Récapitulatif du Patch Tuesday de septembre 2026 : corrections de deux trous zéro jour parmi près de 1 000 correctifs dans Windows

Des bugs potentiellement vermifuges et deux failles zero-day mettent en évidence les près de 1 000 correctifs publiés aujourd’hui par Microsoft dans sa version Patch Tuesday de septembre.

Les 964 vulnérabilités, un autre record depuis que Microsoft a commencé à utiliser l’IA au milieu de l’année pour trouver des failles, nécessitent une action du client. Sont exclus 174 CVE tiers/open source et 23 CVE Chromium/Edge, ainsi que neuf vulnérabilités atténuées par Microsoft dans des applications comme Azure, Entra et Copilot Studio pour lesquelles aucune action du client n’est requise.

Par ailleurs, les développeurs et les administrateurs SAP dont le personnel utilise l’ABAP (Advanced Business Application Programming) de SAP doivent prendre des mesures pour corriger une vulnérabilité critique, avec un score CVSS de 10,0, dans le composant Extended Passport Processing (EPP). Une exploitation réussie peut avoir un impact important sur la confidentialité, l’intégrité et la disponibilité de l’application, affirment les chercheurs d’Onapsys. EPP est utilisé dans les suites d’entreprise telles que SAP S/4Hana et NetWeaver pour enregistrer la création de documents ou tracer les transactions de bout en bout.

Vulnérabilités Microsoft

Les deux zero-day dévoilés aujourd’hui sont :

• CVE-2026-85880, un débordement de tampon basé sur le tas dans Windows ALPC (Advanced Local Procedure Call), qui est déjà exploité. ALPC est un système de messagerie interne à Windows qui permet aux programmes de communiquer entre eux. Un attaquant capable d’exécuter du code dans un AppContainer à faibles privilèges pourrait exploiter cette vulnérabilité localement pour échapper au bac à sable et élever les privilèges sur le système affecté. Aucune interaction utilisateur supplémentaire n’est requise, a déclaré Action1.
  Microsoft a déclaré que les produits concernés incluent certaines versions de Windows Server 2012, Windows Server 2016 et Windows 10 Desktop.
  Chris Goettl, vice-président de la gestion des produits chez Ivanti, a déclaré que cette vulnérabilité « affecte l’ensemble du parc Windows ».

• CVE-2026-81963, une élévation de privilèges résultant d’une résolution de lien incorrecte avant l’accès au fichier (également appelé suivi de lien) dans la pile Windows Update. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait obtenir les privilèges système. Les versions concernées incluent Windows 11 Desktop et Windows Server 2025, a déclaré Microsoft. Cependant, les chercheurs d’Action1 ont déclaré que les versions spécifiques de Windows concernées ne peuvent pas être confirmées à partir des données disponibles.
  Il n’y a pas de solution de contournement autre que l’installation du correctif. Une exploitation a été détectée, a noté Action1, faisant de la remédiation une priorité élevée même si la gravité et le score CVSS ne peuvent pas être confirmés.
  Il s’agit du premier jour zéro des sept failles d’élévation de privilèges découvertes dans Windows Update Stack depuis 2022, et du premier à être exploité, a ajouté Satnam Narang, ingénieur de recherche senior chez Tenable.

Le grand nombre de correctifs Microsoft publiés ce mois-ci a stupéfié certains experts. Dustin Childs, responsable de la sensibilisation aux menaces à Zero Day Initiative, a déclaré, en référence au film : « en regardant près de 1 000 vulnérabilités en un seul mois, tout ce à quoi je peux penser c’est : ‘Mon Dieu, c’est plein d’étoiles.’ »

« La découverte de bogues assistée par l’IA a fait exploser le nombre de correctifs dans une toute nouvelle galaxie », a-t-il déclaré, « et les défenseurs doivent simplement accepter cette aspiration. »

Une vingtaine de vulnérabilités pourraient être des bogues vermifuges, a-t-il prévenu. « Nous n’avons pas vu de ver mondial depuis des années, mais avec une faille DNS agissant comme successeur spirituel de SigRed, cette réalité pourrait changer rapidement. »

Cette nouvelle vulnérabilité est CVE-2026-69730, un trou d’exécution de code à distance Windows DNS. Mardi, il n’avait pas encore été exploité, a déclaré Microsoft, mais la société s’attend à ce qu’il le soit. Un attaquant non authentifié pourrait exploiter cette vulnérabilité en envoyant un paquet spécialement conçu à un service concerné via le réseau. Une exploitation réussie pourrait permettre à l’attaquant d’exécuter du code sur le système cible, sans aucune authentification ni interaction de l’utilisateur requise.

Interrogé sur les vulnérabilités qui pourraient être vermifugées, Jack Bicer, directeur de la recherche sur les vulnérabilités d’Action1, a attiré l’attention sur CVE-2026-62893, un problème d’exécution de code à distance du serveur TFTP des services de déploiement Windows, corrigé pour la première fois en août, et CVE-2026-69590, un problème d’exécution de code à distance du service de routage et d’accès à distance Windows. Ni l’un ni l’autre ne nécessite une authentification ou une interaction de l’utilisateur. Pour cette raison, a-t-il déclaré, ces types de vulnérabilités pourraient se propager rapidement sur un réseau si les systèmes concernés ne sont pas corrigés.

Tyler Reguly, directeur associé de la R&D en matière de sécurité chez Fortra, a souligné que tant que Microsoft rattrapera son retard en matière de correction des vulnérabilités, les chiffres perdront tout sens.

« Il ne s’agit pas d’un problème spécifique à Microsoft », a-t-il noté. « Nous constatons le même problème avec Oracle et d’autres grands fournisseurs qui sont proactifs. Nous devons nous rappeler que ces grands nombres de CVE sont une bonne chose, car nous réduisons la surface d’attaque avant que les attaquants n’aient la chance de trouver et d’utiliser les vulnérabilités. Finalement, toutes ces vulnérabilités difficiles à trouver de longue date seront corrigées et le Patch Tuesday reviendra à sa cadence habituelle. En attendant, la priorisation est la clé, et des cartes-cadeaux pour un café supplémentaire pour vos administrateurs seraient probablement appréciées. »

Bicer a ajouté que l’ampleur des versions Microsoft de ce mois-ci oblige les responsables de la sécurité à aller au-delà des correctifs basés sur CVSS et à prioriser les systèmes en fonction de l’exploitabilité, de l’exposition du réseau, des exigences de privilèges, de la criticité de l’entreprise et des conséquences d’une compromission. Selon lui, les risques les plus importants se concentrent sur les infrastructures accessibles à distance, les services d’identité et d’authentification, les plates-formes de bases de données, les environnements de virtualisation et les composants Windows dont une exploitation réussie pourrait permettre l’exécution de code ou des privilèges élevés.

« L’une des choses les plus importantes à reconnaître au cours de la récente augmentation du nombre de versions de Patch Tuesday est que, même si le nombre de vulnérabilités corrigées augmente, le nombre de vulnérabilités qui peuvent et affecteront la plupart des organisations reste assez faible », a souligné Bicer. « La découverte de vulnérabilités assistée par l’IA en 2026 crée de plus grandes meules de foin, mais elle ne trouve pas plus d’aiguilles. Il est essentiel que les organisations comprennent quelles vulnérabilités s’appliquent réellement à elles, si elles constituent une menace en étant accessibles et exploitables, et priorisent les mesures correctives en fonction de ce contexte de risque. »

Correctifs d’autres fournisseurs

Les chercheurs de Nightwing ont également noté que cette semaine, Adobe avait corrigé un zero-day activement exploité dans Adobe Commerce et Magento (CVE-2026-75650, CVSS 10.0), baptisé StyleSmuggler, qui supprime les portes dérobées et les shells Web Linux. Adobe a déclaré qu’une «action urgente» était requise.

Fortinet a confirmé l’exploitation active en cours de deux anciennes vulnérabilités de contournement d’authentification dans FortiOS (CVE-2024-55591 et CVE-2025-24472), permettant à des attaquants distants non authentifiés de prendre le contrôle administratif des pare-feu de périphérie.

Cisco Systems a corrigé huit vulnérabilités graves sur les systèmes IOS XR tout en avertissant d’une exploitation active ciblant une faille de déni de service non authentifiée dans les appareils Secure Firewall ASA (CVE-2026-20349) décrite pour la première fois le mois dernier.

Red Hat a corrigé une vulnérabilité critique d’élévation de privilèges dans Advanced Cluster Management for Kubernetes 2 (CVE-2026-10090, CVSS 9.0, décrit le mois dernier) qui permet aux attaquants de violer les limites des conteneurs multi-locataires ; et Tenable a résolu une faille critique dans Sensor Proxy protégeant le pipeline principal sur lequel les organisations s’appuient pour l’audit de sécurité (CVE-2026-18667, CVSS 9.6) qui permettait l’exécution de code avec des privilèges élevés.

Vulnérabilités SAP

Jonathan Stross, chef de produit senior pour la R&I en matière de cybersécurité chez Pathlock, a noté que trois des notes de sécurité de ce mois-ci atteignent un niveau de compromission totale sans un seul identifiant valide. « Il s’agit d’un groupe inhabituellement concentré de problèmes non authentifiés, accessibles par le réseau et à impact maximal pour un seul Patch Day », a-t-il déclaré dans un commentaire.

La faille critique comblée par la note de sécurité SAP n° 3747649 est une vulnérabilité de corruption de mémoire dans le composant Extended Passport Processing (EPP) dans les systèmes basés sur ABAP. Les chercheurs d’Onapsis Research Labs, qui ont découvert la vulnérabilité, l’ont surnommée OVERPASS.

La validation des limites est manquante lors de la désérialisation des données EPP, ce qui entraîne une violation de la sécurité de la mémoire lors du traitement des champs de longueur fournis en externe. Cela permet à un attaquant non authentifié d’envoyer des requêtes réseau contrefaites contenant un en-tête EPP mal formé, provoquant un comportement indéfini et une interruption anormale du programme. La note de sécurité SAP fournit un correctif pour les noyaux ABAP et Java, ainsi que pour SAP Web Dispatcher, version 9.16. Les autres versions de Web Dispatcher et Web Dispatcher incluses dans SAP S/4HANA Extended Application Services ne sont pas affectées.

Onapsys a demandé l’application immédiate de correctifs, car la vulnérabilité existe par défaut dans un large éventail de composants SAP, est exploitable à distance et sans authentification, permet à des attaquants distants d’exécuter des commandes arbitraires du système d’exploitation sur l’hôte SAP avec des privilèges administratifs SAP, ce qui entraîne une compromission totale des données et processus métier SAP sous-jacents, et est accessible via plusieurs composants SAP et plusieurs protocoles de communication. Aucun de ces éléments ne nécessite d’informations d’identification, a souligné Onapsys, donc aucun contrôle réseau unique ne peut atténuer complètement les risques.

Onapsys a également attiré l’attention sur la note de sécurité SAP n° 3759472, avec un score CVSS de 9,8, dans NetWeaver Message Server. Ce bug est le résultat d’une validation insuffisante de l’authenticité des composants internes du serveur d’applications lors de l’enregistrement. Par conséquent, des attaquants non authentifiés ayant accès au réseau peuvent enregistrer des composants non autorisés et potentiellement effectuer des actions non autorisées au sein de l’environnement d’application.

Une exploitation réussie pourrait avoir un impact important sur la confidentialité, l’intégrité et la disponibilité du système concerné, a déclaré SAP. La vulnérabilité, que les laboratoires de recherche Onapsis surnomment S4GET, est présente dans toute la famille de noyaux modernes de SAP (9.16, 9.18, 9.19, 9.20), ce qui signifie que chaque système S/4HANA 2025, et toute version antérieure déjà déplacée vers l’un de ces noyaux, est affecté.