Le correctif WinSock est l’un des 398 correctifs publiés aujourd’hui par Microsoft, et le correctif de SAP pour une vulnérabilité dans Commerce Cloud est l’un des 29 correctifs de ce mois.
Une vulnérabilité d’élévation de privilèges Zero Day actuellement exploitée qui doit être corrigée dans un pilote Windows pour WinSock est le point culminant des 398 correctifs publiés aujourd’hui dans les versions du Patch Tuesday d’août de Microsoft.
Le trou réside dans le pilote de fonction auxiliaire de Windows pour WinSock (CVE-2026-68820), qui, selon Todd Schell, chef de produit principal chez Ivanti, a été une cible récurrente de bogues locaux d’élévation de privilèges tout au long de 2026. Des vulnérabilités passées dans ce composant ont permis à un attaquant autorisé de remporter une condition de concurrence pour obtenir les privilèges SYSTEM.
« Une exploitation a déjà été détectée », a noté Jack Bicer, directeur de la recherche sur les vulnérabilités chez Action1, « ce qui en fait la vulnérabilité la plus prioritaire dans la version de ce mois-ci ».
Par ailleurs, SAP a publié 29 correctifs de sécurité nouveaux et mis à jour, dont le plus grave est CVE-2026-58231, avec un score CVSS de 10. Il s’agit d’un problème d’autorisation inapproprié dans l’adaptateur Data Hub de SAP Commerce Cloud.
42 vulnérabilités critiques de Microsoft
Au total, Microsoft a traité 398 CVE. Parmi eux, 42 ont été jugés critiques, tandis que 355 ont été jugés importants. Cependant, Tyler Reguly, directeur associé de la R&D en sécurité chez Fortra, a noté que 236 CVE affectent Windows et sont couverts par une mise à jour cumulative. 98 autres sont des CVE Office qui sont couverts par des mises à jour cumulatives Office distinctes, à moins que vous n’utilisiez toujours Office 2016.
En plus du jour zéro activement exploité, Microsoft a également mis en garde contre deux autres jours zéro. CVE-2026-62832 est une vulnérabilité d’élévation de privilèges dans le service de profil utilisateur Windows, classée importante. Action1 a souligné que cela avait été divulgué publiquement, donc une exploitation est probable ; Ivanti a souligné qu’il s’agissait de la faille derrière « LegacyHive », la preuve de concept non corrigée publiée par le chercheur Nightmare-Eclipse quelques heures seulement après le Patch Tuesday de juillet. Cette vulnérabilité permet à un utilisateur standard de contraindre le service de profil utilisateur à charger la ruche de registre d’un autre utilisateur, même celle d’un administrateur, afin d’obtenir un accès non autorisé aux données du registre de classes de cet utilisateur.
CVE-2026-72971 est une vulnérabilité de falsification dans le pilote de filtre FS d’isolation de conteneur Windows (), classée importante. La divulgation publique avant le patch signifie que le code d’exploitation pourrait suivre rapidement, a déclaré Ivanti. Il a ajouté que les services informatiques exécutant des conteneurs Windows, des agents de build ou une infrastructure CI sur les hôtes concernés devraient donner la priorité à cette mise à jour.
Satnam Narang, ingénieur de recherche senior chez Tenable, a déclaré que les RSSI devraient accorder une attention particulière à la faille d’élévation de privilèges dans le pilote de fonction auxiliaire Windows () pour WinSock, qui gère les commandes de socket. Non seulement cette vulnérabilité a été exploitée à l’état sauvage, a-t-il déclaré, mais elle pourrait également être une faille exploitée par des acteurs étatiques, comme ce fut le cas du CVE-2024-38193 de 2024, qui aurait été attaqué par des pirates informatiques nord-coréens liés au groupe Lazarus. Tenable affirme que les échanges historiques de cette nature sont généralement exploités par les groupes APT dans le cadre d’attaques limitées et ciblées.
De nombreuses vulnérabilités distantes ce mois-ci ne nécessitent pas d’authentification
Une part importante du risque de ce mois-ci provient de vulnérabilités critiques qui peuvent potentiellement être exploitées à distance, sans authentification ni interaction de l’utilisateur, a noté Bicer d’Action1. Par exemple, a-t-il souligné, la vulnérabilité d’exécution de code à distance du serveur DNS Windows (CVE-2026-62878), la vulnérabilité d’exécution de code à distance de Microsoft QUIC, la vulnérabilité d’exécution de code à distance du service cible iSCSI Windows (CVE-2026-65791) et la vulnérabilité d’exécution de code à distance du serveur TFTP des services de déploiement Windows portent chacune un score CVSS de 9,8.
« Ces vulnérabilités représentent des voies d’attaque particulièrement graves, car une requête ou un paquet réseau malveillant pourrait potentiellement conduire directement à l’exécution de code », a déclaré Bicer. « La vulnérabilité d’exécution de code à distance du serveur TFTP (CVE-2026-62893) mérite une attention particulière car son exploitation est jugée plus probable, malgré aucune exploitation confirmée au moment de la publication. »
SharePoint représente une autre concentration importante de risques, a déclaré Bicer. La vulnérabilité d’exécution de code à distance de Microsoft SharePoint Server (CVE-2026-65665) permet à un attaquant authentifié disposant au moins des privilèges de propriétaire de site d’exécuter du code arbitraire à distance et est considérée comme plus susceptible d’être exploitée. La vulnérabilité d’élévation de privilèges de Microsoft SharePoint Server (CVE-2026-62827) et une deuxième vulnérabilité d’élévation de privilèges de Microsoft SharePoint Server (CVE-2026-64921) peuvent permettre à des attaquants authentifiés ayant accès au domaine de s’élever au rang d’administrateur SharePoint.
« Ces vulnérabilités sont particulièrement pertinentes lorsque SharePoint contient des informations d’entreprise sensibles ou prend en charge des processus métier importants », a déclaré Bicer. « Une identité compromise pourrait potentiellement devenir une voie menant au contrôle administratif, à l’exécution de code arbitraire, au vol d’informations ou à la perturbation des services de collaboration. »
Conseils aux OSC
Il a déclaré que les dirigeants informatiques devraient également exiger une correction accélérée et une validation explicite pour DNS, DHCP, SharePoint, Exchange, les services de certificats Active Directory (AD CS), les services de routage et d’accès à distance (RRAS), le protocole de tunneling Secure Socket (SSTP) et d’autres services critiques. Étant donné qu’aucune solution de contournement documentée n’est identifiée pour les vulnérabilités mises en évidence, Bicer a déclaré que le déploiement de correctifs reste la principale mesure de réduction des risques. Les systèmes qui ne peuvent pas être corrigés dans les délais établis, a-t-il ajouté, devraient bénéficier d’une acceptation des risques documentée, d’une réduction de l’exposition, d’une segmentation, d’une surveillance améliorée et de contrôles compensatoires jusqu’à ce que la remédiation soit terminée.
« La nouvelle normalité »
« Bien que la version de ce mois-ci soit plus petite que celle du mois dernier, 398 nouveaux CVE prouvent que les chargements massifs de correctifs sont officiellement la « nouvelle norme » », a commenté Dustin Childs, responsable de la sensibilisation aux menaces chez Zero Day Initiative de TrendAI. « La grâce salvatrice est qu’un seul bug est actuellement activement exploité. Les équipes de sécurité doivent corriger ce jour zéro aujourd’hui, mais se rendent compte que la gestion de ce grand volume de correctifs est désormais une procédure opérationnelle standard. »
Mais les équipes de sécurité ne devraient pas être impressionnées par les centaines de nouveaux CVE ce mois-ci, a souligné Zack Finstad, vice-président de la cybersécurité chez Logically. « Le volume à lui seul n’est pas la même chose que le risque », a-t-il déclaré. « La démarche pratique consiste à trier d’abord en fonction du statut d’exploitation et de l’exposition à Internet, puis à travailler vers l’extérieur. Un CVE qui est déjà exploité dans la nature contre des systèmes connectés à Internet mérite une réponse très différente d’une élévation théorique de privilèges locaux sur un poste de travail isolé. »
Correctifs critiques SAP
La vulnérabilité d’autorisation inappropriée dans l’adaptateur Data Hub de SAP Commerce Cloud (CVE-2026-58231) est le plus critique des correctifs publiés aujourd’hui, déclare Jonathan Stross, directeur principal de la recherche et de l’innovation en cybersécurité chez Pathlock. Un attaquant distant non authentifié disposant d’un accès réseau à une instance affectée peut soumettre des données contrefaites au point de terminaison d’importation Data Hub, conduisant potentiellement à l’exécution de code arbitraire. Stross a déclaré qu’une exploitation réussie pourrait exposer les données des clients et des commandes, manipuler le comportement des applications, interrompre la vitrine ou les flux d’intégration et compromettre les informations d’identification ou les services approuvés par l’environnement Commerce.
SAP a également corrigé deux failles critiques d’injection de code dans Manufacturing Integration and Intelligence (MII), identifiées comme CVE-2026-44772 (avec un score CVSS de 9,9) et CVE-2026-44758 (score CVSS de 9,1).
Dans une note de recherche, Onapsis a déclaré que le problème dans MII est un composant de servlet vulnérable qui est ouvert à l’injection de modèles côté serveur et à la falsification de requêtes côté serveur. Le correctif supprime le composant vulnérable.
Un autre défaut critique est CVE-2026-34265 (score CVSS de 9,8), décrit comme un problème de corruption de mémoire dans Application Server ABAP pour NetWeaver et ABAP Platform.
La corruption de la mémoire provient d’erreurs logiques dans l’analyse du protocole DIAG qui permettent à un attaquant non authentifié de générer des corruptions de mémoire, a déclaré Onapsis. La vulnérabilité pourrait potentiellement divulguer des informations système sensibles ou faire planter le système, entraînant un impact important sur la confidentialité, l’intégrité et la disponibilité de l’application. Stross a noté qu’un attaquant n’a pas besoin d’authentification pour exploiter cette faille.
