Record de 622 failles corrigées par Microsoft : comment prioriser les correctifs de sécurité en juillet 2026

Microsoft a publié son plus volumineux Patch Tuesday de l’histoire, avec 622 vulnérabilités corrigées. Ce chiffre, plus de trois fois supérieur au précédent record de juin, inclut deux failles zero-day activement exploitées par des attaquants. Face à cette avalanche de correctifs, comment les équipes cybersécurité peuvent-elles prioriser leurs actions sans se noyer dans les scores CVSS ?

Deux zero-day exploitées : les correctifs à appliquer en priorité

Parmi les 622 vulnérabilités corrigées, deux sont activement exploitées dans la nature. Microsoft a crédité les équipes d’intervention d’incidents de Mandiant et de Google FLARE pour leur découverte, ce qui suggère une utilisation dans des attaques réelles.

CVE-2026-56164 : la faille SharePoint Server qui ne nécessite aucune authentification

Cette vulnérabilité d’élévation de privilèges dans SharePoint Server sur site permet à un attaquant non authentifié d’escalader ses privilèges à distance, sans interaction utilisateur. Le fait que Microsoft ait fait appel à Mandiant et à l’équipe FLARE de Google indique que la faille a été découverte lors d’attaques en cours.

Un timing critique : ce correctif coïncide avec la fin du support étendu de SharePoint Server 2016 et 2019. Contrairement à Windows Server ou SQL Server, ces versions ne bénéficient pas d’un programme ESU (Extended Security Updates) payant. Les organisations qui utilisent encore ces versions doivent impérativement migrer ou mettre à niveau.

« Si vous exécutez SharePoint en auto-hébergement, c’est le correctif à appliquer en premier », prévient l’avis de sécurité de Microsoft.

Au-delà du correctif, Microsoft recommande d’activer AMSI en mode complet sur le serveur pour atténuer l’attaque. Depuis la chaîne d’exploitation ToolShell qui a ravagé les serveurs non patchés en 2025 — un ransomware dévastateur —, SharePoint reste une cible privilégiée des attaquants.

CVE-2026-56155 : la faille AD FS qui compromet la confiance de l’infrastructure

Cette vulnérabilité dans Active Directory Federation Services (AD FS) permet à un attaquant déjà authentifié d’élever ses privilèges localement via des contrôles d’accès faibles. L’unité DART d’intervention d’incidents de Microsoft a été créditée de sa découverte.

AD FS est le service qui signe les jetons d’authentification pour l’ensemble de l’infrastructure. Une faille qualifiée de « locale » sur ce composant mérite une attention particulière, car elle peut permettre à un attaquant de compromettre la confiance de toute l’infrastructure d’authentification.

Information importante : aucune des deux vulnérabilités n’est encore inscrite au catalogue KEV (Known Exploited Vulnerabilities) de la CISA. Microsoft les a déjà marquées comme exploitées dans son propre classement. Comme le souligne un expert en cybersécurité : « N’attendez pas une inscription au KEV pour agir. »

La troisième faille zero-day : un contournement BitLocker nécessitant un accès physique

Microsoft a également corrigé CVE-2026-50661, un contournement de BitLocker divulgué publiquement mais pas encore exploité. Cette vulnérabilité nécessite un accès physique à l’appareil, ce qui la classe en urgence moins critique. Elle s’inscrit dans une série de failles BitLocker découvertes cette année, après les attaques bitskrieg et YellowKey.

La chaîne d’exploitation SharePoint qui arrivera en août

Rapid7 Labs a divulgué CVE-2026-55040, un contournement d’authentification JWT découvert lors du concours Pwn2Own Berlin. La notation de cette vulnérabilité fait débat : Rapid7 l’évalue à 5.3 (moyen), tandis que ZDI la classe à 9.1 (critique).

Ce qui est certain, c’est que Rapid7 a enchaîné cette faille à une vulnérabilité d’exécution de code à distance (RCE) distincte, non encore corrigée. Microsoft prévoit de corriger la partie RCE en août. Le correctif de juillet brise donc la chaîne d’exploitation, mais ne résout pas complètement le problème.

« Un écart de quatre points sur une même vulnérabilité montre à quel point les scores CVSS sont peu fiables ce mois-ci », commente un analyste de ZDI.

Le nettoyage RC4 qui peut casser les connexions

La mise à jour de juillet finalise le durcissement Kerberos RC4 entamé par Microsoft en janvier. Le correctif supprime le commutateur de contournement RC4DefaultDisablementPhase, que les administrateurs utilisaient comme filet de sécurité.

Désormais, RC4 ne fonctionnera que pour les comptes explicitement configurés pour l’utiliser. Si un compte de service de votre environnement demande encore des tickets Kerberos RC4, l’authentification échouera dès l’installation de la mise à jour.

La procédure recommandée :

1. Auditer d’abord : utilisez les événements d’audit RC4 ajoutés par Microsoft en janvier.
2. Modifier les mots de passe : faites pivoter les mots de passe des comptes de service signalés pour que Windows génère des clés AES.
3. Puis patcher : la rotation ne corrige que les comptes auxquels il manque des clés AES.

Les comptes verrouillés sur RC4 par configuration, ou les clients legacy qui ne parlent que ce protocole, nécessitent un correctif spécifique avant la mise à jour. Cette vulnérabilité ne cause pas de brèche de sécurité, mais elle provoquera des pannes d’authentification.

Pourquoi un mois de juillet record change les règles de priorisation

Juillet est historiquement l’un des mois les plus calmes du calendrier de Microsoft. Un correctif de cette ampleur est donc exceptionnel. Windows représente à lui seul 416 des 622 vulnérabilités, et ZDI compte 95 failles d’exécution de code à distance dans l’ensemble du correctif.

Tableau récapitulatif des correctifs par famille de produits

Source : Security Update Guide de Microsoft (622 CVE) et analyse ZDI (621 CVE).

L’automatisation de la découverte : une arme à double tranchant

Microsoft a annoncé le 9 juillet que les correctifs seraient plus volumineux à l’avenir, grâce à l’IA qui permet de découvrir davantage de vulnérabilités. Le système MDASH (Multi-Model Agentic Scanning) a déjà trouvé 16 bugs lors du Patch Tuesday de mai, tandis que l’hallusquatting — l’exploitation des hallucinations des IA de codage — ouvre déjà la porte à des botnets.

Le revers de la médaille : une fois le correctif publié, les attaquants peuvent le comparer à la version précédente, identifier la faille corrigée et construire un exploit fonctionnel avant que la plupart des organisations aient terminé leurs tests. Le traditionnel « délai d’une semaine » avant de patcher n’est plus viable.

« L’automatisation réduit l’écart entre le patch et l’exploit. Le ‘Exploit Wednesday’ remplace le ‘Patch Tuesday’ », alerte un chercheur en sécurité.

Comment prioriser face à 600+ correctifs ?

Avec 622 vulnérabilités, dont une large part notées « Élevé » ou « Critique », le score CVSS ne permet plus de trier efficacement. Les deux failles exploitées ce mois-ci illustrent ce problème : aucune n’est notée 9.8, ce sont des failles de privilèges de niveau intermédiaire, mais elles sont déjà utilisées dans des attaques.

La nouvelle méthode de priorisation :

1. Trier par exploitation réelle : utilisez le catalogue KEV de la CISA, le score EPSS (Exploit Prediction Scoring System) et le drapeau « exploité » de Microsoft.
2. Ne pas se fier au score CVSS seul : une faille notée 5.3 peut être plus dangereuse qu’une faille notée 9.8 si elle est activement exploitée.
3. Parcourir les correctifs par ordre de criticité réelle : commencez par les zero-day exploitées, puis les faibles d’authentification, puis les RCE critiques.
4. Auditer avant de patcher : vérifiez les comptes de service, les configurations RC4, et les versions de logiciels avant d’appliquer les correctifs.
5. Tester dans un environnement isolé : utilisez un laboratoire de test pour valider que les correctifs ne cassent pas les applications métier.

Conclusion : patcher plus vite, mais pas n’importe comment

Le record de 622 correctifs de juillet 2026 marque un tournant dans la gestion des vulnérabilités. L’automatisation de la découverte par Microsoft accélère le rythme des correctifs, mais réduit aussi le temps de réaction des équipes de sécurité. Les deux zero-day exploitées montrent que les attaquants n’attendent pas les scores CVSS pour agir.

L’essentiel à retenir : priorisez par exploitation réelle, auditez avant de patcher, et ne vous fiez pas aux seuls scores de sévérité. La tendance est claire : le nombre de correctifs ne fera qu’augmenter. Les organisations qui adaptent leurs processus de priorisation dès maintenant seront les mieux préparées pour les Patch Tuesday à venir. Pour vous former et anticiper ces menaces, notre sélection des meilleurs livres sur la cybersécurité en 2026 vous aidera à renforcer vos compétences.

Sources : Microsoft Security Update Guide, ZDI, Rapid7, CISA.