Microsoft corrige un record de 165 failles ce mois-ci : deux vulnérabilités critiques en ligne de mire

Un record de vulnérabilités corrigées ce mois-ci

Microsoft a publié son Patch Tuesday de ce mois-ci avec la correction de 165 vulnérabilités affectant ses différents produits et systèmes sous-jacents. Parmi elles, une faille déjà exploitée activement dans Microsoft Office SharePoint.

Une faille zero-day dans SharePoint

Cette vulnérabilité, référencée CVE-2026-32201, possède un score CVSS de 6,5. Elle permet aux attaquants de consulter des informations sensibles et d’apporter des modifications aux données divulguées. Microsoft a précisé que ce défaut de validation des entrées dans SharePoint permet à des attaquants non authentifiés de réaliser des attaques par spoofing via un réseau.

La CISA (Cybersecurity and Infrastructure Security Agency) a ajouté cette faille à son catalogue des vulnérabilités exploitées, peu après l’annonce de Microsoft.

Une autre faille critique dans Microsoft Defender

Microsoft a également corrigé une vulnérabilité de haute gravité, référencée CVE-2026-33825, déjà connue du public au moment de sa publication. Ce défaut dans Microsoft Defender pourrait permettre à des attaquants non autorisés d’élever leurs privilèges localement.

« Ce qui commence comme un simple point d’appui peut rapidement devenir une domination totale du système. »

Une fois exploitée, cette faille offre un contrôle total sur les terminaux, permettant l’exfiltration de données, la désactivation des outils de sécurité et le mouvement latéral au sein des réseaux.

Un code d’exploitation de preuve de concept (PoC) est déjà disponible publiquement, augmentant ainsi le risque d’exploitation dans la nature.

Deux vulnérabilités critiques, mais moins susceptibles d’être exploitées

Microsoft a révélé deux vulnérabilités critiques ce mois-ci :

• CVE-2026-33824 : affecte l’extension Windows IKE ;
• CVE-2026-26149 : touche Microsoft Power Apps.

Cependant, l’éditeur a indiqué que ces deux failles étaient moins susceptibles d’être exploitées.

Un nombre record de vulnérabilités traitées

Selon Microsoft, plus des trois quarts des vulnérabilités corrigées ce mois-ci sont jugées peu susceptibles d’être exploitées. En revanche, 19 d’entre elles sont considérées comme plus probables d’être ciblées par des cybercriminels.

La liste complète des vulnérabilités corrigées est disponible sur le Microsoft Security Response Center.

Une hausse des soumissions de vulnérabilités

Dustin Childs, responsable de la sensibilisation aux menaces chez Trend Micro’s Zero Day Initiative, a souligné dans un article de blog que les programmes de détection de vulnérabilités connaissent une augmentation significative des soumissions, notamment grâce aux outils d’intelligence artificielle.

« Selon nos estimations, il s’agit du deuxième plus grand lot mensuel de correctifs de l’histoire de Microsoft. »

Il a également ajouté : « Pour nous, le taux d’arrivée a triplé, rendant le triage particulièrement complexe. »