Vulnérabilité Microsoft activement exploitée
Divulgation d’informations – Desktop Window Manager (CVE-2026-20805) : Microsoft a corrigé une vulnérabilité de divulgation d’informations affectant le Desktop Window Manager. Classée Important avec un score CVSS v3.1 de 5,5, cette faille est confirmée comme exploitée activement. Elle permet à un attaquant de divulguer une adresse de section depuis un port ALPC distant, exposant de la mémoire en mode utilisateur. Toutes les versions de Windows actuellement supportées, y compris celles bénéficiant des mises à jour de sécurité étendues, sont concernées. Une approche de priorisation basée sur le risque justifie de traiter cette vulnérabilité comme plus critique que ne l’indiquent le score CVSS ou la classification de l’éditeur.
Mises à jour attendues
Des mises à jour Google Chrome et Microsoft Edge sont attendues cette semaine. À noter qu’une vulnérabilité critique affectant Chrome WebView (CVE-2026-0628) a déjà été corrigée dans la mise à jour Chrome du 6 janvier.
Le Correctif de sécurité trimestriel (CPU) d’Oracle est prévu pour le 20 janvier. Des mises à jour sont donc à anticiper pour les solutions Oracle, y compris Java. Une fois la mise à jour Java publiée, les frameworks basés sur Java devraient également déployer leurs correctifs dans les semaines suivantes.
Vulnérabilités Microsoft divulguées publiquement
Contournement de mécanisme de sécurité – expiration des certificats Secure Boot (CVE-2026-21265) : Microsoft a corrigé une vulnérabilité de contournement de fonctionnalité de sécurité liée à l’expiration des certificats Secure Boot. Classée Important (CVSS v3.1 : 6,4) et déjà divulguée publiquement, cette mise à jour introduit un avertissement concernant les certificats arrivant à expiration en 2026. Elle précise également les actions nécessaires pour renouveler les certificats avant leur expiration. Il est recommandé d’anticiper dès maintenant les mesures à prendre afin d’éviter tout impact sur la sécurité ou la continuité des services.
Élévation de privilèges – pilote Windows Agere Soft Modem (CVE-2023-31096) : Microsoft corrige une vulnérabilité d’élévation de privilèges affectant le pilote Windows Agere Soft Modem. Attribuée par le MITRE en 2023, cette faille est classée Important avec un score CVSS v3.1 de 7,8 et a été divulguée publiquement. À compter de la mise à jour cumulative de janvier 2026, Microsoft supprime les pilotes concernés du système d’exploitation Windows et recommande de supprimer toute dépendance existante à ce matériel.
Mises à jour et vulnérabilités tierces
Mozilla a publié des mises à jour pour Firefox et Firefox ESR corrigeant 34 vulnérabilités. Les trois versions publiées présentent un niveau d’impact élevé. Deux failles (CVE-2026-0891 et CVE-2026-0892) sont suspectées d’être exploitées activement. Elles sont corrigées dans Firefox 147 (MFSA2026-01), et la CVE-2026-0891 est également corrigée dans Firefox ESR 140.7 (MFSA2026-03).
