Le Patch Tuesday de Microsoft pour septembre 2026 entre dans les annales avec un nombre record de failles. Quelque 974 vulnérabilités de sécurité sont corrigées et le précédent record de juillet est pulvérisé.
Le volume massif de correctifs, qui porte le total de l’année en cours à plus de 2 600, est en grande partie dû à l’utilisation croissante de l’IA pour la détection des bugs. Un point que Microsoft avait déjà souligné avec un avertissement.
Deux vulnérabilités zero-day exploitées
Parmi cette avalanche de correctifs pour les produits de Microsoft, plus d’une centaine ont été classés critiques, signifiant qu’ils pourraient permettre à un attaquant de prendre le contrôle d’une machine sans interaction de l’utilisateur.
Non critiques, deux vulnérabilités d’élévation de privilèges retiennent néanmoins l’attention en raison de leur caractère zero-day avec une exploitation déjà active : CVE-2026-81963 et CVE-2026-85880.
La première affecte la pile Windows Update (Windows Update Stack), soit le composant pour installer les mises à jour Windows, tandis que la deuxième concerne Windows Advanced Local Procedure Call (ALPC) pour la transmission de messages des systèmes Windows.
L’IA est-elle une arme à double tranchant ?
Si Microsoft se félicite de l’efficacité de l’IA pour identifier les failles plus rapidement, cette accélération pose un défi majeur, notamment aux entreprises. Le déploiement de centaines de correctifs chaque mois nécessite des tests rigoureux pour éviter de perturber les environnements de production.
Il y a toujours la crainte d’une mise à jour problématique, d’autant que le passif de Microsoft en la matière ne plaide pas forcément en sa faveur. En outre, l’IA devient également un outil permettant à des attaquants d’accélérer des exploitations.
Tenable tempère toutefois les inquiétudes. » L’un des principaux enseignements à tirer de l’augmentation récente du nombre de correctifs publiés lors des Patch Tuesday est que, même si le nombre de vulnérabilités corrigées progresse, le nombre de vulnérabilités susceptibles d’affecter effectivement la majorité des organisations reste relativement faible. «
» En 2026, la découverte de vulnérabilités assistée par l’IA crée des meules de foin plus importantes, mais ne permet pas de trouver davantage d’aiguilles. «