Microsoft corrige un record de 964 CVE en septembre, dont deux zero-day déjà exploités
Le Patch Tuesday du 8 septembre 2026 bat un record avec 964 CVE, dont deux zero-day déjà exploitées dans la nature, CVE-2026-81963 et CVE-2026-85880. Triez le bulletin par exploitabilité — zero-day, puis RCE exposées sur Internet — plutôt que par score brut.
8 septembre 2026. Microsoft publie le plus gros Patch Tuesday de son histoire : 964 CVE corrigées, dont 104 critiques et 860 importantes. Deux d’entre elles sont déjà exploitées dans la nature comme zero-day : CVE-2026-81963 dans la pile de mise à jour Windows Update Stack, et CVE-2026-85880 dans l’ALPC de Windows. Pourquoi c’est important : un volume record ne se « traite » pas, il se trie — et le tri qui compte n’est pas celui du score, c’est celui de l’exploitabilité.
Deux zero-day exploitées, et ce qu’elles disent
Les deux failles déjà utilisées par des attaquants partagent un point commun qui mérite l’attention : ce sont des escalades de privilèges locales, pas des failles d’entrée.
CVE-2026-81963 touche Windows Update Stack, avec un score CVSS 7,8. Il s’agit d’un défaut de suivi de lien (link following) qui permet d’élever ses privilèges jusqu’à SYSTEM. Depuis 2022, sept failles de ce composant avaient été corrigées, mais CVE-2026-81963 est la première exploitée dans la nature comme zero-day.
CVE-2026-85880 touche l’ALPC (Advanced Local Procedure Call), également à CVSS 7,8, et permet elle aussi d’atteindre SYSTEM. C’est la première faille ALPC à entrer dans un Patch Tuesday depuis avril 2023, et la seconde à être exploitée comme zero-day depuis CVE-2023-21674.
Ce couple a une lecture stratégique. Une EoP locale est l’étape 2 d’une chaîne d’attaque : l’attaquant a déjà obtenu un accès limité — par hameçonnage, par une RCE d’application, par un identifiant volé — et la zero-day lui sert à transformer cet accès en contrôle total de la machine. Corriger ces deux-là ne protège pas contre l’entrée ; cela coupe la sortie de secours que l’attaquant utilise pour persister et se déplacer.
Un volume record cache le vrai problème : le tri
964 CVE, c’est plus du double du bulletin d’août, et le précédent record de juillet tombe. La répartition par impact raconte une histoire plus fine : 44,7 % des failles sont des escalades de privilèges (EoP), et 26,8 % des exécutions de code à distance (RCE).
Le chiffre brut de 964 est trompeur pour un RSSI pressé. Personne ne corrige 964 failles en une semaine, et tenter de le faire en aveugle dilue l’effort sur des composants que personne n’expose. Le travail réel du jour n’est pas de patcher « tout » — c’est de construire un ordre qui met l’argent de patching là où l’exploitation est déjà réelle ou probable.
Le tri recommandé tient en trois strates, et ce sont les deux premières qui méritent l’attention d’une journée de travail.
Les RCE tournées vers Internet passent avant le reste
Après les deux zero-day, la deuxième strate est composée des RCE joignables sur le réseau, car ce sont elles qui deviennent des points d’entrée. Trois familles ressortent du bulletin :
- CVE-2026-69525 — une RCE dans Remote Desktop Services, au score CVSS 9,8, causée par un use-after-free et jugée « exploitation plus probable » par Microsoft. Trois autres RCE dans RDS (7,5 chacune) l’accompagnent.
- CVE-2026-69676 — une RCE dans Windows Kerberos, au score CVSS 8,8, par contournement d’authentification en capture-relecture, elle aussi « exploitation plus probable ».
- Neuf RCE dans Windows DNS Server, dont CVE-2026-69730 à CVSS 9,8. Cette famille mérite un traitement à part — nous l’analysons en détail dans l’article réseau dédié.
S’ajoute CVE-2026-69380, une EoP dans Exchange Server au score CVSS 8,1, qui permet à un utilisateur authentifié à bas privilège d’accéder aux boîtes d’autres comptes — moins urgente en l’absence d’exploitation, mais à surveiller sur les serveurs Exchange exposés.
Ce qu’il faut mettre en place
Le bulletin se traite en trois passes, dans cet ordre :
- Passe 1 — les deux zero-day. Appliquez le correctif de CVE-2026-81963 et CVE-2026-85880 sur tous les postes et serveurs, sans attendre la fenêtre mensuelle. Ce sont les seules failles dont l’exploitation est confirmée, et elles transforment n’importe quel accès initial en contrôle SYSTEM.
- Passe 2 — les RCE réseau. Priorisez CVE-2026-69525 (RDS), CVE-2026-69676 (Kerberos) et les neuf RCE DNS, par ordre d’exposition réelle de chaque service. Un RDS ouvert sur Internet passe avant un serveur DNS interne déjà segmenté.
- Passe 3 — la longue traîne. Le reste des EoP et des correctifs applicatifs rejoint le rythme mensuel habituel, en commençant par les composants que vos scans vulnérabilité signalent déjà atteignables.
Ajoutez un contrôle simple : vérifiez que le décompte de machines non corrigées sur les deux zero-day tombe à zéro en fin de semaine. C’est la seule métrique qui compte pour un bulletin de cette taille.
Verdict
Si votre parc est en grande partie Windows et que vous suivez un rythme de patch mensuel, le bulletin de septembre exige une exception : sortez les deux zero-day du flux normal et traitez-les comme un incident de gravité haute, car leur exploitation est déjà documentée. Si vous exposez des services Microsoft sur Internet — RDS, DNS, Kerberos — faites passer les RCE réseau en passe 2 immédiate, devant tout le reste du bulletin. Si votre parc est petit et à jour, le risque principal n’est pas le volume mais l’oubli : un inventaire qui ne distingue pas les machines exposées des machines internes vous fera gaspiller la journée sur les mauvaises failles.