Microsoft et autres géants du logiciel corrigent des centaines de failles de sécurité ce mois-ci

Un Patch Tuesday sous le signe de l’IA et des corrections massives

Les systèmes d’intelligence artificielle, bien que vulnérables aux attaques par ingénierie sociale, excellent dans la détection des failles de sécurité dans les logiciels. Cette tendance se confirme ce mois-ci avec des géants comme Microsoft, Apple, Google, Mozilla et Oracle qui accélèrent le rythme des correctifs. Le Patch Tuesday de mai 2026 illustre cette dynamique, avec des mises à jour majeures pour des centaines de vulnérabilités.

Microsoft corrige 118 failles, sans zero-day exploité

Comme chaque deuxième mardi du mois, Microsoft a publié des correctifs pour 118 vulnérabilités dans ses systèmes d’exploitation Windows et autres produits. Une première depuis près de deux ans : aucune faille zero-day en cours d’exploitation n’a été corrigée ce mois-ci. De plus, aucune des failles traitées n’avait été préalablement divulguée, limitant ainsi les risques d’exploitation anticipée par les attaquants.

Parmi les 16 vulnérabilités classées critiques, certaines permettent à des pirates de prendre le contrôle à distance d’un appareil Windows avec peu ou pas d’interaction de l’utilisateur. Rapid7 a identifié plusieurs de ces failles critiques, dont :

• CVE-2026-41089 : Un débordement de tampon critique dans Windows Netlogon, offrant à un attaquant des privilèges SYSTEM sur le contrôleur de domaine. Aucune interaction utilisateur ni privilège initial n’est requis, et la complexité de l’attaque est faible. Les correctifs sont disponibles pour toutes les versions de Windows Server à partir de 2012.
• CVE-2026-41096 : Une exécution de code à distance (RCE) critique dans l’implémentation du client DNS de Windows, malgré un risque d’exploitation jugé faible par Microsoft.
• CVE-2026-41103 : Une élévation de privilèges critique permettant à un attaquant non autorisé de se faire passer pour un utilisateur existant en utilisant de fausses informations d’identification, contournant ainsi Entra ID. Microsoft estime que l’exploitation est probable.

L’IA au cœur de la détection des vulnérabilités

Le mois dernier, Microsoft a fait partie des dizaines d’entreprises ayant eu accès à Project Glasswing, un outil d’IA développé par Anthropic. Ce projet, salué pour son efficacité, aide à identifier des failles de sécurité dans le code. Apple, autre participant précoce, corrige en moyenne 20 vulnérabilités à chaque mise à jour de sécurité pour iOS, selon Chris Goettl, vice-président de la gestion des produits chez Ivanti.

Le 11 mai, Apple a publié iOS 15, qui a corrigé 52 vulnérabilités et rétroporté ces correctifs jusqu’à l’iPhone 6s et iOS 15. Mozilla, de son côté, a sorti Firefox 150 en avril, résolvant 271 failles découvertes grâce à Glasswing. Depuis, Mozilla a adopté un rythme hebdomadaire de mises à jour de sécurité, avec la sortie de Firefox 150.0.3 lors du Patch Tuesday de mai, corrigeant entre trois et cinq CVE par version.

Oracle a également accéléré son rythme de correctifs après avoir collaboré avec Glasswing. Lors de son dernier trimestre, l’entreprise a corrigé plus de 450 failles, dont certaines critiques.

Un mois de mai moins chargé qu’avril, mais toujours critique

Ce Patch Tuesday intervient après un mois d’avril particulièrement chargé, où Microsoft avait corrigé 167 failles, un nombre proche du record. Bien que mai marque une pause relative, les vulnérabilités critiques identifiées ce mois-ci rappellent l’importance de maintenir ses systèmes à jour pour se protéger contre les cyberattaques.

« Les outils d’IA comme Project Glasswing transforment la cybersécurité en permettant une détection plus rapide et plus précise des vulnérabilités. Cependant, leur efficacité dépend aussi de la réactivité des éditeurs de logiciels à appliquer ces correctifs. »
— Chris Goettl, Ivanti

Recommandations pour les utilisateurs

Pour limiter les risques, les experts conseillent de :

• Installer immédiatement les correctifs de sécurité publiés par Microsoft et les autres éditeurs.
• Surveiller les annonces des fournisseurs pour les mises à jour critiques.
• Utiliser des outils de gestion des correctifs pour automatiser le déploiement des mises à jour.
• Rester informé des nouvelles vulnérabilités via les alertes des CERT et des éditeurs.