Doozy of a Patch Tuesday comprend 30 CVE Microsoft critiques

Microsoft a publié mardi des correctifs pour 137 CVE, dont aucun n’a été ciblé par des attaquants. Mais les nouvelles ne sont pas toutes bonnes puisque Redmond a évalué 30 failles comme critiques, dont 14 ont obtenu un indice de gravité CVSS de 9,0 ou plus, dont un parfait 10.

De plus, tous ceux qui célèbrent l’événement mensuel patchapalooza ont reçu la validation de ce que nous soupçonnions tous le mois dernier : oui, Redmond (et tout le monde, d’ailleurs) utilise l’IA pour trouver une tonne de bugs plus que jamais. Et cela signifie beaucoup plus de travail pour toutes les personnes qui appliquent et testent les correctifs.

« La version de ce mois-ci se situe dans la partie la plus importante d’un mois de hotpatch, et nous prévoyons que les versions continueront à augmenter pendant un certain temps », a déclaré Tom Gallagher, vice-président de l’ingénierie au Microsoft Security Response Center, dans une note sur le Patch Tuesday de ce mois-ci.

Microsoft a également déclaré que son système de recherche de bogues d’IA, jusqu’à présent secret, nommé MDASH, avait découvert 16 des vulnérabilités corrigées dans la version de ce mois-ci. Redmond a également annoncé qu’il mettrait l’outil à la disposition d’un nombre limité de clients en avant-première privée, à l’instar de Mythos et Project Glasswing d’Anthropic.

En d’autres termes : pas de répit pour les administrateurs Microsoft lors de ce Patch Tuesday de mai.

Jetons un coup d’œil à certains des bugs les plus méchants et les plus intéressants qui ont également reçu certaines des notes CVSS les plus élevées ce mois-ci, avec 9,8 et 9,9.

Premier point : CVE-2026-41096. Celui-ci est une exécution de code à distance (RCE) critique du client DNS Windows, notée 9,8, et bien que Redmond affirme que son exploitation est « peu probable », nous suggérons de le corriger dès que possible. Cela est dû à un débordement de tampon basé sur le tas, et aucune authentification ou interaction de l’utilisateur n’est nécessaire pour l’exploiter (cela se fait en envoyant une réponse DNS spécialement conçue à un système vulnérable), conduisant potentiellement à une corruption de la mémoire et à un RCE.

« Étant donné que le client DNS fonctionne sur pratiquement toutes les machines Windows, la surface d’attaque est énorme », a averti Dustin Childs, responsable de la chasse aux bogues de Zero Day Initiative. « Un attaquant en mesure d’influencer les réponses DNS (MitM, serveur malveillant) pourrait obtenir un RCE non authentifié dans l’ensemble de votre entreprise. »

De plus, cela pourrait se produire très rapidement sur une tonne de systèmes d’entreprise, a déclaré Jack Bicer, directeur de la recherche sur les vulnérabilités d’Action1. Le registre. « Cette CVE nécessite une attention immédiate », a-t-il déclaré. « Les attaques réussies peuvent conduire à une compromission généralisée des points de terminaison, au déploiement de ransomwares, à la collecte d’informations d’identification et à une perturbation opérationnelle sur les réseaux d’entreprise. »

Un autre bug particulièrement grave, CVE-2026-42898 dans les systèmes Microsoft Dynamics 365 sur site, a obtenu une note CVSS presque parfaite de 9,9 et conduit également à RCE. Tout utilisateur authentifié peut déclencher cette vulnérabilité – cela ne nécessite pas de privilèges d’administrateur ou d’autres privilèges élevés.

Comme l’explique Redmond : « Un attaquant disposant des autorisations requises pourrait modifier l’état enregistré d’une session de processus dans Dynamics CRM et inciter le système à traiter ces données, ce qui pourrait entraîner l’exécution involontaire par le serveur d’un code malveillant. »

Étant donné que l’exploitation pourrait entraîner un changement de portée, ce qui signifie que le bug peut affecter les systèmes au-delà du composant vulnérable, il s’agit d’un risque assez sérieux pour les entreprises et devrait être prioritaire. « Les changements de portée sont assez rares, donc si vous utilisez Dynamics 365 On-Prem, testez et déployez ce correctif rapidement », a déclaré Childs.

Le deuxième des deux bugs notés 9,8 est CVE-2026-41089. Il s’agit d’un débordement de tampon basé sur la pile dans Windows Netlogon qui permet à un attaquant distant non authentifié d’exécuter du code sur des machines vulnérables en envoyant une requête réseau spécialement conçue à un serveur Windows agissant en tant que contrôleur de domaine. Comme le souligne Childs : le fait que les attaquants peuvent exploiter cette faille sans informations d’identification ni interactions de l’utilisateur la rend vermifuge. « Il s’agit du bug à plus fort impact qui nécessite un correctif immédiat : un contrôleur de domaine compromis est un domaine compromis », a-t-il ajouté.

Le côté positif de ce mois-ci pour les défenseurs est que le seul CVE obtenant une note CVSS parfaite de 10,0 se trouve dans Azure DevOps et n’exige pas que les utilisateurs corrigent quoi que ce soit.

CVE-2026-42826 est une vulnérabilité de divulgation d’informations dans la chaîne d’outils DevOps « qui a déjà été entièrement atténuée par Microsoft », selon Redmond. « Les utilisateurs de ce service n’ont aucune mesure à prendre. Le but de ce CVE est d’assurer davantage de transparence. » ®