Patch Tuesday d’août 2026

Quelles que soient les opinions sur l’IA, il est clair que l’accélération de l’application des correctifs en fonction des vulnérabilités identifiées oblige le secteur de la gestion des correctifs à faire face à l’apocalypse des correctifs. La question clé est de savoir comment y faire face alors même que Microsoft recommande un délai de trois jours pour appliquer les correctifs afin de garder une longueur d’avance sur les menaces « accélérées par l’IA ». Le défi est que les grandes entreprises sont limitées par les exigences de test, de contrôle des changements et de compatibilité. Pour y répondre, il faut mettre en place un processus permettant de déployer les correctifs essentiels afin de réduire les risques en quelques jours, tout en conservant une approche rigoureuse pour le reste.

La première étape de ce nouveau processus consiste à comprendre que toutes les CVE ne se valent pas. Les correctifs doivent être triés afin d’identifier les CVE qui requièrent une attention immédiate, notamment celles liées à une exploitation ou à une divulgation connue, à des malwares connus, à la liste KEV de la CISA, ou encore à des vulnérabilités exposées à Internet ou ne nécessitant pas d’authentification, etc. Une fois ces CVE identifiées, vous pouvez établir une liste des correctifs à envisager immédiatement pour votre environnement. Mais vous devez rester rigoureux et garder à l’esprit que même les CVE présentant des scores CVSS élevés, si elles ne sont pas exploitées ou ne sont pas exposées à Internet, peuvent être traitées lors d’une deuxième vague de correctifs. Tout le reste peut être pris en charge dans la séquence normale de gestion des correctifs de votre organisation, qui peut intervenir dans un délai de deux à trois semaines. Cette répartition correspond globalement à la manière dont Ivanti Neurons gère l’application des correctifs, avec le cycle de correctifs zero-day qui respecte la norme Microsoft de trois jours, le cycle de correctifs prioritaires qui a lieu toutes les deux semaines, puis la maintenance régulière qui intervient environ toutes les trois semaines ou une fois par mois.

Le tri des correctifs n’est pas la seule étape de ce nouveau processus. Vous devez connaître votre environnement et comprendre votre exposition aux CVE triées. En vous appuyant sur votre connaissance du réseau, vous devez donner la priorité aux systèmes exposés à Internet et exploitables à distance. Les systèmes plus en profondeur dans votre environnement pourront peut-être être corrigés dans le cadre d’une deuxième vague plus large. N’oubliez pas de tenir compte de l’impact opérationnel et du risque de perturbation associés aux systèmes métier clés ; certains systèmes peuvent être plus sensibles à l’application de correctifs. Avec ces informations, vous devriez être en mesure de hiérarchiser et d’organiser les systèmes en groupes prioritaires pour l’application des correctifs. Vous pouvez désormais affecter les correctifs et les systèmes aux trois cycles de correctifs mentionnés précédemment. Mais attendez !

La dernière étape de ce processus consiste à définir une méthodologie de test, selon les besoins, avant le déploiement. L’expérience montre que la qualité des correctifs et l’impact de leur installation varient fortement selon de nombreux facteurs. En tant qu’organisation, vous seule pouvez décider du niveau de test requis. Parmi les questions à se poser : 1) combien de temps de test est disponible avant l’ouverture de notre prochaine fenêtre de maintenance ; 2) pouvons-nous maintenir une suite minimale de tests de validation rapide pour les systèmes critiques afin de ne pas intervenir à l’aveugle sur les systèmes en production ; 3) pouvons-nous identifier les systèmes moins sensibles aux correctifs et mettre en place un test de validation rapide en circuit accéléré pour réduire les délais ; 4) et bien d’autres encore. La méthodologie de test doit être alignée sur les cycles de correctifs proposés afin de prendre les décisions finales sur la vitesse d’exécution. Par exemple, pouvons-nous tester les derniers correctifs de système d’exploitation contenant des CVE zero-day destinés à des serveurs métier critiques, puis les déployer en trois jours ? Dans l’idéal, oui, c’est souhaitable, mais dans la réalité, les risques de sécurité par rapport aux risques opérationnels peuvent imposer un autre cycle de correctifs.

En résumé, seule une petite fraction des vulnérabilités divulguées est confirmée comme exploitée dans la nature. L’objectif est ici de tester et de déployer d’abord les correctifs qui concernent les systèmes présentant les risques les plus élevés, puis de progresser méthodiquement dans l’ensemble de votre environnement d’entreprise. Le processus doit avancer rapidement, car une nouvelle vague de mises à jour logicielles est déjà imminente dans l’apocalypse des correctifs.

Vulnérabilités Microsoft exploitées

Une vulnérabilité exploitée a été signalée ce mois-ci. CVE-2026-68820 est une vulnérabilité d’élévation de privilèges dans le pilote de fonction auxiliaire Windows pour WinSock, classée Important. Microsoft confirme qu’elle est exploitée dans la nature. Ce pilote a été une cible récurrente de failles d’élévation de privilèges locales tout au long de 2026, et des vulnérabilités antérieures dans ce composant ont permis à un attaquant autorisé d’exploiter une condition de concurrence pour obtenir des privilèges SYSTEM.

Vulnérabilités Microsoft divulguées publiquement

Deux vulnérabilités divulguées publiquement présentent un intérêt ce mois-ci. CVE-2026-62832 est une vulnérabilité d’élévation de privilèges dans le service de profil utilisateur Windows, classée Important. Il s’agit de la faille à l’origine de « LegacyHive », la preuve de concept non corrigée publiée par le chercheur Nightmare-Eclipse quelques heures seulement après le Patch Tuesday de juillet. Cette vulnérabilité permet à un utilisateur standard de contraindre le service de profil utilisateur à charger la ruche de registre d’un autre utilisateur, y compris celle d’un administrateur, afin d’obtenir un accès non autorisé aux données de registre Classes de cet utilisateur.

CVE-2026-72971 est une vulnérabilité de falsification dans le pilote de filtre FS d’isolation des conteneurs Windows (unionfs.sys), classée Important. Une divulgation publique avant la disponibilité d’un correctif signifie que du code d’exploitation pourrait suivre rapidement ; les organisations qui exécutent des conteneurs Windows, des agents de build ou une infrastructure CI sur des hôtes affectés doivent prioriser cette mise à jour de manière appropriée.

Avis de sécurité Ivanti

Ivanti a publié deux mises à jour de sécurité pour le mois d’août. Ces mises à jour concernent Ivanti Endpoint Manager et Ivanti Neurons for Mobile Device Management. Elles corrigent au total trois CVE. Vous trouverez davantage de détails et d’informations sur les mesures d’atténuation dans l’Avis de sécurité d’août.

Liste des actions à mener pour les mises à jour d’août

• Vérifiez à nouveau vos appareils Apple afin de confirmer que les derniers correctifs du 6 août ont été déployés. De même, assurez-vous qu’Oracle Java et les autres applications Oracle ont bien été mis à jour à partir de la publication mensuelle des CPU. N’oubliez pas non plus qu’Oracle publie désormais des mises à jour de sécurité tous les mois.
• La priorité ce mois-ci est d’appliquer les correctifs aux systèmes d’exploitation Windows. La vulnérabilité Winsock CVE-2026-68820 est exploitée dans la nature et affecte tous les systèmes d’exploitation, de Windows Server 2012 aux dernières versions de Windows 11 et Server 2025 : appliquez le correctif immédiatement. Ces mises à jour corrigeront également CVE-2026-62832, qui a été divulguée sans correctif officiel depuis plus d’un mois. Elle est corrigée dans la publication d’aujourd’hui ; traitez donc ces mises à jour de système d’exploitation comme une priorité.