la publication de l’avis. Elle a été signalée par Romain Deperne et le Microsoft Threat Intelligence Centre. Microsoft n’a pas décrit les attaques observées, leurs cibles, la méthode d’accès initial ni la manière dont l’exploit a été intégré à une chaîne d’intrusion plus large.

Un correctif officiel est disponible. Aucun contournement ni aucune mesure d’atténuation temporaire n’ont été communiqués.

CVE-2026-85880 permet de sortir d’un AppContainer via ALPC

Le second zero-day exploité, CVE-2026-85880, affecte Windows Advanced Local Procedure Call. ALPC est un mécanisme du système d’exploitation utilisé pour la communication entre les processus, ce qui rend les failles dans ce composant potentiellement précieuses pour les attaquants cherchant à franchir des frontières de sécurité.

Microsoft attribue la vulnérabilité à un dépassement de tampon basé sur le tas et à l’utilisation d’une ressource non initialisée. Un attaquant capable d’exécuter du code dans un AppContainer faiblement privilégié peut l’exploiter localement, sortir de ce bac à sable et élever ses privilèges jusqu’à SYSTEM.

Aucune interaction supplémentaire de l’utilisateur n’est nécessaire. Comme pour CVE-2026-81963, l’attaque est peu complexe, nécessite de faibles privilèges et peut avoir des conséquences élevées sur la confidentialité, l’intégrité et la disponibilité.

Son vecteur CVSS est identique :

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Le score de base est de 7,8, tandis que le score temporel attribué par Microsoft est de 6,8. L’avis indique que l’exploitation a été détectée, mais considère la maturité du code d’exploitation comme non prouvée. Microsoft n’a pas divulgué les mécanismes des attaques ni identifié les organisations touchées.

Volexity et Proofpoint ont été cités pour leur contribution à la découverte. Les chercheurs Mark Kelly, David Galazin et Jeremy Hedges ont également été associés à cette découverte dans les articles consacrés à la publication.

Un correctif officiel est disponible, mais Microsoft n’a fourni ni solution de contournement, ni indicateurs de compromission, ni signatures de détection, ni informations détaillées sur la chaîne d’attaque.

L’exposition concerne Windows, les systèmes d’identité et les plateformes de développement

Les deux vulnérabilités activement exploitées sont des failles locales d’élévation de privilèges et non des vulnérabilités d’accès initial. L’attaquant doit déjà pouvoir exécuter du code sur la cible. Ces failles peuvent néanmoins transformer une compromission limitée en prise de contrôle complète du système d’exploitation.

CVE-2026-85880 est particulièrement pertinente lorsque des applications non fiables ou potentiellement hostiles s’exécutent au sein de l’isolation AppContainer. CVE-2026-81963 mérite une attention particulière sur les postes Windows où des utilisateurs faiblement privilégiés ou des processus compromis pourraient interagir avec des opérations de mise à jour privilégiées.

Les éditions, builds et configurations de maintenance Windows concernées n’ont pas été précisées dans les informations disponibles. Les administrateurs doivent donc utiliser le catalogue des mises à jour propre aux produits de Microsoft et leurs plateformes de gestion des terminaux pour déterminer l’applicabilité des correctifs, plutôt que de s’appuyer sur une liste restreinte de versions.

Cette publication couvre un large éventail de composants d’entreprise. L’inventaire comprend des failles dans :

• .NET et Visual Studio
• Active Directory Certificate Services, Domain Services et Federation Services
• ASP.NET Core
• Azure Arc SQL Server Extension, Azure CycleCloud et Azure HDInsight Ambari
• GitHub Copilot et Visual Studio Code
• Les pilotes Windows, la gestion des polices, IP Helper et les composants de streaming du noyau
• Les packages Mariner et les sous-systèmes du noyau

Parmi les failles critiques notables figurent des vulnérabilités d’exécution de code à distance dans Windows Graphic Fonts et IP Helper. Active Directory Domain Services a également reçu des correctifs pour des vulnérabilités d’exécution de code à distance, de déni de service et d’élévation de privilèges.

Plusieurs problèmes touchant les plateformes de développement affichent des scores élevés malgré l’absence de classification critique. CVE-2026-69439, qui affecte .NET et Visual Studio, présente un score CVSS de 8,8 et un vecteur réseau nécessitant une interaction de l’utilisateur. CVE-2026-69805 dans .NET obtient un score de 7,5, tandis que CVE-2026-69806 affiche un score de 7,0.

Le statut KEV des deux nouveaux zero-days reste non confirmé

Aucune information confirmée n’indique que CVE-2026-81963 ou CVE-2026-85880 ait été ajoutée au catalogue Known Exploited Vulnerabilities de la US Cybersecurity and Infrastructure Security Agency. Par conséquent, aucune date d’ajout au catalogue KEV ni aucun délai fédéral de remédiation ne sont connus pour ces deux failles.

Plusieurs autres vulnérabilités de Microsoft ont toutefois intégré le catalogue au cours des 90 derniers jours :

• CVE-2019-1068 le 26 août 2026
• CVE-2026-55040 et CVE-2026-33824 le 18 août 2026
• CVE-2026-68820 le 11 août 2026
• CVE-2026-50522 le 22 juillet 2026
• CVE-2026-58644 le 16 juillet 2026

L’absence d’une inscription KEV confirmée ne réduit pas le risque immédiat associé aux zero-days de septembre. Microsoft a indépendamment indiqué que les deux failles étaient exploitées dans des attaques réelles.

Les correctifs doivent d’abord cibler les systèmes exposés à du code non fiable

Les organisations doivent déployer en priorité les mises à jour Windows de septembre 2026 qui leur sont applicables. Aucun contournement n’a été publié pour les deux vulnérabilités exploitées.

La priorité doit être donnée aux postes et serveurs sur lesquels des utilisateurs faiblement privilégiés, des applications en bac à sable ou du code potentiellement non fiable peuvent s’exécuter. Les équipes de sécurité doivent également vérifier que les installations se sont terminées correctement et que les systèmes ont été redémarrés lorsque cela était nécessaire.

Aucun indicateur de compromission spécifique n’étant disponible, les défenseurs ne peuvent pas s’appuyer sur un simple hash, un nom de fichier ou un identifiant d’événement. Les investigations doivent plutôt combiner la télémétrie des terminaux avec des éléments comportementaux révélant des changements de privilèges inattendus, des sorties d’AppContainer, une activité suspecte liée à ALPC et des opérations anormales impliquant les composants de Windows Update.

La réponse opérationnelle est simple :

1. Appliquer immédiatement les correctifs officiels pour CVE-2026-81963 et CVE-2026-85880.
2. Vérifier l’applicabilité des mises à jour dans le catalogue de Microsoft, car les versions exactes concernées ne sont pas précisées ici.
3. Valider l’installation et l’état des redémarrages sur l’ensemble des actifs Windows gérés.
4. Examiner la télémétrie des terminaux afin d’identifier les processus faiblement privilégiés qui lanceraient ou contrô leraient de manière inattendue des activités au niveau SYSTEM.
5. Déployer les mises à jour distinctes publiées plus tôt dans le mois pour les produits cloud, d’identité, de navigateur et d’automatisation de Microsoft.

L’ampleur de cette publication compliquera les tests et le déploiement dans les environnements de grande taille. Les deux failles Windows exploitées ne doivent pas attendre derrière le reste de la file de 966 correctifs.