Microsoft lance un patch historique avec 169 vulnérabilités et une explosion active dans SharePoint

Microsoft a publié cette semaine un paquet de corrections qui corrige un total surprenant de 169 défaillances de sécurité dans son catalogue de produits, y compris au moins une vulnérabilité qui est déjà exploitée dans la nature. Le chiffre fait de ce patch mensuel l'un des plus importants de l'histoire récente de l'entreprise, juste derrière le record atteint en octobre 2025.

Sur ces 169 échecs signalés, la grande majorité a été décrite comme étant de grande importance : 157 avec une sévérité « importante », huit comme « critique », trois comme « moderne » et un comme « faible ». Quant au type d'erreurs, les vulnérabilités qui permettent privilèges d'échelle(93 cas), suivi du filtrage des informations (21), de l'exécution de codes à distance (21), des omissions de sécurité (14), du remplacement (10) et du refus de service (9). La liste comprend même quatre CVE qui ne sont pas directement de Microsoft mais qui affectent des composants ou des projets connexes tels que AMD, Node.js, Windows Secure Boot et Git pour Windows.

Les corrections incluent également des mises à jour déjà appliquées au navigateur Edge basé sur Chrome du patch du mois dernier, ce qui augmente la portée globale de ce cycle de patch. Des analystes comme Satnam Narang of Tenable ont souligné que la tendance de 2026 pointe vers une normalité inquiétante : plus d'un millier de CVE par an dans les mises à jour mensuelles, avec une prépondérance exceptionnelle de privilège soulevant des erreurs ces derniers mois. Pour contraster cette perspective et consulter les guides officiels de Microsoft, vous pouvez aller à votre centre d'alerte de sécurité à MSRC ou au guide de mise à jour de sécurité de Microsoft Microsoft Apprendre.

L'échec qui a déjà été lié à l'activité malveillante dans le monde réel est celui enregistré comme CVE-2026-32201, une vulnérabilité de subplantation dans Microsoft SharePoint Server que Microsoft décrit comme un problème de validation d'entrée. Concrètement, cela permet à un attaquant de tromper la présentation de contenu ou d'interfaces au sein de SharePoint, ce qui peut conduire les utilisateurs à recevoir ou à modifier des informations qui semblent légitimes. Comme l'opération peut affecter la confidentialité et l'intégrité des données, mais sans interruption de la disponibilité, la gravité vise à faciliter les attaques subséquentes par la tromperie ciblée.

L'entrée de cet échec dans le catalogue des vulnérabilités exploitées connues de la US Infrastructure and Cybersecurity Agency. États-Unis. ( CISA KEV) implique que les organismes fédéraux doivent atténuer le problème avant un certain délai. Cette inclusion indique clairement que les responsables de la sécurité doivent accélérer l'application des correctifs et des contrôles compensatoires dans les environnements ministériels et gouvernementaux.

Une autre question qui a attiré l'attention est la vulnérabilité de privilèges accrus dans Microsoft Defender marqué comme CVE-2026-33825, a déclaré publiquement en même temps que le patch est arrivé. Microsoft explique qu'un attaquant ayant un accès autorisé au système pourrait tirer parti de contrôles d'accès insuffisants pour obtenir des privilèges plus élevés; cependant, les équipes qui maintiennent Defend sur sont généralement données la correction automatiquement, parce que la plate-forme est continuellement mise à jour par défaut. Dans les machines où le défenseur est handicapé, la faiblesse ne serait pas exploitable.

Cette correction est liée à une explosion connue sous le nom de "BlueHammer", dont le code a été publié dans GitHub en avril 2026 par un chercheur qui a signé comme "Éclipse chaotique" après un conflit dans le processus de divulgation avec Microsoft. Selon l'analyse technique disponible, BlueHammer travaillait sur le mécanisme de mise à jour et de réparation du Defender en profitant des instantanés de Volume Shadow Copy pour exposer les fichiers journaux protégés et ainsi permettre la lecture de bases de données sensibles et le remplacement temporaire des hachages de mot de passe. Bien que le dépôt public ait exigé le début de la session et que depuis lors une partie de l'explosion ait cessé de fonctionner selon plusieurs chercheurs, l'émergence du code public a accéléré le besoin de stationnement.

Des chercheurs d'entreprises telles que Cyderes et des commentaires du public de chercheurs indépendants ont décrit comment les fonctionnalités légitimes de Windows enchaînées par explosion - callbacks et blocs de fichiers de Cloud Files - permettent de mettre en pause les processus et de laisser le matériel sensible accessible à un moment précis du flux de mise à jour Defender. Dans la pratique, un attaquant réussi pourrait avoir accès à la base SAM, déchiffrer les hachages NTLM et atteindre le niveau SYSTEM, ainsi que restaurer l'état original pour rendre la détection difficile.

Avec l'impact potentiel le plus important sur les environnements connectés à Internet est la vulnérabilité d'exécution de code à distance dans le service IKE (Internet Key Exchange) v2, appelé CVE-2026-33824 et avec un score CVSS presque maximum de 9,8. IKEv2 est utilisé pour négocier des tunnels sûrs en VPN et IPsec, et étant conçu pour fonctionner avec des réseaux peu fiables est souvent exposé au trafic externe dans de nombreux déploiements commerciaux. Les chercheurs en sécurité ont averti que l'erreur permet à un agent distant d'envoyer des paquets spécialement construits et de réussir à exécuter du code sans authentification préalable, ce qui, dans le pire des cas, pourrait signifier la prise complète des systèmes exposés.

Les experts des entreprises de détection et d'intervention ont souligné que les vulnérabilités de type RSE qui ne nécessitent pas d'interaction avec les utilisateurs sont particulièrement dangereuses pour les services accessibles sur Internet, car elles facilitent le fonctionnement automatique et le mouvement latéral dans les réseaux d'entreprise. Pour l'équipement informatique, la recommandation qui vient de la gravité de la constatation est de prioriser la protection des machines qui offrent IKEv2 à l'extérieur et d'appliquer les correctifs à la vitesse maximale.

L'avalanche de corrections de ce mois reflète également une tendance dans laquelle les défaillances de levage de privilège dominent l'ensemble des mesures correctives alors que les exécutions de code à distance ont diminué proportionnellement. Cela ne signifie pas que le risque est plus faible: au contraire, une explosion locale qui permet de déraper les barrières de sécurité peut être la première étape pour des campagnes plus étendues et difficiles à contenir.

Si vous gérez des systèmes Windows ou des services corporatifs basés sur SharePoint, Defend ou VPN / IPsec, il est approprié d'agir dès maintenant. Appliquer les mises à jour officielles de Microsoft dès que possible; dans les environnements où le patch ne peut pas être affiché immédiatement, l'e-mail avec les avis techniques de Microsoft et les recommandations d'atténuation peuvent être consultés à l'adresse suivante: MSRC et dans le guide de mise à jour. Pour les organisations qui doivent satisfaire aux exigences réglementaires ou de sécurité, la vérification de la liste des vulnérabilités exploitées connues de la CISA et de leur temps de correction aide à prioriser les efforts : https: / / www.cisa.gov / knowledge-exploited-vulnerabilities-catalog.

En plus des correctifs, les dossiers d'accès devraient être revus, les comportements inhabituels surveillés et les privilèges et les contrôles de segmentation du réseau renforcés pour limiter l'impact d'une éventuelle opération. Les mises à jour automatiques du défenseur offrent une barrière pratique à certaines menaces, mais la sécurité en profondeur reste la meilleure défense contre les chaînes d'attaque complexes.

Pour ceux qui veulent approfondir l'analyse et le contexte, les laboratoires de sécurité et les entreprises spécialisées maintiennent des analyses techniques et des contextes utiles sur ces constatations. Publications et blogs d'entreprises telles que Rapide7, Appel d'offres ou Décision 1 Ils offrent souvent des doutes techniques et des recommandations pratiques qui complètent les avis officiels.

Bref, ce cycle de patch rappelle que la surface d'attaque continue de croître et que la gestion agile des mises à jour, ainsi que les pratiques de privilèges réduits et la visibilité constante, sont essentielles. Ce n'est pas le moment de sous-estimer une de ces corrections : certains points d'entrée d'attaque qui, une fois commis, permettent une escalade et des mouvements qui transforment un incident mineur en un écart grave.