966 correctifs en un jour, et deux des failles étaient déjà exploitées
Le chiffre résume presque toute l'histoire. Le Patch Tuesday de septembre, publié le 8 septembre, couvre 966 failles selon le décompte de BleepingComputer et 964 selon celui de Tenable, la différence tenant à la manière de comptabiliser les services cloud. Dans tous les cas, c'est la plus grosse publication jamais réalisée par l'entreprise, avec 105 entrées classées critiques. Un tel volume en dit davantage sur la façon dont les vulnérabilités sont désormais découvertes, avec des outils automatisés qui passent le code au crible à grande échelle, que sur un Windows qui s'effondrerait soudainement. Presque aucune de ces 966 failles ne sera jamais touchée par qui que ce soit.
Deux d'entre elles l'ont déjà été. CVE-2026-81963 se niche dans la pile Windows Update elle-même, la mécanique qui installe les mises à jour, et permet à un programme déjà en cours d'exécution sur votre PC de grimper jusqu'à SYSTEM, le compte qui contrôle tout. Elle touche Windows 11 et Server 2025, et a été signalée par Romain Deperne avec l'équipe de renseignement sur les menaces de Microsoft. CVE-2026-85880 est un dépassement de tas dans Advanced Local Procedure Call, la voie par laquelle les composants de Windows communiquent entre eux, et elle frappe Windows 10 ainsi que des versions serveur plus anciennes. Elle a été trouvée par Mark Kelly de Volexity et par David Galazin et Jeremy Hedges de Proofpoint. Les deux affichent un score de gravité de 7,8, Microsoft n'a pas dit qui les exploitait, et la CISA les a versées à son catalogue des failles activement exploitées le 8 septembre.
Une autre faille mérite d'être citée uniquement pour que vous cessiez de vous en inquiéter. CVE-2026-69730 obtient 9,8 et les chercheurs y voient l'héritière spirituelle de SigRed, la faille DNS de 2020 capable de se propager toute seule. Elle réside dans Windows DNS Server, un rôle qui tourne sur les serveurs d'entreprise. Aucun PC domestique ne l'a installé.
Ce que vous voulez sur votre machine : KB5124008 pour Windows 11 24H2 et 25H2, KB5122880 pour 23H2, et KB5122878 pour les PC Windows 10 sous mises à jour de sécurité étendues. La publication apporte aussi des correctifs critiques d'exécution de code à distance dans Word, Excel, Outlook et PowerPoint, ainsi que dans les composants graphiques et les codecs qui ouvrent vos images. Un téléchargement de cette taille est précisément là où Windows Update a tendance à se bloquer, et si c'est le cas chez vous, l'assistant de réparation de Windows Update de Tendvane remet à zéro la plomberie sous-jacente pour que l'installation reparte proprement.