Histoire
septembre 9, 2026
Le Patch Tuesday de Microsoft, avec 972 correctifs, fait monter les enchères dans la course à la sécurité de l’IA
La publication record de correctifs par Microsoft est interprétée de deux façons : comme la preuve que les défenseurs peuvent détecter et corriger plus de failles que jamais, et comme un avertissement selon lequel l’IA pourrait étendre la surface d’attaque plus vite que les correctifs de routine ne peuvent la contenir.
Le Patch Tuesday de septembre de Microsoft a redéfini l’ampleur de la routine mensuelle de sécurité. Selon le décompte de Dustin Childs, chercheur à la Zero Day Initiative, l’entreprise a corrigé environ 972 vulnérabilités — 997 si l’on inclut les correctifs Chromium distribués via Edge — dont 112 jugées critiques.1
Le total dépasse le précédent record de 570 correctifs établi seulement deux mois plus tôt. Microsoft a désormais corrigé 2 760 vulnérabilités cette année, soit plus du double du total de l’an dernier ; au rythme actuel, son bilan annuel dépasserait les totaux cumulés de 2023, 2024 et 2025.1
Childs a qualifié ces volumes croissants de « nouvelle normalité ». Il a salué les équipes chargées des correctifs, tout en y associant un avertissement plus marqué : « La découverte de vulnérabilités assistée par l’IA ne montre aucun signe de ralentissement. Toutefois, nous n’avons pas encore constaté de hausse corrélée des exploits actifs. »1
La série de ce mois-ci comprend deux vulnérabilités zero-day activement exploitées, ainsi que des failles aux conséquences potentiellement graves. Un bug d’Exchange Server pourrait permettre à un attaquant non authentifié d’exécuter du code en envoyant une pièce jointe Visio malveillante ; un autre touche les services Bureau à distance et affiche un score de gravité de 9,8. Childs a déclaré avoir cessé de compter les bugs capables de se propager automatiquement après en avoir recensé 20 — des failles susceptibles de se diffuser de machine à machine sans interaction de l’utilisateur.1
L’ensemble du secteur a déjà présenté cette tendance comme une course contre la montre. Deux semaines avant la publication, de grandes entreprises de l’IA et du cloud ont signé une lettre ouverte avertissant que le délai pour corriger les faiblesses pourrait se réduire avant que des attaquants équipés d’IA ne commencent à les exploiter à grande échelle.1
Un contre-argument tempère l’alarme : la chasse aux bugs par IA reste coûteuse, peut générer des faux positifs et incite les fournisseurs à promouvoir des outils fondés sur leurs propres modèles onéreux. Ses partisans soulignent toutefois l’augmentation des découvertes, notamment le rapport de Mozilla selon lequel ses chercheurs assistés par Mythos ont identifié 271 vulnérabilités avec presque aucun faux positif. La question difficile n’est plus de savoir si cette montagne de correctifs est réelle, mais si elle témoigne d’une maîtrise — ou d’une inondation imminente.1