Le 9 juin 2026, Microsoft a publié le Patch Tuesday le plus volumineux de l'histoire de son programme de mises à jour. Avec environ 208 CVE corrigées selon le décompte de la Zero Day Initiative, on dépasse tous les records depuis le lancement du cycle mensuel en 2003. Au-delà du chiffre brut, c'est la nature de certaines failles qui doit retenir l'attention : une RCE kernel wormable, trois zero-days divulgués publiquement, et une vulnérabilité Defender déjà exploitée.
Un volume pareil pose un problème opérationnel concret : on ne déploie pas 208 correctifs en aveugle. La question n'est pas « faut-il patcher » mais « par quoi commencer ». Voici comment trier.
Le chiffre : 208 CVE, 33 critiques
Sur l'ensemble du lot, on compte environ 33 vulnérabilités classées critiques, dont 28 correspondent à de l'exécution de code à distance (RCE). Le reste se répartit entre élévations de privilèges, contournements de fonctionnalités de sécurité, divulgations d'informations et dénis de service. Ce n'est pas tant la proportion de critiques qui surprend — elle reste dans les standards — que le volume absolu, qui sature la capacité de test et de déploiement des équipes IT.
La priorité absolue : CVE-2026-45657, RCE kernel wormable
Si vous ne deviez retenir qu'un identifiant, c'est celui-là. La CVE-2026-45657, notée CVSS 9.8, est une RCE dans le kernel Windows causée par un use-after-free dans le traitement de la pile TCP/IP. Ses caractéristiques en font le pire scénario possible :
- Aucune authentification requise : l'attaquant n'a besoin d'aucun identifiant.
- Aucune interaction utilisateur : pas de clic, pas de fichier à ouvrir.
- Déclenchable à distance via le réseau : un paquet réseau spécialement conçu suffit.
Cette combinaison est la définition même d'une faille wormable : un code malveillant pourrait sauter de machine en machine sans intervention humaine, à la manière de ce qu'on a connu avec EternalBlue et WannaCry. Sur un réseau plat, sans segmentation, une seule machine non patchée exposée peut servir de tête de pont pour propager une infection à l'ensemble du parc.
Microsoft a également corrigé la CVE-2026-44815 (CVSS 9.8), une RCE dans le client DHCP, qui partage ce profil sans authentification et sans interaction. Ces deux failles doivent être en tête de votre file de déploiement.
Trois zero-days divulgués publiquement
Trois vulnérabilités étaient connues publiquement avant la publication du correctif, ce qui réduit la fenêtre d'avance des défenseurs sur les attaquants. Les noms ci-dessous sont des désignations informelles données par la communauté :
- CVE-2026-45586 (« GreenPlasma ») : élévation de privilèges permettant de passer du processus CTFMON au compte SYSTEM.
- CVE-2026-45585 (« YellowKey ») : contournement de la fonctionnalité de sécurité BitLocker, nécessitant un accès physique à la machine.
- CVE-2026-49160 (« HTTP/2 Bomb ») : déni de service visant HTTP.sys via le protocole HTTP/2.
Une nuance importante : les sources divergent sur le statut exact de ces failles (divulguées publiquement vs activement exploitées). En l'absence de confirmation univoque d'exploitation, on les traite comme des zero-days divulgués — déjà un motif suffisant de priorisation, sans surinterpréter la menace.
La faille déjà exploitée : CVE-2026-41091
En marge du lot mensuel, Microsoft confirme l'exploitation active de la CVE-2026-41091, une élévation de privilèges dans Microsoft Defender, qui avait fait l'objet d'un correctif hors-cycle le 19 mai. Si vous n'avez pas appliqué ce patch out-of-band, c'est une urgence : l'exploitation est avérée. Les correctifs cumulatifs de juin embarquent par ailleurs cette protection (KB5094126 pour Windows 11, KB5094127 pour Windows 10).
Comment prioriser 208 correctifs sans paniquer
Un volume record n'impose pas un déploiement record dans la précipitation. Une approche par vagues, fondée sur le risque, reste la bonne méthode :
- Vague 1 — immédiate. Les RCE sans authentification et sans interaction, exposables réseau : CVE-2026-45657 (kernel TCP/IP) et CVE-2026-44815 (DHCP). Ce sont les candidates à une propagation automatisée.
- Vague 2 — sous 72 heures. La faille déjà exploitée (CVE-2026-41091) et les zero-days divulgués (GreenPlasma, YellowKey, HTTP/2 Bomb) sur les actifs exposés ou sensibles.
- Vague 3 — cycle normal. Le reste des critiques et importantes, après tests de non-régression sur un échantillon représentatif.
Pour les RCE réseau wormables, si le déploiement ne peut pas être immédiat sur tout le parc, la segmentation réseau et le filtrage des ports concernés (services TCP/IP exposés, DHCP) constituent une mitigation provisoire. C'est exactement le type de défense en profondeur que je détaille dans mon article sur l'architecture Zero Trust : limiter la propagation latérale quand un endpoint tombe.
Encart : patchez aussi vos navigateurs — 5e zero-day Chrome de l'année
Le même jour ou presque, Google publiait une mise à jour de sécurité pour Chrome corrigeant la CVE-2026-11645 (CVSS 8.8), un accès mémoire hors limites (out-of-bounds read/write) dans le moteur JavaScript V8, permettant une exécution de code dans le sandbox via une page web piégée. Google confirme l'existence d'un exploit en conditions réelles, et la CISA l'a ajoutée à son catalogue KEV.
Versions corrigées : 149.0.7827.102/.103 sous Windows et macOS, .102 sous Linux. C'est le 5e zero-day Chrome exploité depuis le début de 2026. Un réflexe opérationnel trop souvent oublié : ne vous contentez pas de vérifier la version installée, vérifiez aussi les processus Chrome en cours d'exécution — un navigateur ouvert depuis des jours peut tourner sur un binaire vulnérable malgré une mise à jour téléchargée. Pensez également aux applications dérivées (Electron, CEF, environnements VDI) qui embarquent leur propre moteur Chromium.
FAQ
Qu'est-ce qu'une faille « wormable » et pourquoi la CVE-2026-45657 en est une ?
Une faille wormable peut être exploitée pour propager automatiquement un code malveillant d'une machine à l'autre, sans aucune action humaine. La CVE-2026-45657 réunit les trois conditions nécessaires : exécution de code à distance, sans authentification, et sans interaction utilisateur, déclenchable par un simple paquet réseau. Un ver pourrait donc se répliquer de proche en proche sur un réseau non segmenté, comme l'a fait WannaCry en 2017 via EternalBlue.
Les trois zero-days de juin 2026 sont-ils activement exploités ?
Ils ont été divulgués publiquement avant la sortie du correctif, mais les sources divergent sur leur exploitation active réelle. Par prudence, on les traite comme des zero-days divulgués : leur connaissance publique réduit l'avance des défenseurs et justifie une priorisation élevée, sans pour autant affirmer une exploitation confirmée. La seule faille dont l'exploitation est avérée ce mois-ci est la CVE-2026-41091 (Microsoft Defender).
Par quoi dois-je commencer avec 208 correctifs à déployer ?
Par les RCE réseau sans authentification ni interaction : CVE-2026-45657 (kernel TCP/IP) et CVE-2026-44815 (DHCP), car elles sont candidates à une propagation automatisée. Ensuite la faille déjà exploitée (CVE-2026-41091) et les trois zero-days divulgués sur vos actifs sensibles. Le reste suit le cycle normal après tests de non-régression. En attendant le déploiement complet, segmentez le réseau et filtrez les ports concernés.
J'ai mis à jour Chrome, suis-je protégé contre la CVE-2026-11645 ?
Seulement si le navigateur a effectivement redémarré sur la version corrigée (149.0.7827.102 ou supérieure). Une mise à jour téléchargée mais non appliquée laisse tourner l'ancien binaire vulnérable tant que Chrome n'a pas été relancé. Vérifiez donc les processus en cours, pas uniquement la version installée, et n'oubliez pas les applications basées sur Chromium (Electron, CEF) ni les environnements VDI.
Conclusion
Le Patch Tuesday de juin 2026 marque un record de volume, mais le vrai sujet n'est pas le nombre : c'est la présence d'une RCE kernel wormable qui ramène le spectre des vers réseau auto-propagés. Face à 208 correctifs, la discipline paie plus que la vitesse aveugle : isolez d'abord les failles à propagation automatique, traitez ce qui est déjà exploité, puis déroulez le reste méthodiquement. Et n'oubliez pas le navigateur — avec un 5e zero-day Chrome exploité cette année, la surface d'attaque côté poste de travail reste tout aussi active que côté serveur.
Commentaires