Microsoft Patch Tuesday 974 correctifs, analyse des goulots d’étranglement de l’IA

Le Patch Tuesday ressemblait autrefois à une corvée mensuelle. Maintenant, on dirait que quelqu’un a donné un espresso au scanner de vulnérabilités et lui a demandé de trouver chaque lame de plancher mal fixée dans Windows. Ce qui fait peur, ce n’est pas que Microsoft puisse publier une montagne de correctifs. Ce qui fait peur, dans le sens utile et non théâtral, c’est que la plupart des organisations doivent encore tester et déployer ces correctifs avec des humains, des fenêtres de maintenance et des applications qui paniquent si on les regarde un peu trop sévèrement. La leçon de ce mois-ci est simple : la découverte de vulnérabilités accélère, et les opérations de correction deviennent le point d’étranglement. Cela ne veut pas dire que tout le monde devrait écraser le bouton de mise à jour et espérer que les contrôleurs de domaine apprécient le jazz. Cela veut dire que les équipes de sécurité ont besoin d’un modèle de triage plus précis, qui commence par les bogues exploités et les systèmes accessibles au lieu de traiter chaque CVE comme si elle arrivait coiffée d’une minuscule couronne.

Le nombre est la fumée, pas le feu

TechRepublic a rapporté que le Patch Tuesday de septembre de Microsoft avait corrigé 974 vulnérabilités, dont deux zero-days exploités. DualMedia situe la date de publication au 8 septembre 2026 et a expliqué pourquoi le record est confus : les rapports comptaient 966, 972, 974, voire jusqu’à 997 vulnérabilités selon que les CVE Chromium, externes ou non Microsoft étaient incluses. Bienvenue dans la comptabilité des vulnérabilités, le seul genre de feuille de calcul où tout le monde a techniquement raison tout en restant mécontent. Les conseils pratiques de DualMedia sont la partie qui mérite d’être affichée au mur : corriger d’abord les zero-days exploités, en particulier CVE-2026-81963 et CVE-2026-85880, puis passer aux serveurs exposés à Internet et aux failles d’exécution de code à distance potentiellement vermiformes, surtout Exchange Server et Remote Desktop Services. Le but n’est pas de vénérer le plus grand nombre. Le but est de réduire le risque accessible avant que les acteurs malveillants ne transforment votre arriéré en leur plan de sprint.

Krebs avait vu arriver la vague façonnée par l’IA

Krebs on Security a rapporté en juillet que Microsoft avait corrigé au moins 570 failles de sécurité, soit presque trois fois le nombre du Patch Tuesday du mois précédent, qui était alors un record. Krebs a aussi rapporté que Microsoft attribuait la hausse du nombre de correctifs à des découvertes de vulnérabilités aidées par l’intelligence artificielle. Voilà le rebondissement discret : l’IA ne se contente pas d’écrire de la poésie douteuse et des résumés de réunions. Elle aide les défenseurs à trouver davantage de failles, ce qui est une bonne chose, mais cela crée aussi un problème logistique très ennuyeux et très réel. Le rapport de juillet de Krebs indiquait que près de 60 de ces bogues de juillet étaient classés critiques, avec trois failles zero-day corrigées et deux déjà exploitées dans la nature. C’est important parce que la criticité, l’exploitation et l’exposition ne sont pas la même chose. Un bogue critique enfoui profondément dans un système que personne ne peut atteindre peut perdre la bataille du triage face à un bogue simplement laid déjà utilisé contre des machines exposées.

Le goulot d’étranglement est maintenant

le test, pas la connaissance DualMedia a présenté la publication de septembre comme un problème de priorisation, et c’est exactement juste. Le secteur a passé des années à améliorer les processus de découverte, de notation et de divulgation, pour découvrir que le boss final reste toujours la gestion du changement. Les correctifs doivent être testés avec les logiciels métiers, déployés par étapes dans les parcs, surveillés pour détecter les pannes, puis vérifiés après le déploiement. La liste des CVE peut avancer à la vitesse d’une machine, mais votre système de paie peut encore réagir aux mises à jour comme un fantôme victorien découvrant l’électricité. Le décompte de 974 failles de TechRepublic est donc moins une sirène d’alarme qu’un audit opérationnel. Si une équipe ne peut pas répondre rapidement quels actifs Microsoft sont exposés à Internet, lesquels exécutent Exchange Server ou Remote Desktop Services, et quels correctifs ont effectivement été installés, cette publication record met cette lacune en évidence. La solution, ce ne sont pas des nuits blanches héroïques. C’est un inventaire ennuyeux, des voies d’urgence préapprouvées pour les bogues exploités, des plans de retour arrière et une validation montrant que les mises à jour ont bien atteint les systèmes qu’elles étaient censées atteindre.

Ce que cela signifie réellement pour vous

Pour les utilisateurs individuels, la conclusion du rapport de TechRepublic est heureusement simple : installez les mises à jour de sécurité Microsoft lorsqu’elles sont proposées, surtout sur les machines utilisées pour le travail ou des comptes sensibles. Pour les administrateurs, l’ordre des opérations de DualMedia est la voie la plus raisonnable : d’abord les zero-days exploités, ensuite les serveurs exposés, puis les risques d’exécution de code à distance accessibles qui pourraient se propager le plus vite. Si votre réunion sur les correctifs commence par le score CVSS le plus élevé et se termine sans que personne ne vérifie l’exposition, félicitations, vous avez construit une cérémonie de souhaits très formelle. La perspective à retenir est que ce ne sera pas le dernier Patch Tuesday surdimensionné si la tendance de découverte assistée par l’IA signalée par Krebs se poursuit. Les équipes de sécurité devraient se préparer à ce que le volume de vulnérabilités continue de dépasser l’examen manuel, ce qui fait du contexte des actifs et de la fiabilité du déploiement le nouveau muscle défensif. Surveillez la prochaine publication de Microsoft non seulement pour le nombre, mais aussi pour la vitesse à laquelle votre organisation peut transformer les correctifs en protection confirmée sans casser l’activité au passage.