// CLUBIC — CYBERSECURITY
Windows : 398 failles corrigées par Microsoft en août, dont une déjà exploitée
Troisième mois consécutif à plusieurs centaines de correctifs pour Windows. Le décompte impressionne, mais une seule vulnérabilité est réellement exploitée. Le casse-tête a changé de nature.
Il y a trois ans, un Patch Tuesday à cent vulnérabilités passait pour un gros mois. Le 11 août, Microsoft a publié des correctifs pour au moins 398 failles, dont une déjà exploitée et deux divulguées publiquement avant la sortie du correctif, d'après le décompte de Krebs on Security. La barre des trois cents vient d'être franchie trois mois de suite, ce qui raconte davantage que le chiffre lui-même.
Sur l'ensemble du lot, 42 vulnérabilités portent la mention « critique », celle que Microsoft réserve aux défauts permettant une prise de contrôle à distance sans intervention de l'utilisateur. La seule activement exploitée porte la référence CVE-2026-68820 et touche afd.sys, le pilote qui gère les connexions réseau sur pratiquement toutes les machines Windows. Une sorte de standardiste qui distribue les appels entrants et sortants du système, et qui a le mauvais goût de travailler avec des privilèges élevés.
La faille permet une élévation de privilèges, pas une intrusion. Elle ne sert donc à rien tant que l'attaquant n'a pas déjà mis un pied dans la machine, le plus souvent par hameçonnage. Une fois ce pied posé, elle transforme un compte utilisateur ordinaire en maître du poste. L'éditeur Automox, qui a analysé le correctif, y voit une deuxième marche dans une chaîne d'attaque plutôt qu'une porte d'entrée.
Son score de 7.0 s'explique par la difficulté d'exploitation. Il s'agit d'une condition de concurrence, un défaut de minutage où deux opérations se marchent dessus au millième de seconde près. Il faut relancer la tentative en boucle jusqu'à ce que le compte tombe juste, un peu comme on chercherait à franchir une porte automatique pile au bon moment (et quelqu'un y parvient manifestement, puisque des attaques ont été observées).
Deux autres vulnérabilités étaient connues avant la publication des correctifs. CVE-2026-62832, dans le service de profils utilisateur de Windows, est jugée susceptible d'être exploitée prochainement et pourrait se rattacher à la divulgation « LegacyHive » de juillet. La troisième, CVE-2026-72971, permet une altération locale de données à impact limité.
En juin, l'éditeur frôlait déjà les 200 correctifs, un record pour l'époque. Le mois suivant, le compteur s'est emballé pour atteindre le plus gros Patch Tuesday jamais publié par Microsoft, très loin des 114 failles corrigées en janvier. L'entreprise attribue cette inflation à ses outils de détection assistés par intelligence artificielle, qui remontent davantage de défauts qu'aucune équipe humaine n'en trouvait auparavant. Le mouvement dépasse d'ailleurs Redmond, puisqu'Adobe publie désormais deux bulletins par mois, les deuxième et quatrième mardis, tandis que Cisco, Google, Mozilla ou Oracle ont eux aussi accéléré la cadence.
Ces mêmes outils sont maintenant mis à contribution pour écrire les correctifs, avec des résultats nettement moins flatteurs. Une étude publiée le 6 août par les chercheurs de 1Password a évalué plus de 6 000 correctifs générés par deux modèles commerciaux, ChatGPT 5.5 et Claude Opus 4.8, sur six vulnérabilités complexes. Dans 53,9 % des cas, le correctif ne réglait pas le problème, introduisait une nouvelle faille, ou les deux à la fois. Une seconde étude menée sur plus de cent modèles aboutit à un constat voisin, avec 44 % du code produit qui embarquait une vulnérabilité répertoriée au top 10 de l'OWASP.
Côté européen, le calendrier réglementaire ajoute une contrainte supplémentaire. La directive NIS2 impose déjà aux entités essentielles et importantes un traitement documenté des vulnérabilités, et le Cyber Resilience Act obligera les fabricants à signaler à l'ENISA toute faille activement exploitée. Une équipe qui reçoit 398 correctifs d'un coup doit donc trier, tester et tracer, sans pouvoir se contenter d'appuyer sur un gros bout