Patch Tuesday septembre 2026 : 974 failles, 2 zero-days

Que contient le Patch Tuesday de septembre 2026 ?

Selon The Hacker News : 723 failles Windows, 111 Office et Office 2016, 62 SQL Server, 22 outils de développement (ces totaux ne couvrent pas les 974 et l'article n'explique pas l'écart). Élévation de privilèges, exécution de code à distance et divulgation d'informations représentent près de 90 % du lot. Tenable avance un total légèrement différent (964) et estime que le mois dépasse d'environ 70 % le précédent record de 569. D'après le Zero Day Initiative, Microsoft aurait corrigé 2 760 failles depuis janvier 2026. Les différences de décompte tiennent aux méthodes (produits inclus, failles de tiers) ; retenez l'ordre de grandeur plutôt que le chiffre exact.

Quels sont les deux zero-days exploités ?

• CVE-2026-85880 (ALPC) : dépassement de tas dans Windows Advanced Local Procedure Call qui permet à un attaquant local autorisé d'obtenir les privilèges SYSTEM (CVSS v3.1 7,8). Signalée par Volexity et Proofpoint. Tenable la présente comme le deuxième zero-day Windows de ce type depuis CVE-2023-21674.
• CVE-2026-81963 (Windows Update Stack) : résolution de lien incorrecte avant l'accès au fichier, qui permet l'élévation locale vers SYSTEM (CVSS v3.1 7,8). Créditée à Romain Deperne (Airbus Helicopters) et au MSTIC. Tenable indique que c'est la première faille de cette pile exploitée dans la nature, après sept élévations de privilèges depuis 2022.

Microsoft a détecté l'exploitation sans préciser l'acteur, l'ampleur ni les victimes. Les deux failles supposent un accès local : elles servent de deuxième étage après une première compromission.

Quelles autres failles retenir ?

• CVE-2026-55007 (Exchange Server 2019 et SE, CVSS v3.1 8,1) : double libération, exécution de code à distance non authentifiée en réseau.
• CVE-2026-80097 (Microsoft Authenticator, 8,6) : authentification incorrecte, élévation locale ; correction dans les versions à partir de 6.2606.4246 selon la NVD.
• RCE réseau à 9,8 : Remote Desktop Services (CVE-2026-69525), pilote NFS ONCRPC XDR (CVE-2026-69595), serveur DNS (CVE-2026-69730), Shell (CVE-2026-69829), serveur DHCP (CVE-2026-72979).
• CVE-2026-65669 (SQL Server, 9,6) et CVE-2026-69465 (SharePoint, 8,8).

Comment prioriser ?

Traiter 974 correctifs comme 974 décisions est une erreur. Filtrez en trois temps : présence dans votre inventaire, exposition (serveurs joignables depuis des segments non maîtrisés, DMZ, Wi-Fi visiteurs, réseaux clients), puis exploitabilité (KEV, code public). Ordre conseillé : les deux zero-days sur tous les postes et serveurs, les RCE réseau à 9,8 sur les serveurs exposés, Exchange, puis le reste dans le cycle normal. L'échéance KEV du 22 septembre est un maximum.

Comment vérifier et corriger ?

1. Mesurez votre niveau de correctif par version de build sur postes et serveurs (inventaire, outil de gestion de parc).
2. Déployez d'abord les correctifs ALPC et Update Stack, puis les serveurs RDS, DNS, DHCP, NFS et Exchange.
3. Cherchez des signes d'exploitation locale : processus à bas privilèges qui lancent des processus SYSTEM, créations de liens symboliques suspects dans les répertoires de mise à jour, nouveaux services.
4. Vérifiez Microsoft Authenticator sur les appareils gérés et mettez-le à jour.

Que change l'accès d'un agent IA à ces postes et serveurs ?

Les agents qui agissent sur un poste (utilisation d'ordinateur, agents de programmation, automatisation de bureau) exécutent du code et ouvrent des fichiers dans une session utilisateur à faibles privilèges. Les zero-days d'élévation locale sont précisément ce qui transforme une compromission de cette session, par exemple une injection de prompt qui fait lancer un script ou télécharger un fichier piégé (OWASP LLM01, LLM06), en contrôle du poste. Un agent sur lequel le modèle a l'initiative devient un premier étage d'attaque, et une faille SYSTEM le second.

Trois effets. La surface de code non fiable : un agent qui ouvre des documents, des archives et des pages exécute des analyseurs qui ont leurs propres failles. L'authentificateur : Microsoft Authenticator porte des secondes authentifications ; une élévation locale (CVE-2026-80097) peut exposer des codes ou des approbations utilisés pour des comptes d'agents. Et la cadence : les volumes de correctifs montent, Microsoft ayant indiqué en juillet utiliser un système de découverte de failles assisté par IA (rapporté par BleepingComputer), donc les postes d'agents doivent être mis à jour à rythme soutenu. Les contrôles utiles : agents dans des machines virtuelles ou conteneurs jetables, comptes sans droits d'administration, pas de secrets de production sur les postes, journalisation des commandes lancées et validation humaine des téléchargements exécutables. Voir la sécurité des agents IA et l'article sur le Patch Tuesday de juillet 2026.

Comment industrialiser le tri chaque mois ?

Automatisez trois choses : l'inventaire des versions de build par machine, le croisement quotidien avec le KEV de CISA et les avis Microsoft, et un tableau de bord du délai entre la publication et le déploiement par catégorie (exploitée, critique exposée, autre). Fixez des délais cibles écrits : quelques jours pour les failles exploitées, une à deux semaines pour les critiques exposées, le cycle normal pour le reste. Ces délais sont ce qu'un client ou un auditeur demandera, bien avant le nombre de correctifs.

Comment tester son agent sur le Patch Tuesday de septembre 2026 ?

Un test de red team d'agent vérifie ce qu'une instruction piégée peut lui faire lancer sur le poste ou le serveur où il tourne, avec quels droits, et si l'isolement tient. Côté offre, le Red Team Agent Express transpose au périmètre d'un agent les failles d'un mois de correctifs (5 jours, 1 900 €). La méthode détaille la démarche.

Quelle leçon en tirer ?

Un record de correctifs signale surtout que le tri compte plus que le volume. Sachez en quelques heures si vous êtes exposé à une CVE donnée, gardez un inventaire exact et traitez les postes d'agents comme des postes exposés à du contenu hostile.