Microsoft a publié ce 9 septembre son plus gros correctif mensuel de l’année : 974 vulnérabilités corrigées en une seule fois, un record pour un Patch Tuesday. Deux d’entre elles étaient déjà exploitées par des pirates au moment de leur publication, ce qui rend la mise à jour urgente pour tous les utilisateurs de Windows.
L’essentiel
- Microsoft corrige 974 failles ce 9 septembre 2026, un record pour un Patch Tuesday
- Deux failles zero-day déjà exploitées permettent de prendre le contrôle total d’un PC
- 110 failles critiques au total, dont 81 exploitables à distance sans action de la victime
- Windows 10 sans abonnement ESU ne reçoit plus aucun correctif de sécurité
Pourquoi ce Patch Tuesday est-il particulièrement critique ?
Parce que deux des failles corrigées étaient déjà utilisées par des attaquants avant même la publication du correctif. C’est ce qu’on appelle des vulnérabilités « zero-day ».
Le terme « Patch Tuesday » désigne le deuxième mardi de chaque mois, jour où Microsoft regroupe l’ensemble de ses correctifs de sécurité pour Windows, Office et ses autres logiciels.
La première, référencée CVE-2026-85880, touche un composant interne de Windows appelé ALPC. La seconde, CVE-2026-81963, se loge dans le mécanisme de Windows Update lui-même.
Selon les explications accompagnant le correctif, une partie de ces failles a été repérée grâce à des outils d’intelligence artificielle générative, une méthode de détection de plus en plus utilisée par les équipes de sécurité.
Les deux permettent à un attaquant déjà présent sur une machine — via un mail piégé ou un logiciel malveillant, par exemple — d’obtenir les droits SYSTEM, soit un contrôle total de l’ordinateur.
Sur l’ensemble du lot, Microsoft dénombre 723 failles concernant Windows, 111 dans Office, 62 dans SQL Server et 22 dans les outils de développement. Environ 110 sont jugées critiques.
Aux États-Unis, l’agence de cybersécurité CISA a donné jusqu’au 22 septembre aux administrations fédérales pour appliquer ces correctifs. Une faille zero-clic récemment exploitée sur Zoom avait déjà montré la rapidité avec laquelle ce type de vulnérabilité est retourné contre les utilisateurs.
Qui est concerné par ces failles ?
Tous les ordinateurs sous Windows 10 ou Windows 11 connectés à Windows Update, ainsi que les serveurs Windows Server. Le niveau de protection varie fortement selon la version installée et son statut de support.
Les appareils sous macOS, Linux ou ChromeOS ne sont pas concernés par ce correctif, qui ne touche que l’écosystème Windows et les logiciels Microsoft associés.
| Système | Statut du correctif | Action recommandée |
|---|---|---|
| Windows 11 | Disponible via Windows Update | Mettre à jour dès maintenant |
| Windows 10, avec ESU | Inclus dans l’abonnement payant | Vérifier que l’ESU est actif |
| Windows 10, sans ESU | Aucun correctif fourni | Passer à Windows 11 ou souscrire à l’ESU |
| Windows Server | Disponible | Planifier la mise à jour avec l’IT |
Comment mettre à jour Windows, étape par étape
La procédure prend quelques minutes sur un ordinateur personnel :
- Ouvrir les Paramètres, puis la rubrique « Windows Update »
- Cliquer sur « Rechercher des mises à jour »
- Télécharger et installer les mises à jour proposées
- Redémarrer l’ordinateur pour que les correctifs s’appliquent réellement
- Vérifier ensuite, dans l’historique des mises à jour, que le correctif de septembre est bien listé
Les erreurs à éviter
Reporter la mise à jour « à plus tard » : les deux failles zero-day sont déjà exploitées, chaque jour d’attente compte.
Télécharger le correctif sans redémarrer. Sur Windows, la protection ne s’active qu’après le redémarrage complet de la machine.
Croire qu’un simple antivirus suffit à compenser une faille non corrigée. Un antivirus détecte des comportements suspects, il ne ferme pas la porte lui-même.
Ignorer un vieux PC sous Windows 10 en pensant qu’il « fonctionne encore ». Sans ESU, chaque nouvelle faille découverte y restera ouverte définitivement — le scénario qui a permis la cyberattaque contre l’Éducation nationale à la rentrée.
Cas particuliers
Mon PC est géré par mon entreprise, dois-je agir moi-même ?
Non. Les mises à jour sont en général déployées par le service informatique, souvent après une phase de test interne de quelques jours. En cas de doute, un simple message au support suffit à vérifier que le poste est bien planifié.
Windows 7 ou Windows 8.1 sont-ils protégés par ce correctif ?
Non, ces deux systèmes ne reçoivent plus aucune mise à jour de sécurité depuis plusieurs années. Un ordinateur encore sous l’une de ces versions reste exposé en permanence, sans aucun correctif possible. Changer de système reste la seule option durable.
Ces informations proviennent du bulletin de sécurité mensuel de Microsoft et d’un avis publié par le CERT-FR, le centre gouvernemental de veille et d’alerte en sécurité informatique, daté du 9 septembre 2026.
