Microsoft vient de publier ses mises à jour de sécurité mensuelles. Au total, le fournisseur corrige 398 nouvelles CVE, dont une partie importante présente un impact critique sur différents composants Windows et sur des environnements serveurs. Mais le point décisif pour les équipes IT et sécurité reste le même : quelles failles sont réellement en cours d’exploitation, et donc à traiter en premier.
Dans cette vague, Microsoft signale une vulnérabilité déjà exploitée dans la nature. Le correctif correspondant doit donc passer avant les autres remédiations, même si certaines d’entre elles affichent des scores élevés.
Le zero-day Windows en tête de liste
Parmi les corrections annoncées, une faille se distingue : elle est actuellement exploitée et ciblée via un composant sensible du système. Microsoft la référence sous CVE-2026-68820 avec un score CVSS de 7.0. Malgré ce score plus modéré que d’autres bogues du lot, la mention “exploité” fait basculer la priorisation.
La vulnérabilité se trouve dans un pilote noyau Windows qui gère des opérations liées aux sockets réseau. D’après les informations disponibles, un attaquant doit d’abord disposer de code déjà exécuté sur la machine. Ensuite, en exploitant une condition de course (race condition) dans le pilote, il peut escalader les privilèges jusqu’à atteindre le niveau SYSTEM.
Microsoft n’a pas attribué publiquement l’exploitation à un groupe précis. En revanche, Check Point Research indique que le zero-day aurait été utilisé dans la campagne Operation Dream Job associée à Lazarus. Cette donnée renforce l’urgence côté défense : la fenêtre de temps entre diffusion du correctif et activité malveillante est un enjeu réel.
Pourquoi une faille exploitée prime sur des CVE plus “spectaculaires”
Cette publication illustre un point souvent décisif en gestion des patchs : le statut d’exploitation peut compter autant, voire davantage, que le score CVSS pour déterminer l’ordre des mises à jour.
Microsoft signale que CVE-2026-68820 est la seule vulnérabilité de ce cycle explicitement listée comme actuellement exploitée. Or, les autres failles d’envergure de la même mise à jour n’ont pas le même niveau de signalement à la sortie des correctifs.
En clair : une vulnérabilité déjà utilisée par des attaquants peut provoquer une compromission active pendant que votre système reste non corrigé, tandis que d’autres défauts, même très graves sur le papier, peuvent attendre d’être mis en œuvre dans vos environnements.
Quatre failles serveur à corriger rapidement
En dehors du pilote visé par le zero-day, la mise à jour regroupe quatre failles d’exécution de code à distance qui ne demandent ni compte ni mot de passe, et aucune interaction utilisateur n’est indiquée. Chacune peut permettre à un attaquant d’obtenir du code sur des serveurs exposés, ce qui justifie aussi un traitement prioritaire.
Ces quatre failles concernent des composants réseau et d’infrastructure distincts :
- CVE-2026-62878 : Windows DNS Server. Il s’agit d’un débordement de pile accessible à distance, sans authentification ni interaction utilisateur. La Zero Day Initiative évoque une capacité technique qualifiée de “wormable”, tout en précisant qu’il ne s’agit pas d’une preuve d’existence de ver.
- CVE-2026-62893 : Windows Deployment Services. La vulnérabilité est atteignable à distance via la gestion TFTP du service, sans authentification ni interaction utilisateur.
- CVE-2026-62815 : Microsoft QUIC. Microsoft décrit une exécution de code à distance non authentifiée, sans nécessité d’interaction utilisateur.
- CVE-2026-59124 : HPC Pack. Le score CVSS est aussi élevé (9.8), mais la sévérité opérationnelle est présentée comme Important plutôt que Critical, notamment parce que HPC Pack n’est pas installé par défaut.
À retenir : même si ces quatre défauts ont des scores de 9.8, leur impact réel dépend du périmètre de votre environnement. Si les services concernés ne sont pas présents, ou s’ils ne sont pas accessibles depuis l’extérieur, le risque pratique peut être moindre.
Le rôle de l’inventaire de services et de la “reachability”
Dans ce cycle, Microsoft et les observateurs sécurité mettent clairement l’accent sur un facteur concret : tous les systèmes ne sont pas exposés de la même manière. Le nombre de correctifs ne suffit pas ; il faut établir où vivent les surfaces d’attaque.
La publication souligne donc l’importance de :
- réaliser un inventaire des services installés (DNS Server, WDS, QUIC, HPC Pack),
- vérifier la portée (reachability) depuis les réseaux internes et externes,
- adapter l’ordre des patchs en fonction du risque de déclenchement et du statut d’exploitation.
Autrement dit, la priorité n’est pas “uniquement” une question de CVSS : c’est un mélange entre gravité potentielle et probabilité d’être ciblé.
SharePoint : fermeture de la chaîne débutée en juillet
Le lot inclut également la suite d’un correctif SharePoint publié auparavant. L’objectif est de compléter une chaîne d’exploitation en deux étapes qui a été rapportée à Microsoft après une analyse menée par Rapid7.
Rappel de la logique : une première vulnérabilité en juillet permettait un bypass d’authentification (identifiée dans le cycle de juillet), puis une seconde composante corrigée en août apportait la partie “exécution de code” nécessaire pour aboutir à une RCE sans authentification contre des SharePoint hébergés sur site.
Les éléments mentionnés dans cette publication sont :
- CVE-2026-55040 : corrigée en juillet. C’est la partie contournement d’authentification, classée Critical avec un CVSS de 9.1. Rapid7 indique qu’un attaquant distant non authentifié pouvait prendre l’identité d’un utilisateur ou d’un administrateur SharePoint si l’identité à usurper était connue.
- CVE-2026-63520 : corrigée en août. Cette seconde faille correspond à la composante d’exécution de code (pas à la condition non authentifiée à elle seule).
Le point clé : selon les informations relayées, patcher CVE-2026-55040 suffisait à rompre le chemin d’attaque démontré à ce stade. Le correctif d’août vient ensuite fermer la partie RCE, complétant ainsi la protection pour les fermes SharePoint on-premises.
Plan d’action recommandé
Pour tirer parti rapidement de ce cycle, l’approche la plus pragmatique consiste à ordonner les correctifs selon leur statut et votre exposition.
1) Mettez CVE-2026-68820 en tout premier
Si vous exécutez des systèmes Windows susceptibles d’être déjà compromis (par exemple via un compte local, un service en cours d’exécution, ou une présence d’activité suspecte), CVE-2026-68820 doit être priorisée. La raison est simple : l’exploitation est signalée comme active et peut mener à l’obtention de privilèges SYSTEM.
2) Ensuite, traitez les services exposés DNS/WDS/QUIC/HPC
Identifiez où fonctionnent Windows DNS Server, Windows Deployment Services, la couche liée à QUIC et, le cas échéant, HPC Pack. Puis corrigez en fonction de l’accessibilité réseau. Même si ces failles ne sont pas signalées comme exploitées au moment du déploiement, leur modèle d’accès (sans authentification et sans interaction) les rend particulièrement préoccupantes pour des services accessibles.
3) Vérifiez aussi la chaîne SharePoint
Pour les environnements SharePoint sur site, assurez-vous que les mises à jour juillet et août ont bien été appliquées. L’unique patch ne suffit pas toujours à fermer l’ensemble du scénario d’attaque tel que démontré.
Conclusion
La publication de Microsoft montre une nouvelle fois l’importance de prioriser au-delà des scores : dans ce cycle, une vulnérabilité actuellement exploitée dans un pilote noyau Windows doit recevoir une attention immédiate. Une fois failles activement exploitées traitées, l’étape suivante consiste à remédier aux quatre défauts d’exécution de code à distance sur des services réseau clés, en tenant compte de votre inventaire et de la portée réelle des services.
Enfin, pour les organisations qui hébergent SharePoint on-premises, complétez la chaîne démarrée en juillet avec les correctifs d’août. En combinant patching rapide et vérification de l’exposition, vous réduisez nettement la surface de risque pendant cette fenêtre de transition.
Source: https://thehackernews.com/2026/08/microsoft-patches-398-flaws-including.html
