L’énorme Patch Tuesday de Microsoft : il pleut des bugs

Les attaquants ont exploité une vulnérabilité d’usurpation d’identité dans Microsoft SharePoint Server avant que Redmond ne publie un correctif dans le cadre du méga Patch Tuesday d’avril.

La soirée de mise à jour mensuelle comprenait 165 nouveaux CVE Microsoft.

Et le bug en exploitation active, CVE-2026-32201, est dû à une validation incorrecte des entrées dans SharePoint qui permet à un attaquant non autorisé d’effectuer une usurpation d’identité sur un réseau. Cela pourrait permettre à quelqu’un de consulter des informations sensibles et d’apporter des modifications aux informations divulguées.

« En exploitant cette faille, un attaquant peut manipuler la façon dont les informations sont présentées aux utilisateurs, les incitant potentiellement à faire confiance à un contenu malveillant », nous a expliqué Mike Walters, président et cofondateur du fournisseur de gestion de correctifs Action1, ajoutant que ce bug peut être exploité dans le cadre d’attaques de phishing, de manipulations de données non autorisées ou de campagnes d’ingénierie sociale qui conduisent à de nouvelles compromission.

« La faille permet aux attaquants de simuler la confiance à grande échelle : ce qui semble légitime peut en réalité être une tromperie soigneusement conçue », a déclaré Walters. « Il peut être utilisé pour tromper les employés, les partenaires ou les clients en présentant des informations falsifiées dans des environnements SharePoint fiables. »

Redmond n’a fourni aucun détail sur la façon dont cette faille de sécurité est exploitée dans la nature – ni sur qui l’a divulguée.

Peut-être Mythos, ou une autre IA de chasse aux bugs ? Le registre a demandé à Microsoft de fournir des informations supplémentaires, et voici ce que nous avons reçu : « Chaque année, MSRC traite des milliers de rapports de vulnérabilité émanant de Microsoft et de chercheurs externes, de sorte que le nombre abordé dans une mise à jour donnée mardi peut varier. La version d’aujourd’hui ne reflète pas une augmentation significative des découvertes basées sur l’IA, même si nous avons attribué une vulnérabilité à un chercheur Anthropic utilisant Claude. »

Comme l’a noté Dustin Childs, responsable de la recherche de vulnérabilités de Zero Day Initiative, dans son article mensuel sur PT, il s’agit – selon ses calculs – de la deuxième plus grande version mensuelle de CVE jamais réalisée par Microsoft.

« Il y a beaucoup de choses sur lesquelles nous pourrions spéculer pour justifier la taille, mais si Microsoft est comme les autres programmes (y compris le nôtre), ils constateront probablement une augmentation des soumissions trouvées par les outils d’IA », a écrit Childs.

Alors que CVE-2026-32201 est le seul bug parmi les 165 nouveaux CVE répertoriés comme étant en cours d’exploitation active – en tout cas au moment de la publication – un autre bug est publiquement connu.

Celui-ci, suivi comme CVE-2026-33825, est une faille d’élévation de privilèges dans Microsoft Defender. Bien que Microsoft ne le mentionne pas dans son avis, d’autres magasins de sécurité ont souligné que le bug du Defender correspond à un code d’exploitation appelé BlueHammer, publié sur GitHub plus tôt ce mois-ci par un chercheur mécontent se faisant appeler « Chaotic Eclipse ».

Il semble qu’ils n’étaient pas très satisfaits du processus de divulgation de Microsoft. « Je n’ai jamais voulu rouvrir un blog et un nouveau compte Github pour supprimer du code… Mais quelqu’un a violé notre accord et m’a laissé sans abri sans rien… », a écrit Chaotic Eclipse le 2 avril.

Ils ne sont pas les premiers à critiquer le processus de rapport de bugs de Redmond et sa réponse aux chercheurs.

« Je n’ajouterai rien au commentaire du chercheur sur la collaboration avec Microsoft », a écrit Childs. « Je suis juste heureux qu’ils proposent un correctif pour la vulnérabilité. Si vous comptez sur Defender, testez et déployez celui-ci rapidement. » ®