Patch Tuesday de Microsoft : un record historique avec 569 vulnérabilités corrigées

« Nous savions que ce jour finirait par arriver. Le Patch Tuesday de juin 2026 a battu le précédent record, et celui de juillet l’a éclipsé. C’est la première fois dans l’histoire du Patch Tuesday que plus de 500 CVE sont corrigées en un seul mois, avec un total impressionnant de 569 CVE corrigées, dépassant largement le record établi le mois dernier avec 198 CVE.
Habituellement, il faut attendre octobre ou novembre pour savoir si le volume annuel de correctifs dépassera celui de l’année précédente. Mais dès le mois de juillet, il est désormais confirmé que 2026 sera l’année la plus importante de l’histoire du Patch Tuesday, dépassant le précédent record de 1 245 CVE corrigées en 2020. Il est probable que nous dépassions non seulement les 2 000 CVE sur une année civile, mais potentiellement les 3 000 CVE, voire davantage, cette année.
Le mois dernier, j’avais indiqué que la boîte de Pandore avait été ouverte. Microsoft a lui-même reconnu cette évolution au début du mois, https://blogs.windows.com/windowsexperience/2026/07/09/evolving-windows-vulnerability-management-to-meet-the-speed-of-ai-powered-discovery/
en précisant que les clients constateraient “un volume plus important de mises à jour de sécurité incluses dans chaque publication de sécurité”, conséquence de l’utilisation de l’IA pour faciliter la découverte de vulnérabilités.
La découverte assistée par l’IA révèle des vulnérabilités qui étaient passées inaperçues pendant des années. L’ampleur de ce volume est remarquable, mais il reflète surtout l’efficacité croissante de ces outils pour identifier des failles, et non le nombre de vulnérabilités qui représentent réellement un risque pour les organisations.

Parmi les nombreuses vulnérabilités divulguées ce mois-ci, trois zero-day ont été corrigées, dont deux faisaient déjà l’objet d’une exploitation active dans la nature. Ces deux vulnérabilités exploitées sont toutes deux des vulnérabilités d’élévation de privilèges : CVE-2026-56155, qui affecte Active Directory Federation Services (AD FS), et CVE-2026-56164, qui concerne Microsoft SharePoint Server.

La CVE-2026-50661, une vulnérabilité de contournement d’une fonctionnalité de sécurité affectant Windows BitLocker, a quant à elle été signalée comme ayant été divulguée publiquement. Nous supposons qu’elle pourrait être liée à la série de vulnérabilités zero-day divulguées par le chercheur connu sous les pseudonymes Nightmare-Eclipse ou Chaotic-Eclipse, bien qu’aucune confirmation officielle n’ait été apportée. Nous savons également que ce chercheur avait annoncé qu’il publierait de nouvelles informations à l’occasion du Patch Tuesday.
Si ces vulnérabilités sont les plus marquantes de ce mois, auxquelles s’ajoutent 59 CVE critiques, il est nécessaire de revoir la manière dont est évalué l’Exploitability Index qui mesure la probabilité qu’une vulnérabilité soit exploitée, afin qu’il évolue pour suivre le rythme de découverte imposé par les outils automatisés.
Par exemple, Microsoft avait initialement classé la CVE-2026-45659, https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-45659
une vulnérabilité affectant SharePoint, comme présentant une faible probabilité d’exploitation. Pourtant, cette vulnérabilité a été ajoutée au catalogue Known Exploited Vulnerabilities (KEV) de la CISA le 1er juillet.
Par ailleurs, les travaux https://www.anthropic.com/research/n-days
de la Red Team d’Anthropic sur des vulnérabilités déjà connues (n-days) ont montré à quel point ce système d’évaluation est devenu fragile : son modèle Mythos Preview est parvenu à générer des preuves de concept d’exploitation pour 13 des 14 vulnérabilités classées comme “Exploitation Less Likely” ou “Exploitation Unlikely”.
En d’autres termes, notre manière d’appréhender le Patch Tuesday a changé. L’Exploitability Index est conçu en fonction des capacités humaines, et non de celles des outils d’IA. Or, à mesure que ces outils gagnent en efficacité, les capacités de défense doivent progresser au même rythme. »

À propos de Tenable

Tenable est la société de gestion de l’exposition au cyber-risque, qui révèle et comble les failles qui affectent la valeur d’une entreprise, compromettant sa réputation et diminuant la confiance de ses clients. Sa plateforme de gestion de l’exposition optimisée par l’IA unit de manière inédite la visibilité, les analyses et les actions de sécurité sur l’ensemble de la surface d’attaque. Les entreprises sont ainsi équipées pour se défendre contre tout type d’attaque, de l’infrastructure IT aux environnements cloud en passant par les infrastructures critiques. En protégeant les entreprises de l’exposition cyber, Tenable réduit les risques business de plus de 40 000 clients à travers le monde. Pour en savoir plus :
https://fr.tenable.com/