Patch Tuesday de septembre : Microsoft corrige un nombre record de 974 failles, dont deux zéro-day

La première (CVE-2026-85880) repose sur un dépassement de tampon dans le système d'appels de procédures locales avancées (ALPC) de Windows. Elle permet à un attaquant disposant d'un niveau d'exécution restreint au sein d'un AppContainer de contourner le bac à sable et d'obtenir des privilèges système (SYSTEM) sur la machine ciblée. La seconde (CVE-2026-81963) concerne un défaut de résolution de liens avant l'accès aux fichiers au niveau du composant Windows Update Stack, offrant également aux piratages confirmés un accès avec les privilèges système.

Au total, l'intervention de l'éditeur concerne l'ensemble de son écosystème logiciel :

• Windows : 723 failles corrigées
• Microsoft Office : 222 failles
• SQL Server : 62 failles
• Developer Tools : 22 failles
• SharePoint Server : 16 failles
• Azure : 12 failles
• Skype for Business : 10 failles
• Exchange Server : 9 failles 

Au-delà de l'aspect sécuritaire, cette mise à jour vient résoudre un bug esthétique signalé depuis la fin du mois d'août, qui provoquait l'affichage d'un fond d'écran noir et des dysfonctionnements du curseur de la souris.

L'installation de ces correctifs sera progressivement déployée de manière automatique sur les postes concernés. Les utilisateurs conservent la possibilité de lancer le téléchargement manuellement depuis le menu des paramètres de Windows Update.