Contexte du correctif
Le deuxième correctif mensuel de Microsoft en 2026 atteint un nouveau pic avec environ 972 failles corrigées. Ce chiffre dépasse le précédent record de 570 vulnérabilités établi il y a deux mois, ainsi que les 620 correctifs publiés le mois précédent. L’accumulation rapide de correctifs s’inscrit dans une tendance observée chez d’autres acteurs majeurs du secteur, notamment Google, qui publie également des volumes records de correctifs. Cette dynamique reflète une prise de conscience accrue des risques liés aux vulnérabilités, notamment celles exploitées par des outils d’intelligence artificielle.
Détails chiffrés du patch
Selon le comptage de Dustin Childs, chercheur à la Zero Day Initiative, le correctif de septembre comprend 972 vulnérabilités, ou 997 si l’on inclut les correctifs portés du moteur Chromium intégré à Edge. Parmi ces failles, 112 sont classées critiques et le reste porte la désignation « important ». Au total, Microsoft a corrigé 2 760 vulnérabilités depuis le début de l’année, soit plus du double du nombre enregistré l’an passé. À ce rythme, le total annuel dépassera les cumuls de 2023, 2024 et 2025 combinés.
Impact de l'IA sur la découverte de vulnérabilités
Parallèlement à l’augmentation du nombre de correctifs, une lettre ouverte signée par OpenAI, Anthropic, Amazon Web Services, Google, Microsoft et une centaine d’autres organisations met en garde contre une « vague d’attaques assistées par IA ». Les modèles d’IA capables d’analyser du code source accélèrent la recherche de failles, ce qui explique en partie la hausse du nombre de vulnérabilités détectées. Childs souligne toutefois qu’aucune hausse corrélée d’exploits actifs n’a encore été observée, ce qui suggère que la capacité de déploiement d’attaques automatisées reste limitée par d’autres facteurs, comme la disponibilité d’infrastructures d’exploitation ou la complexité de la chaîne d’attaque.
Enjeux et limites
Le volume record de correctifs impose une charge importante aux équipes de gestion des mises à jour, qui doivent tester, valider et déployer chaque correctif sans introduire de régressions. Le processus de mise à jour de Microsoft repose sur Windows Update, WSUS et les canaux de distribution cloud, mais la rapidité du déploiement peut varier selon les environnements d’entreprise. De plus, la transparence du comptage des vulnérabilités reste imparfaite : certaines failles sont déjà corrigées dans des versions antérieures ou concernent des produits non Microsoft, ce qui rend le chiffre exact difficile à établir. Enfin, la dépendance croissante à l’IA pour la découverte de vulnérabilités crée un nouveau vecteur de risque, où les attaquants pourraient exploiter les mêmes modèles pour générer des exploits avant que les correctifs ne soient diffusés.
