Patch Tuesday de septembre 2026 : 974 CVE, 2 zero-days

La publication du Patch Tuesday de Microsoft de septembre 2026 corrige 974 CVE Microsoft, ce qui en fait la plus importante publication de Patch Tuesday à ce jour. Cette publication couvre les clients et serveurs Windows, les applications Microsoft 365, SQL Server, Exchange Server, Azure, les outils de développement, les services d’identité, les composants d’accès à distance et les sous-systèmes principaux de Windows. Microsoft republie également 25 CVE non-Microsoft.

Deux vulnérabilités sont déjà activement exploitées : CVE-2026-85880 dans Windows Advanced Local Procedure Call (ALPC) et CVE-2026-81963 dans la pile de mise à jour Windows. Toutes deux sont des vulnérabilités d’élévation de privilèges classées comme importantes, ce qui renforce l’idée que le statut d’exploitation doit primer sur les seuls niveaux de sévérité.

Avec près de 1 000 CVE Microsoft à évaluer, les équipes IT ont besoin d’un déploiement basé sur les risques qui tienne compte de l’exploitation active, de l’exposition du système, de la criticité métier et du rôle que joue chaque système affecté dans l’environnement.

Analyse des correctifs Microsoft pour septembre 2026

Parmi les 973 CVE disposant d’informations détaillées sur leur niveau de gravité, Microsoft en a classé 113 comme critiques et 860 comme importantes. Microsoft indique que 964 nécessitent une action de la part du client, tandis que neuf ont été résolues au sein de l’infrastructure cloud de Microsoft.

L’élévation de privilèges et l’exécution de code à distance représentent l’essentiel de cette publication :

Le grand nombre de vulnérabilités d’élévation de privilèges et d’exécution de code à distance rend particulièrement important d’identifier les systèmes les plus susceptibles d’offrir une voie d’accès privilégié ou de permettre une compromission plus large.

Où les vulnérabilités sont concentrées

Windows représente la majorité des vulnérabilités de ce mois-ci, mais cette publication affecte également les applications de productivité et l’infrastructure serveur critique.

Deux zero-days activement exploités nécessitent une attention immédiate

Microsoft a confirmé l’exploitation active de deux vulnérabilités Windows d’élévation de privilèges.

Les vulnérabilités d’élévation de privilèges exigent généralement qu’un attaquant dispose d’abord d’un certain niveau d’accès, mais elles peuvent permettre de transformer un accès limité en contrôle du système concerné. Comme Microsoft a déjà détecté une exploitation, ces deux vulnérabilités doivent être traitées avant celles priorisées uniquement selon leur gravité ou leur risque théorique.

Prochaines vulnérabilités critiques à prioriser

Microsoft a classé 113 vulnérabilités comme critiques, dont 82 vulnérabilités d’exécution de code à distance. Au lieu de les traiter comme un groupe uniforme, hiérarchisez-les en fonction de l’infrastructure concernée, de son niveau d’exposition et de l’impact potentiel d’une compromission.

Serveur DNS Windows

Six vulnérabilités critiques d’exécution de code à distance affectent le serveur DNS Windows :

• CVE-2026-69730

• CVE-2026-69827

• CVE-2026-69858

• CVE-2026-69813

• CVE-2026-77505

• CVE-2026-72987

Le DNS est fondamental pour les réseaux Windows et les environnements Active Directory. Priorisez les serveurs DNS intégrés au domaine et tous les systèmes affectés accessibles depuis des réseaux non fiables.

Infrastructure d’identité et de domaine

La version comprend des vulnérabilités critiques d’exécution de code à distance dans plusieurs composants au cœur de l’authentification Windows :

Kerberos, le Key Distribution Center et Netlogon prennent en charge l’authentification dans l’ensemble des domaines Windows. Les contrôleurs de domaine et les autres systèmes prenant en charge les services d’identité devraient donc faire partie des premiers serveurs évalués et corrigés après les deux zero-days exploités.

Accès à distance et services réseau

CVE-2026-69518 affecte Windows Remote Desktop, tandis que CVE-2026-69590, CVE-2026-72950, CVE-2026-72959 et CVE-2026-69852 affectent le service Windows Routing and Remote Access Service (RRAS).

Ces composants peuvent créer une exposition hautement prioritaire lorsqu’ils sont accessibles depuis Internet, connectés à des services VPN ou accessibles depuis des segments réseau moins fiables. Les équipes IT doivent identifier où les services concernés sont activés et placer les systèmes accessibles depuis l’extérieur ou critiques pour l’activité en tête de liste.

SQL Server et Serveur Exchange

Quatre vulnérabilités critiques d’exécution de code à distance affectent Microsoft SQL Server :

• CVE-2026-67631

• CVE-2026-67378

• CVE-2026-67636

• CVE-2026-67643

Les systèmes de base de données et de messagerie contiennent souvent des données métier sensibles et peuvent fonctionner avec un accès privilégié à d’autres ressources. Examinez rapidement les déploiements SQL Server et Exchange Server concernés, en donnant la priorité aux systèmes exposés à l’extérieur, aux charges de travail critiques ou à l’accès à des données à forte valeur.

Hyper-V, le clustering de basculement et l’infrastructure de déploiement

La version de septembre inclut également des vulnérabilités critiques d’exécution de code à distance dans l’infrastructure, qui peuvent affecter plusieurs charges de travail ou systèmes en aval.

Le calendrier des correctifs doit tenir compte des exigences de disponibilité, mais la concentration de charges de travail critiques sur ces systèmes rend une correction différée risquée. Utilisez des tests par étapes et des fenêtres de maintenance coordonnées lorsqu’un déploiement immédiat pourrait perturber les services de production.

Applications Microsoft 365 et Office

Cette version comprend trois vulnérabilités critiques d’exécution de code à distance dans Word, six vulnérabilités critiques d’exécution de code à distance dans Excel et quatre vulnérabilités critiques d’exécution de code à distance dans Outlook.

Les applications Office restent importantes, car des fichiers malveillants et le contenu des e-mails peuvent fournir un point d’entrée initial dans les environnements utilisateurs. Ces mises à jour devraient généralement suivre les vulnérabilités exploitées et l’infrastructure exposée, mais les organisations qui échangent fréquemment des documents avec l’extérieur ou qui comptent des groupes d’utilisateurs à plus haut risque peuvent devoir accélérer le déploiement.

Comment prioriser les correctifs de septembre 2026

Aucun calendrier fixe ne convient à tous les environnements. Utilisez les niveaux suivants comme point de départ, puis ajustez-les en fonction de l’exposition, des actifs concernés, de l’impact métier, des mesures d’atténuation disponibles et des exigences de test.

Appliquez le correctif dans les 72 heures

Priorité :

• CVE-2026-85880 et CVE-2026-81963, car Microsoft a confirmé leur exploitation active

• Vulnérabilités du serveur DNS Windows sur des systèmes intégrés au domaine ou accessibles depuis l’extérieur

• Mises à jour de Kerberos, Netlogon, Key Distribution Center et Active Directory Domain Services sur l’infrastructure d’identité

• Vulnérabilités de Windows Remote Desktop et de RRAS sur les systèmes exposés ou accessibles à distance

• Vulnérabilités critiques de SQL Server et Exchange Server affectant des charges de travail sensibles ou accessibles depuis l’extérieur

• Vulnérabilités de Windows Deployment Services, Failover Cluster et Hyper-V sur l’infrastructure critique

• Toute vulnérabilité ensuite classée comme plus susceptible d’être exploitée ou ajoutée au catalogue CISA des vulnérabilités connues comme exploitées

Placez les systèmes exposés à Internet, les contrôleurs de domaine, les passerelles VPN, les services d'accès à distance et les systèmes gérant des identifiants à privilèges ou des charges de travail critiques en tête de ce niveau.

Appliquer le correctif sous 1 à 2 semaines

Priorité :

• Vulnérabilités d’exécution de code à distance dans Microsoft Word, Excel, PowerPoint, Outlook et SharePoint

• Médias, graphismes, codecs, WebP, imagerie et autres vulnérabilités côté client

• Vulnérabilités d’élévation de privilèges liées à Windows Hello, Credential Guard et à d’autres mécanismes d’authentification

• Systèmes de virtualisation et de stockage qui ne sont pas exposés en périphérie

• Mises à jour de Visual Studio, Visual Studio Code, PowerShell et .NET sur les terminaux des développeurs

L’exposition et le rôle métier doivent toutefois continuer à prévaloir sur le calendrier par défaut. Par exemple, un groupe d’utilisateurs à haut risque qui reçoit régulièrement des documents externes peut avoir besoin des mises à jour Office plus tôt.

Cycle de correctifs régulier

Inclure :

• Vulnérabilités de moindre gravité dans des composants à exposition limitée

• Vulnérabilités accessibles uniquement en local sur des systèmes étroitement contrôlés

• Problèmes de périphériques et de pilotes sur les appareils avec un accès physique restreint

• Systèmes non exposés à Internet protégés par des contrôles compensatoires efficaces

La gravité seule ne doit pas déterminer l’ordre d’application des correctifs. La confirmation de l’exploitation, le chemin d’attaque, l’exposition du système, les privilèges requis, la criticité métier et l’effet potentiel sur d’autres systèmes constituent une base plus utile pour établir les priorités.

Mises à jour importantes de tiers

Microsoft republie 25 CVE non-Microsoft en parallèle de la publication de ce mois-ci. Les organisations qui gèrent Microsoft Edge selon son cycle de publication basé sur Chromium doivent vérifier indépendamment les mises à jour du navigateur concernées.

Les mises à jour du navigateur, des outils de développement, des dépendances open source et des applications tierces doivent rester intégrées au même workflow de gestion des vulnérabilités que les mises à jour du système d’exploitation. Des processus distincts peuvent créer des angles morts même lorsque le correctif Windows est à jour.

Pourquoi le Patch Tuesday de septembre est important pour les équipes IT

La publication de septembre est plus qu’un simple événement majeur de déploiement de correctifs. Elle met en évidence trois défis opérationnels auxquels les équipes IT doivent répondre.

1. Le volume rend la priorisation manuelle irréaliste

Près de 1 000 CVE Microsoft ne peuvent pas toutes recevoir le même niveau d’urgence. Les équipes IT doivent déterminer quels actifs sont affectés, quelles vulnérabilités sont exploitées et quels systèmes prennent en charge l’identité, l’accès à distance, les bases de données, la collaboration ou les charges de travail critiques.

Cette évaluation dépend d’un inventaire précis des actifs et des logiciels. Sans cela, les équipes risquent de consacrer du temps à des mises à jour moins risquées tandis que des systèmes exposés restent vulnérables.

2. L’infrastructure d’entreprise de base est fortement représentée

Les mises à jour de septembre concernent en même temps les services d’identité, le DNS, l’accès à distance, les bases de données, la messagerie, la virtualisation et les systèmes d’exploitation des terminaux. Cela crée des priorités qui se chevauchent entre les serveurs et les appareils des utilisateurs, avec des exigences différentes en matière de tests et de maintenance pour chacun.

Un déploiement progressif peut aider les équipes à avancer rapidement sur les systèmes les plus exposés tout en testant des mises à jour plus larges avant un déploiement à l’échelle de l’organisation.

3. La vérification des correctifs est aussi importante que leur déploiement

L’envoi d’une mise à jour ne prouve pas que chaque appareil est protégé. Les systèmes peuvent être hors ligne, les installations peuvent échouer, ou les terminaux peuvent manquer une fenêtre de déploiement.

Les équipes IT doivent voir quels appareils restent vulnérables, quels correctifs ont réussi, lesquels ont échoué et quels systèmes nécessitent une nouvelle tentative de déploiement ou des mesures correctives supplémentaires.

Comment Splashtop AEM peut aider à prioriser et déployer les correctifs

Une publication Patch Tuesday avec 974 CVE Microsoft crée deux défis immédiats : identifier ce qui compte dans votre environnement et déployer rapidement les bonnes mises à jour. Splashtop AEM aide les équipes IT à gérer les deux depuis une console centralisée.

• Voyez où se situe le risque : Splashtop AEM offre une visibilité centralisée sur les vulnérabilités, l’état des correctifs, l’inventaire matériel et logiciel, ainsi que l’état de santé des terminaux. Les équipes IT peuvent utiliser ce contexte pour identifier les appareils concernés et comprendre où une remédiation urgente est nécessaire.

• Donnez la priorité aux vulnérabilités les plus importantes : Les informations sur les CVE et au niveau des terminaux aident les équipes à se concentrer sur les vulnérabilités exploitées, les logiciels à haut risque, les systèmes critiques et les appareils prenant en charge des fonctions sensibles telles que l’identité ou l’accès à distance.

• Déployez les mises à jour plus rapidement : Splashtop AEM prend en charge les correctifs en temps réel, les politiques de correctifs automatisées, le déploiement planifié et les déploiements par anneaux. Les équipes peuvent tester les mises à jour sur un groupe plus restreint d’appareils, étendre le déploiement par étapes et surveiller les réussites ou les échecs sans perdre en visibilité sur l’ensemble de l’environnement.

• Renforcez les workflows de correctifs existants : Les équipes qui gèrent encore certaines parties de l’application des correctifs manuellement peuvent automatiser les tâches répétitives de déploiement et de vérification. Splashtop AEM peut améliorer Microsoft Intune en ajoutant le déploiement de correctifs en temps réel, la visibilité sur les CVE et des capacités de remédiation à leur environnement existant. Les organisations qui utilisent un RMM peuvent se servir de Splashtop AEM pour renforcer la visibilité des correctifs, l’automatisation et les workflows des terminaux lorsque des capacités supplémentaires sont nécessaires.

Réagissez plus vite aux vulnérabilités à haut risque avec Splashtop AEM

Le Patch Tuesday record de septembre montre à quelle vitesse la gestion des correctifs devient un problème de priorisation et de vérification. Les équipes IT doivent identifier les appareils exposés, déployer les mises à jour urgentes et confirmer la remédiation sans perdre la trace des systèmes dans des environnements distribués.

Splashtop AEM réunit la visibilité sur les CVE, l’application de correctifs en temps réel, l’automatisation, le suivi de l’état des correctifs et les informations sur les endpoints au sein d’une seule plateforme.

Démarrez un essai gratuit de Splashtop AEM pour identifier les terminaux vulnérables, prioriser les mises à jour à haut risque et déployer les correctifs plus rapidement.