<p>La vague de correctifs du 11 août 2026, reprise par le CERT-FR, touche plus de soixante-dix bulletins. L'essentiel pour une PME tient à trois...
Le deuxième mardi de chaque mois, Microsoft publie ses correctifs de sécurité. La plupart du temps, l'affaire se règle toute seule: Windows Update fait son travail, les postes redémarrent, personne n'y pense. La vague du 11 août 2026 mérite un traitement un peu plus attentif, parce qu'elle touche des serveurs que Windows Update ne met pas à jour tout seul. Le CERT-FR a repris cette vague le 12 août 2026 dans son avis CERTFR-2026-AVI-1004, qui recense plus de soixante-dix bulletins de l'éditeur. Les risques listés vont jusqu'à l'exécution de code arbitraire à distance, l'élévation de privilèges et le déni de service à distance.
Ni le CERT-FR ni les bulletins Microsoft cités ne font état, à la date de leur publication, d'une exploitation confirmée de ces vulnérabilités. L'urgence ne vient donc pas d'une attaque en cours, mais du volume de correctifs et de la sensibilité des composants concernés. Ce statut est susceptible d'évoluer et doit être revérifié auprès des sources officielles. Toutes les entreprises ne sont pas concernées de la même façon. Si vous êtes entièrement passé sur Microsoft 365 en ligne, l'essentiel de la charge est portée par l'éditeur. Si vous conservez des serveurs dans vos murs, en revanche, trois éléments demandent une décision de votre part.
Exchange Server. Les versions 2016 CU23, 2019 CU14 et CU15 ainsi que la Subscription Edition sont concernées. Un serveur de messagerie interne est très souvent joignable depuis Internet — c'est ce qui permet de relever ses mails de l'extérieur — et constitue donc une cible de premier choix. SharePoint Server 2016, 2019 et Subscription Edition. Même logique: un portail documentaire hébergé en interne concentre des fichiers sensibles et se trouve fréquemment publié.
Microsoft Entra Connect, à passer en version 2.6.84.0 ou ultérieure. Ce composant discret synchronise les comptes de votre annuaire local vers Microsoft 365. Il détient des droits élevés des deux côtés: le compromettre revient à obtenir les clés de l'ensemble.
Ce qui échappe à Windows Update
C'est le piège classique de cette vague. Les correctifs des postes de travail arrivent normalement par Windows Update, mais plusieurs composants suivent leur propre canal de distribution: PowerShell 7.4 à 7.6, App Installer et Visual Studio sur les postes de développement. Les applications mobiles Teams pour Android et iOS ainsi que OneDrive pour macOS sont également concernées et se mettent à jour via les magasins d'applications ou votre outil de gestion de parc.
Concrètement, un parc dont on considère qu'il « est à jour parce que Windows Update tourne » peut très bien conserver des composants vulnérables pendant des mois. Faites l'inventaire avec votre prestataire de ce qui tourne encore en interne: Exchange, SharePoint, Entra Connect. C'est le point de départ, et il prend une demi-heure. Planifiez une fenêtre de maintenance avec un point de retour arrière — sauvegarde vérifiée ou instantané de machine virtuelle — avant toute intervention sur un serveur. Testez hors production quand vous en avez la possibilité.
Contrôlez le résultat côté utilisateurs après la mise à jour d'Exchange: réception et envoi depuis les postes, mais aussi depuis les téléphones, qui sont souvent les premiers à décrocher. Traitez séparément PowerShell 7, Visual Studio, les applications Teams mobiles et OneDrive pour macOS, qui ne passeront pas par Windows Update.
Formalisez un calendrier récurrent. Si vous n'avez pas aujourd'hui de rendez-vous mensuel de mise à jour avec votre prestataire, la vraie action à retenir de cet article est de l'inscrire au contrat.
Les numéros de version et identifiants mentionnés sont donnés à titre indicatif à la date du 15 août 2026: ils doivent être validés sur votre infrastructure et confrontés aux bulletins de l'éditeur avant application en production. Une vague de correctifs de cette taille n'est pas une urgence à traiter dans l'heure, mais elle ne se traite pas non plus toute seule. La différence entre les deux se joue sur un point simple: savoir précisément quels serveurs vous hébergez encore, et qui est responsable de leur mise à jour. CERT-FR, avis CERTFR-2026-AVI-1004 relatif aux vulnérabilités corrigées par Microsoft, 12 août 2026. Microsoft Security Response Center, bulletins de sécurité du 11 août 2026 (Security Update Guide).
Synthèse rédactionnelle originale de TICLIC, établie à partir de la veille du 15 août 2026. Les listes de produits, numéros de version et dates proviennent des avis cités et n'ont pas fait l'objet d'une vérification indépendante complémentaire lors de la rédaction; l'absence d'exploitation confirmée est celle constatée par le CERT-FR à la date de son avis et peut avoir évolué depuis.