Le record Patch Tuesday de septembre 2026 a atteint un sommet historique avec 974 CVE corrigés, dont deux zero‑days exploités en production. Au programme aujourd’hui : analyse du Patch Tuesday record, panorama des correctifs majeurs et des incidents de sécurité qui ont secoué la communauté.
Les données proviennent de plusieurs sources spécialisées, offrant une vue d’ensemble complète pour les administrateurs et les chercheurs.
Record Patch Tuesday de Microsoft : chiffres et vulnérabilités critiques
-Dark Reading rapporte que le Patch Tuesday a enregistré 974 CVE, un nouveau record depuis le lancement du programme. Parmi eux, 58 vulnérabilités sont jugées susceptibles d’être exploitées prochainement.
Microsoft a publié 973 correctifs, dont 113 classés critiques. Deux failles zero day, une élévation de privilèges Windows et une exécution de code à distance (RCE) affectant Skype for Business, MSMQ et RRAS, sont déjà exploitées en production.
Comme le rappelait notre article sur les zero‑days critiques du 7 septembre, la présence de zero‑days actifs accentue la pression sur les équipes IT pour appliquer les correctifs sans délai.
Autres correctifs majeurs et incidents de sécurité
-SecurityWeek indique qu’Adobe a publié plus de 170 correctifs, incluant la faille critique CVE‑2026‑75650 dans Adobe Commerce. Cette vulnérabilité permet l’exécution de code arbitraire sans authentification et a déjà été exploitée en production.
-BleepingComputer signale que SAP a corrigé 20 vulnérabilités, dont une corruption de mémoire de gravité maximale dans le noyau SAP, capable d’exécuter du code arbitraire sur les environnements NetWeaver.
-Les chercheurs de The Register ont découvert un canal de vol de données clandestin dans l’Artifactory d’OpenAI, exploité via une faille zero‑day de type « cross‑account trick » donnant un accès administratif. Aucun CVE n’a été attribué, mais la gravité reste élevée.
-BleepingComputer rapporte que des attaquants ont compromis des dispositifs F5 BIG‑IP APM en déployant un rootkit Linux. Le rootkit intercepte le chargement des fichiers PHP et injecte un shell web sans écrire de code sur le disque, assurant une persistance furtive.
-CSO Online décrit l’avis de cybersécurité AA26‑231A publié par CISA, NSA, FBI, DOE et EPA. L’avis recommande de durcir les contrôleurs Siemens S7 (S7‑200, S7‑300, S7‑400, S7‑1200, S7‑1500) en patchant, retirant l’exposition Internet et renforçant les contrôles d’accès. L’application de ces mesures peut toutefois perturber la production si elle n’est pas planifiée.
-SecurityWeek révèle que des hackers ont restitué 263 millions de dollars volés depuis le portefeuille fédéré de Liquid Network, après une faille critique du portefeuille. L’incident souligne l’importance d’une mise à jour rapide des infrastructures de portefeuille.
-Ubuntu Security Notices publie le bulletin USN‑8736‑1 qui signale deux vulnérabilités dans Perl (CVE‑2026‑15534 et CVE‑2026‑19487). La première provoque des lectures/écritures hors limites sur le tas via des expressions régulières, pouvant entraîner un déni de service ou une exécution de code. La seconde contourne les restrictions de sécurité en manipulant les correspondances d’expressions régulières. Les deux failles affectent les versions de Perl livrées avec Ubuntu et exigent une mise à jour immédiate.
Ce qu’il faut retenir
-Le record Patch Tuesday confirme que la surface d’attaque s’élargit chaque mois, imposant une cadence de mise à jour sans précédent. Les deux zero‑days actifs et les 58 vulnérabilités à risque d’exploitation montrent que les attaquants surveillent de près chaque correctif.
Les correctifs d’Adobe, SAP, F5, OpenAI et Siemens illustrent la diversité des vecteurs d’attaque : des applications web aux contrôleurs industriels. Les équipes doivent prioriser les correctifs critiques, tester les impacts sur la production et surveiller les indicateurs de compromission.
En appliquant rapidement les correctifs et en suivant les recommandations de CISA, les organisations réduiront le risque de compromission massive. Le record Patch Tuesday rappelle que la vigilance continue reste la meilleure défense.