Microsoft bat le record du Patch Tuesday avec un déluge de 974-CVE

La vulnapocalypse est à nos portes, cher lecteur. Microsoft a livré ce mois-ci un nombre record de correctifs pour corriger 974 CVE dans ses propres produits, dont deux bogues qui, selon Redmond, sont déjà exploités.

La collection record de mises à jour de sécurité de septembre intervient après que Microsoft ait fourni 421 correctifs en août et 622 en juillet. Nous avons vu la nouvelle normalité et nous ne sommes pas impressionnés. Merci, mais non merci, AI.

En plus de la publication massive de correctifs par Microsoft, Adobe a publié mardi 10 bulletins traitant de 172 CVE, y compris une vulnérabilité de gravité maximale exploitée comme un jour zéro dans Magento et son successeur Adobe Commerce. Adobe a livré lundi un correctif pour celui-ci, suivi comme CVE-2026-75650 et nommé StyleSmuggler, qui permet aux attaquants non authentifiés d’exécuter du code à distance.

StyleSmuggler

Si votre organisation possède un type de boutique en ligne, donnez la priorité à celle-ci en premier, car elle est déjà utilisée à mauvais escient pour compromettre les magasins, selon la boutique de sécurité du commerce électronique Sansec.

Sansec a découvert StyleSmuggler et rapporte que les attaques ont commencé le 4 septembre. Chaque version de Magento et Adobe Commerce, de la 2.4.4 à la 2.4.9 incluse, présente la faille.

Le bug permet aux attaquants d’injecter du code PHP malveillant dans les modèles Magento en utilisant les propriétés « styles » pour échapper aux détections de sécurité. Dans les attaques confirmées, la charge utile installe ensuite une porte dérobée qui se connecte à un serveur de commande et de contrôle et attend les instructions. « Jusqu’à présent, nous n’avons aucune indication que la porte dérobée ait été utilisée comme arme », a écrit l’équipe médico-légale de Sansec.

N’attendez pas pour le découvrir. Mettez-le en haut de votre liste d’atténuation.

Les 974 CVE de Microsoft

Passons aux 974 CVE record de Microsoft, ce qui, selon Tenable, n’est pas beaucoup moins que les 1 130 CVE émis par Redmond en 2025.

Deux sont déjà exploités comme zero-day.

Tout d’abord : CVE-2026-85880, un bug d’élévation de privilèges dans Windows Advanced Local Procedure Call (ALPC). Une exploitation réussie peut permettre à l’attaquant d’obtenir les privilèges SYSTEM.

« Un attaquant capable d’exécuter du code dans un AppContainer à faible privilège pourrait exploiter cette vulnérabilité localement pour échapper au bac à sable et élever les privilèges sur le système affecté », a averti Redmond. « Aucune interaction utilisateur supplémentaire n’est requise. »

On ne sait pas encore qui exploite ce bug et dans quel but. L’Agence américaine de cybersécurité et de sécurité des infrastructures a ajouté mardi le CVE-2026-85880 ainsi qu’une deuxième faille de sécurité Microsoft (et le zero-day Adobe Commerce et Magento) à son catalogue de vulnérabilités exploitées connues, et a fixé au 22 septembre la date limite pour que les agences fédérales corrigent les deux nouveaux bugs Microsoft et au 11 septembre pour corriger la faille Adobe.

Le deuxième bug Microsoft trouvé et exploité comme un jour zéro est CVE-2026-81963, une autre vulnérabilité d’élévation de privilèges. Celui-ci affecte la pile Windows Update. Nous avons également très peu de détails sur cette faille, à part qu’elle permet également aux attaquants d’obtenir un accès au niveau du SYSTÈME.

« Il est plus probable que ce bug soit combiné avec un bug d’exécution de code pour propager des logiciels malveillants ou des ransomwares », a déclaré Dustin Childs de Zero Day Initiative, qui a conseillé aux utilisateurs de « corriger celui-ci rapidement ».

Bien que ce soient les deux seules (jusqu’à présent) exploitées activement, Childs a classé CVE-2026-55007, l’une des neuf failles du serveur Exchange révélées ce mois-ci, comme le correctif « le plus important » pour le serveur de messagerie.

Il permet à un attaquant distant non authentifié d’exécuter du code sur un serveur Exchange vulnérable en envoyant un e-mail avec une pièce jointe Visio malveillante. Aucune interaction de l’utilisateur n’est requise et le code s’exécute lorsque le serveur traite la pièce jointe lors de l’indexation du contenu.

Redmond affirme qu’il est « difficile de déclencher de manière fiable », mais comme le souligne Childs : « L’attaquant n’a besoin de réussir qu’une seule fois. Planifiez votre temps d’arrêt et mettez à jour vos serveurs Exchange en toute hâte. »

Childs a également déclaré qu’il comptait 20 correctifs pour les bogues vermifuges, alors assurez-vous de lire sa revue complète du Patch Tuesday pour ceux-ci. « Bien que certains soient plus exploitables que d’autres, en avoir 20 dans une seule version est une autre chose. »

Le CVE manquant

Alors que Redmond a corrigé près de 1 000 failles de sécurité ce mois-ci seulement, il convient également d’en souligner une qui ne figure pas dans le récapitulatif du Patch Tuesday de ce mois-ci : CVE-2026-85046. Google a corrigé ce bug dans Chrome le 3 septembre et avait alors averti qu’il « était conscient qu’un exploit pour CVE-2026-85046 existait dans la nature ».

La faille de confusion de type de haute gravité existe dans le moteur JavaScript V8 utilisé dans les navigateurs Chrome de Google et Edge de Microsoft. Et pourtant, Microsoft n’a toujours pas publié d’avis de sécurité pour CVE-2026-85046.

« Si vous recevez un correctif, vous êtes protégé, mais si vous vous fiez aux alertes pour savoir quelles vulnérabilités existent, vous risquez de passer complètement à côté de cette vulnérabilité zero-day », a déclaré Adam Barnett, ingénieur logiciel en chef chez Rapid7. Le registre.

« Un correctif sans avis est peut-être légèrement meilleur qu’un avis sans correctif, mais suivre les expositions sans documents consultatifs fiables n’est pas simple », a déclaré Barnett. « Chrome a corrigé 11 autres vulnérabilités en même temps que CVE-2026-85046, mais il n’est pas encore clair si celles-ci sont corrigées dans Edge. Jusqu’à ce que Microsoft remette les pendules à l’heure, la seule hypothèse sûre est que ces vulnérabilités (par exemple CVE-2026-85045) ne sont pas corrigées dans Edge.  » ®

Mis à jour à 21h45 GMT le 10 septembre 2026

Après la publication de cet article, Microsoft a confirmé que les mises à jour de sécurité Chromium avaient été intégrées à Microsoft Edge (version 152.0.4191.62).