Record historique pour Microsoft : 570 failles corrigées en un seul Patch Tuesday dont trois zero-jours

Microsoft a publié le 14 juillet 2026 son plus volumineux ensemble de mises à jour de sécurité mensuelles, avec plus de 570 vulnérabilités corrigées dans Windows, Office, SharePoint, Edge et d'autres produits. Ce chiffre, qui atteint 622 selon certaines décomptes incluant des correctifs supplémentaires pour les services cloud et le navigateur Edge, dépasse largement le précédent record de juin qui s'élevait à environ 200 failles. L'éditeur a prévenu les utilisateurs que cette augmentation massive était attendue, après avoir détaillé l'emploi de systèmes d'intelligence artificielle pour la chasse aux bugs.

Parmi ces correctifs, trois vulnérabilités de type « zero-day » ont été traitées. Deux d'entre elles étaient déjà activement exploitées au moment de la publication des correctifs. La première, référencée CVE-2026-56155, concerne Windows Server et permet à un attaquant d'élever ses privilèges d'un utilisateur limité jusqu'au niveau administrateur système. La seconde, CVE-2026-56164, touche le serveur de partage de fichiers SharePoint ; l'agence américaine de cybersécurité CISA a confirmé son exploitation active contre des organisations. La troisième, CVE-2026-50661, est un contournement de fonctionnalité de sécurité dans Windows BitLocker. Microsoft indique que cette faille a été divulguée publiquement mais qu'aucune attaque active n'a été constatée à ce jour.

Plus de 57 vulnérabilités critiques

Sur l'ensemble des correctifs, environ 57 failles ont été classées comme critiques, ce qui représente environ 10 % du total. Parmi elles, 48 permettent une exécution de code à distance, ce qui signifie qu'un pirate peut prendre le contrôle d'un système sans intervention de l'utilisateur. Les produits les plus touchés sont Windows avec 31 de ces failles critiques, la suite bureautique Office avec 15, et SharePoint Server avec 7. Au total, près de 250 vulnérabilités corrigées ce mois-ci concernent l'élévation de privilèges, soit plus de 43 % du lot, tandis que 144 permettent l'exécution de code à distance.

L'IA en première ligne

Microsoft attribue cette débauche de correctifs à l'adoption d'outils d'intelligence artificielle pour l'analyse du code. Dans un billet de blog publié le 9 juillet, Pavan Davuluri, vice-président exécutif de Microsoft, a écrit que « le rythme de la découverte des vulnérabilités évolue avec les progrès de l'IA, qui permet de trouver plus de problèmes, plus rapidement, dans davantage de code, avec de nouveaux mécanismes accélérant à la fois la découverte et l'analyse ». L'entreprise a mis en place un système baptisé MDASH (Multi-model Agentic Scanning Harness), qui s'appuie sur plusieurs modèles d'IA pour détecter les défaillances. Microsoft a prévenu que les utilisateurs doivent s'attendre « à un volume plus élevé de mises à jour de sécurité incluses dans chaque publication de sécurité ».

Une faille Copilot très sévère

Parmi les correctifs les plus urgents figure CVE-2026-48561, une vulnérabilité d'exécution de code à distance dans Microsoft Copilot, notée 9,6 sur l'échelle CVSS (sur 10). Selon les informations disponibles, un attaquant pourrait héberger un site web malveillant qui, lorsqu'il est consulté via Microsoft Edge pour Android, enverrait automatiquement des requêtes conçues à Copilot. Ce bug a été signalé par Jack Bicer, directeur de la recherche en vulnérabilités chez Action1.

Des experts interrogent la pertinence de l'indice d'exploitabilité

Satnam Narang, ingénieur de recherche principal chez Tenable, a critiqué l'indice d'exploitabilité de Microsoft, qui sert à estimer la probabilité qu'une vulnérabilité soit exploitée. Il note que Microsoft avait initialement attribué à la faille SharePoint zero-day un indice « moins probable », alors qu'elle figurait déjà sur la liste des vulnérabilités exploitées connues de la CISA. Narang rappelle que des travaux de l'équipe rouge d'Anthropic ont montré qu'un modèle d'IA était capable de produire des preuves de concept d'exploitation pour 13 des 14 vulnérabilités classées comme « moins probables » ou « improbables ». « Notre manière d'envisager le Patch Tuesday a changé, car l'indice d'exploitabilité est centré sur les humains, pas sur les outils d'IA », a-t-il déclaré.

Un phénomène qui dépasse Microsoft

Chris Goettl, chez Ivanti, a observé que ce record intervient alors que plusieurs autres éditeurs majeurs accélèrent leurs cycles de correctifs. Adobe a annoncé passer à deux bulletins de sécurité par mois, citant également l'IA comme accélérateur. Cisco, Mozilla et Oracle publient aussi des mises à jour plus fréquentes, tandis que les correctifs de Google en juin 2026 dépassaient les 900 vulnérabilités. Cette tendance soulève des questions sur la capacité des équipes de sécurité des entreprises à absorber un flux toujours croissant de mises à jour.

Les administrateurs et utilisateurs sont invités à installer sans délai les correctifs de juillet, en particulier ceux couvrant les zero-jours activement exploités.