Microsoft a corrigé 570 failles de sécurité Windows en un mois. L’IA en a trouvé la plupart

La plus grande mise à jour de sécurité jamais publiée par Microsoft est aussi la plus inhabituelle, car ce qui la rend si volumineuse est le même outil que les défenseurs sont censés utiliser pour prendre de l’avance sur les attaquants. Le Patch Tuesday de ce mois-ci a corrigé 570 vulnérabilités de sécurité dans Windows et les produits associés — un nombre qui dépasse largement toute publication mensuelle précédente. Microsoft attribue cette augmentation à des outils de détection de vulnérabilités assistés par IA qui scrutent sa base de code depuis début 2025.

Les conséquences pratiques de ce scan se sont rapidement accumulées. Au cours des sept premiers mois de 2026, Microsoft a corrigé 1 308 vulnérabilités — près du double des quelque 650 corrigées sur la même période l’an dernier. Tom Gallagher, vice-président de l’ingénierie chez Microsoft, avait prévenu en mai que les clients devaient s’attendre à des mises à jour mensuelles plus conséquentes à mesure que les outils d’IA continueraient de trouver des problèmes. Le chiffre de juillet a confirmé cette prévision.

Toutes les 570 vulnérabilités ne présentent pas le même risque, mais trois d’entre elles sont des zero-day : des bugs connus avant l’existence d’un correctif. Deux de ces trois sont déjà exploitées par des attaquants. CVE-2026-56164 est une faille d’élévation de privilèges dans SharePoint Server, que la Cybersecurity and Infrastructure Security Agency américaine avait signalée comme étant activement exploitée avant que Microsoft ne publie son correctif. CVE-2026-56155 est une élévation de privilèges similaire dans Active Directory Federation Services. Le troisième zero-day est divulgué publiquement mais pas encore activement exploité.

Vingt-six des 570 vulnérabilités ont des scores de base CVSS supérieurs à 9,0 sur une échelle de sévérité de 10 points, et 13 d’entre elles atteignent 9,8. L’une d’elles se distingue par son nom : CVE-2026-48561 est une faille d’exécution de code à distance dans Microsoft Copilot qui a obtenu un score de 9,6, ce qui signifie qu’un attaquant distant pourrait potentiellement exécuter du code arbitraire sur un système affecté sans interaction de l’utilisateur. Microsoft décrit l’exploitabilité comme « plus probable ».

L’écueil dans l’histoire de la détection assistée par IA est que trouver des bugs plus rapidement ne signifie pas les corriger plus rapidement ou plus sûrement. Une mise à jour mensuelle de cette taille comporte son propre risque : des packs de correctifs plus volumineux nécessitent plus de temps de test, augmentent le risque de régressions de compatibilité et exigent davantage de ressources informatiques pour être déployés dans les environnements d’entreprise. Les organisations qui ont automatisé leur déploiement de correctifs selon un rythme mensuel prévisible gèrent désormais une charge considérablement plus lourde.

La direction de Windows chez Microsoft a indiqué que cette tendance ne devrait pas s’inverser. À mesure que les outils de scan IA s’améliorent et sont appliqués à des couches plus anciennes de la base de code, le nombre de vulnérabilités héritées nouvellement découvertes devrait rester élevé dans un avenir prévisible. L’historique des mises à jour pour 2026 suggère que l’entreprise elle-même l’avait anticipé : elle a progressivement élargi la revue de code assistée par IA depuis fin 2024, bien avant l’accélération publique du nombre de correctifs.

Le correctif de juillet 2026 est disponible via Windows Update. Pour les environnements d’entreprise, Microsoft a priorisé les deux zero-day activement exploitées et la RCE de Copilot comme les correctifs les plus urgents. Les organisations utilisant des déploiements non corrigés de SharePoint ou d’Active Directory Federation Services doivent traiter ces mises à jour comme des priorités absolues, quel que soit leur cycle de correction standard.

Étiquettes: intelligence artificielle, cybersécurité, microsoft, windows, Zero-day, Patch Tuesday