Résumé

  • Les mises à jour de sécurité publiées par Microsoft le 8 septembre corrigent des failles d’élévation de privilèges exploitées dans Windows Update Stack et Advanced Local Procedure Call
  • La confirmation de leur exploitation fournit aux équipes chargées des mises à jour une information qu’une file de correctifs fondée uniquement sur les scores de gravité ne ferait pas ressortir

Les faits

Le 8 septembre, Microsoft a publié des correctifs pour deux vulnérabilités Windows qui, selon l’entreprise, avaient déjà été exploitées lors d’attaques. CVE-2026-81963 touche Windows Update Stack et permet à un attaquant disposant déjà d’un accès à une machine vulnérable d’obtenir des privilèges plus élevés en raison d’une gestion incorrecte d’un lien de fichier. CVE-2026-85880 touche Windows Advanced Local Procedure Call, que Windows utilise pour la communication entre processus, et peut permettre à un attaquant d’obtenir les privilèges SYSTEM.

Les deux vulnérabilités ont un score CVSS de 7,8 et Microsoft les classe au niveau « Important ». Les failles signalées concernent une élévation de privilèges, et non un accès distant initial depuis Internet. Les informations disponibles n’identifient pas les organisations visées par les attaques, ne décrivent pas une chaîne d’intrusion complète et n’établissent pas que tous les systèmes Windows sont concernés.

L’analyse

La gestion des correctifs en entreprise relève du triage, pas d’un classement. Dès qu’une exploitation est confirmée, les équipes doivent aller au-delà d’un simple classement par scores de gravité et déterminer où les composants vulnérables sont réellement présents. Elles doivent pour cela confronter les avis à leurs propres terminaux et serveurs, identifier les services métier pris en charge par ces systèmes et décider sur quels systèmes accélérer les tests et le déploiement.

Pour les lecteurs de BTW, la nécessité d’un accès local réduit le périmètre du risque sans le rendre négligeable. L’application des correctifs remédie aux vulnérabilités sur les systèmes concernés, mais elle ne permet pas de savoir si un attaquant les a exploitées avant l’installation de la mise à jour. Les équipes de sécurité et d’exploitation ont donc deux missions distinctes: réduire la durée pendant laquelle les machines concernées restent exposées et examiner les systèmes suspects susceptibles d’avoir été compromis auparavant.

Le déploiement complet des correctifs et les preuves d’une compromission répondent à des questions différentes et ne doivent pas être considérés comme un même indicateur.

À surveiller

Il faudra surveiller la publication, par Microsoft ou des chercheurs en sécurité, de précisions sur la manière dont les vulnérabilités sont exploitées et sur les configurations Windows concernées. Au sein des organisations, les indicateurs les plus utiles seront la couverture des systèmes concernés, les exceptions de déploiement des correctifs non résolues et tout élément indiquant que les failles ont été exploitées avant l’installation des mises à jour.