964 failles Windows en un mois : ce que le Patch Tuesday de septembre 2026 change pour votre PME
Le plus gros correctif mensuel de l'histoire de Microsoft, décrypté pour les DSI et dirigeants de PME
Image générée par IA (art. 50 AI Act)
Analyse 2LKATIME
Le 8 septembre 2026, Microsoft a publié 964 correctifs en une seule salve, un record absolu. Nos auditeurs décryptent les cinq failles à traiter en priorité pour une PME sous Windows.
Pour le dirigeant : un correctif critique connu et non appliqué engage votre responsabilité
En cas d'incident après une faille publiée et documentée, l'absence de correctif est un argument qui se retourne contre l'entreprise, aussi bien vis-à-vis du RGPD que de la future obligation NIS2.
Le 8 septembre 2026, Microsoft a publié le plus gros correctif mensuel de son histoire : 964 vulnérabilités corrigées en une seule fois, dont 104 jugées critiques. Deux failles étaient déjà activement exploitées avant même la sortie du correctif.
Un Patch Tuesday, c'est habituellement une routine : le deuxième mardi du mois, Microsoft publie ses correctifs, les équipes IT les déploient, la vie continue. Celui de septembre 2026 sort du lot par son ampleur. Avec 964 CVE corrigées en une seule salve, Microsoft dépasse largement son propre record de juillet et confirme une tendance de fond : la surface d'attaque de Windows et de son écosystème (Exchange, SQL Server, Office, Azure) ne cesse de s'élargir, et les éditeurs découvrent - et corrigent - de plus en plus de failles à chaque cycle.
Pour une PME sans équipe sécurité dédiée, ce genre d'annonce peut sembler abstraite. Elle ne l'est pas. Parmi ces 964 correctifs, une poignée concerne des composants que la quasi-totalité des PME françaises font tourner sans même y penser : le serveur DNS Windows, l'authentification Active Directory via Kerberos, et les services Bureau à distance. Une fois compromises, ces briques ouvrent un accès direct à tout le système d'information.
1. Un record qui en dit long sur l'état de Windows
964
CVE corrigées, un record absolu
104
Vulnérabilités classées critiques
2
Failles zero-day déjà exploitées
44,7 %
Failles d'élévation de privilèges
Le détail de la répartition est presque plus parlant que le chiffre global. Près de la moitié des failles corrigées ce mois-ci permettent à un attaquant déjà présent sur une machine - via un compte utilisateur classique, souvent obtenu par phishing - de passer aux privilèges système complets. C'est le scénario le plus courant dans les intrusions réelles : on ne rentre presque jamais directement en administrateur, on rentre par la petite porte, puis on escalade.
Deux de ces failles d'élévation de privilèges étaient déjà exploitées en conditions réelles au moment de leur divulgation : CVE-2026-81963, dans la pile de mise à jour Windows elle-même, et CVE-2026-85880, dans le mécanisme interne Windows ALPC (Advanced Local Procedure Call). Cette dernière marque un retour : c'est la première faille ALPC exploitée comme zero-day depuis janvier 2023, et la première à réapparaître dans un Patch Tuesday après plus de trois ans d'absence.
Pour situer ce type de vulnérabilités dans le paysage plus large des failles d'authentification exploitées cette année, voir notre analyse de la faille JFrog Artifactory.
2. Les cinq vulnérabilités à traiter en priorité
Toutes les failles corrigées ce mois-ci ne se valent pas. Pour une PME qui doit prioriser ses fenêtres de maintenance, voici les cinq qui méritent une attention immédiate plutôt qu'un simple passage dans le cycle de patch habituel.
| CVE | Composant | Score CVSS | Statut |
|---|---|---|---|
| CVE-2026-69730 | Windows DNS Server (RCE) | 9,8 - Critique | Exploitation jugée plus probable |
| CVE-2026-69525 | Remote Desktop Services (RCE) | 9,8 - Important | Exploitation jugée plus probable |
| CVE-2026-69676 | Windows Kerberos (RCE) | 8,8 - Critique | Exploitation jugée plus probable |
| CVE-2026-81963 | Windows Update Stack (EoP) | 7,8 - Important | Zero-day, déjà exploitée |
| CVE-2026-85880 | Windows ALPC (EoP) | 7,8 - Important | Zero-day, déjà exploitée |
La faille du serveur DNS Windows (CVE-2026-69730) mérite un mot à part. Elle permet à un attaquant non authentifié, depuis l'extérieur, d'envoyer un paquet réseau spécialement construit et d'exécuter du code arbitraire sur le serveur, sans aucune interaction de l'utilisateur. Huit autres failles RCE ont été corrigées ce mois-ci dans le même composant DNS, preuve que ce service - souvent installé par défaut sur les contrôleurs de domaine des PME sous Active Directory - reste une cible de choix.
La faille Kerberos (CVE-2026-69676) est tout aussi préoccupante pour les environnements d'entreprise : elle permet à un attaquant disposant d'un accès de bas niveau de contourner l'authentification par rejeu de capture, puis d'exécuter du code. Kerberos étant le protocole d'authentification par défaut d'Active Directory, une faille à ce niveau touche potentiellement l'ensemble des utilisateurs d'un domaine.
3. Pourquoi ce Patch Tuesday concerne directement les PME
Le serveur DNS n'est pas réservé aux grandes entreprises
De nombreuses PME françaises font tourner un contrôleur de domaine Windows Server avec le rôle DNS activé par défaut, souvent installé lors de la mise en place initiale de l'infrastructure et jamais remis en question depuis. Une faille critique exploitable sans authentification sur ce composant représente un point d'entrée direct vers le système d'information, sans qu'aucun mot de passe ne soit nécessaire.
Le Bureau à distance reste massivement exposé
Le recours au télétravail et à la maintenance à distance a généralisé l'usage du RDP dans les PME, parfois exposé directement sur Internet sans passerelle sécurisée. La faille CVE-2026-69525, jugée « exploitation plus probable » par Microsoft, s'ajoute à une liste déjà longue de vulnérabilités RDP corrigées ces dernières années.
L'authentification Active Directory est au cœur du système
Une faille Kerberos ne touche pas un poste isolé : elle touche le mécanisme qui vérifie l'identité de chaque utilisateur du domaine. Dans une PME où l'annuaire Active Directory n'a pas été audité depuis sa mise en service, ce type de correctif est l'occasion de vérifier que la configuration globale n'accumule pas d'autres faiblesses en parallèle.
Le volume lui-même est un problème de gestion
964 CVE en un mois, cela dépasse largement la capacité d'une équipe IT généraliste à tout analyser correctement. Sans priorisation basée sur le score CVSS et le statut d'exploitation réelle, le risque est de patcher au hasard, ou pire, de reporter l'ensemble du correctif faute de temps.
4. Une obligation qui dépasse la simple bonne pratique
Le patch management est aussi une obligation réglementaire pour un nombre croissant de PME. La directive NIS2, en cours de transposition en droit français, impose aux entités concernées une gestion documentée des vulnérabilités et des délais de remédiation proportionnés à la criticité des failles. Le RGPD, de son côté, exige que les responsables de traitement mettent en œuvre des mesures techniques « appropriées à l'état de l'art » : un correctif critique connu et non appliqué se retourne facilement contre une entreprise en cas de contrôle après incident.
Pour les organisations qui développent ou déploient des systèmes d'IA, l'AI Act européen ajoute une couche supplémentaire : ses obligations de gouvernance des risques (article 9) supposent une infrastructure sous-jacente maîtrisée, ce qui inclut la gestion des vulnérabilités des systèmes qui hébergent ou entraînent ces IA.
5. Comment 2LKATIME accompagne les PME sur ce sujet
Suivre 964 CVE par mois n'est réaliste pour aucune PME seule. Un accompagnement structuré identifie les composants réellement exposés dans votre infrastructure, priorise les correctifs selon le risque réel (pas seulement le score CVSS brut) et vérifie, par un test d'intrusion, que les failles corrigées sur le papier le sont bien en pratique.
Nos auditeurs cybersécurité seniors basés à Toulouse et à Bordeaux interviennent régulièrement auprès de PME pour cartographier ce type d'exposition : contrôleurs de domaine, serveurs DNS internes, accès RDP exposés. L'objectif n'est pas de tout patcher en urgence à chaque Patch Tuesday, mais de savoir, en continu, quelles failles représentent un risque réel pour votre système d'information et lesquelles peuvent attendre le cycle de maintenance normal. Nous intervenons dans les mêmes conditions pour les PME de la région Nantes - Lille qui souhaitent structurer leur gestion des vulnérabilités.
FAQ - Patch Tuesday septembre 2026
Faut-il appliquer les 964 correctifs immédiatement ?
Non, et ce n'est d'ailleurs pas réaliste. La priorité va aux failles critiques exploitables sans authentification (comme la faille DNS Server) et aux deux zero-days déjà exploités. Les autres peuvent suivre un cycle de test et déploiement plus classique, à condition qu'il ne s'étale pas sur plusieurs mois.
Mon serveur Windows n'a pas le rôle DNS activé, suis-je concerné ?
Vous échappez à la faille CVE-2026-69730 spécifiquement, mais probablement pas aux autres composants concernés ce mois-ci : Kerberos, RDS, ou la pile de mise à jour elle-même touchent la quasi-totalité des environnements Windows Server, quel que soit le rôle installé.
Comment savoir si mon entreprise a déjà été ciblée par l'une de ces failles ?
Seule une analyse des journaux d'événements et, idéalement, un audit de compromission peuvent le confirmer. L'absence de symptôme visible ne garantit rien : les failles d'élévation de privilèges exploitées comme zero-day sont conçues pour ne laisser que peu de traces.
La directive NIS2 m'oblige-t-elle à patcher dans un délai précis ?
La directive impose une gestion proportionnée au risque plutôt qu'un délai fixe universel, mais elle exige une politique documentée de gestion des vulnérabilités. En pratique, laisser une faille critique connue sans correctif pendant plusieurs mois est difficilement défendable en cas de contrôle.
Un antivirus suffit-il à se protéger de ces failles ?
Non. La plupart de ces vulnérabilités touchent des composants système bas niveau (noyau, pile réseau, authentification) qu'un antivirus classique ne surveille pas directement. Seul le correctif officiel de Microsoft, ou à défaut une mesure de contournement documentée, ferme réellement la faille.
Vous ne savez pas si votre infrastructure est exposée ?
Nos auditeurs identifient vos composants critiques et priorisent vos correctifs selon le risque réel. Parlons-en autour d'un rendez-vous de 30 minutes, sans engagement.