Mardi de mises à jour d'août 2026 : Microsoft corrige plus de 420 failles

Le « Patch Tuesday » d’août 2026 de Microsoft s’impose comme l’une des plus importantes mises à jour de sécurité de l’année, corrigeant 421 vulnérabilités (CVE), dont plus de 40 classées comme critiques, selon le Guide des mises à jour de sécurité de Microsoft et plusieurs éditeurs de solutions de sécurité qui suivent cette publication. Cette mise à jour est marquée par une faille de pilote de noyau activement exploitée, un bug d’élévation de privilèges rendu public et lié à un chercheur en conflit de longue date avec Microsoft, ainsi qu’une chaîne d’exécution de code à distance dans SharePoint signalée par Rapid7.

Le groupe Lazarus exploite une faille « zero-day » du pilote du noyau

Le correctif le plus urgent concerne le CVE-2026-68820, une vulnérabilité de type « use-after-free » dans le pilote de fonctions auxiliaires Windows pour WinSock (afd.sys), le pilote en mode noyau qui sous-tend l’API Windows Sockets. Microsoft indique qu’un attaquant authentifié localement peut déclencher une condition de concurrence via une application spécialement conçue pour obtenir des privilèges SYSTEM sans interaction de l’utilisateur. Check Point Research a signalé que le groupe nord-coréen Lazarus a exploité cette faille dans le cadre de sa campagne « Operation Dream Job », en utilisant de fausses offres d’emploi et un lecteur PDF infecté par un cheval de Troie pour déployer « Troy », une nouvelle porte dérobée, avant d’élever ses privilèges et d’installer une version mise à jour de son rootkit en mode noyau « FudModule ». Cette activité a principalement visé des organisations des secteurs de la défense, de l’aérospatiale et de l’aviation en Europe, en Inde et au Brésil. La CISA a ajouté le CVE-2026-68820 à son catalogue des vulnérabilités connues exploitées, avec une date limite de correction fixée au 25 août.

Une querelle publique autour de LegacyHive

Microsoft a également corrigé la faille CVE-2026-62832, une faille d’élévation de privilèges dans le service de profil utilisateur de Windows. Ce bogue permet à un attaquant authentifié, disposant des identifiants d’un autre compte local, de forcer le service à charger la branche de registre de ce compte – potentiellement celle d’un administrateur –, ce qui lui confère un accès non autorisé à ces données ainsi qu’aux droits d’administrateur. Microsoft a attribué cette découverte à un chercheur anonyme, bien que les détails techniques correspondent à LegacyHive, une preuve de concept publiée par le chercheur pseudonyme Nightmare Eclipse quelques heures seulement après le « Patch Tuesday » de juillet. Étant donné qu’un code d’exploitation fonctionnel avait déjà circulé publiquement, Microsoft a estimé que cette faille était susceptible d’être exploitée à plus grande échelle.

Rapid7 complète une chaîne d’exécution de code à distance (RCE) sur SharePoint

Pour compléter cette publication, citons la vulnérabilité CVE-2026-63520, une faille d’exécution de code à distance dans SharePoint Server liée à une instanciation de type .NET non sécurisée au sein de Business Connectivity Services. Rapid7 l’a divulguée conjointement avec Microsoft, en tant que deuxième volet d’une chaîne d’exploitation conçue pour le Pwn2Own Berlin. Associées à la faille CVE-2026-55040, le contournement de l’authentification JWT révélé par Rapid7 en juillet, ces deux failles permettent à un attaquant non authentifié d’exécuter du code sur un serveur SharePoint vulnérable avec les privilèges de son compte de service, sans avoir besoin d’identifiants.