<p>Le CERT-FR a publié le 4 août 2026 un avis sur de multiples vulnérabilités dans Microsoft Edge : toutes les versions antérieures à 151.0.4129.59...
Un navigateur web est rarement perçu comme un logiciel sensible. Il est pourtant, sur la plupart des postes d'une petite entreprise, la porte par laquelle passent la messagerie, l'application de facturation, l'espace bancaire et les outils métier en ligne. C'est aussi le programme le plus exposé aux contenus extérieurs, puisque son rôle consiste précisément à exécuter du code venu de sites que personne n'a validés.
Le CERT-FR a publié le 4 août 2026 un avis signalant de multiples vulnérabilités dans Microsoft Edge (avis CERTFR-2026-AVI-0967). Toutes les versions antérieures à 151.0.4129.59 sont concernées. L'avis du CERT-FR s'appuie sur 89 bulletins de sécurité publiés par Microsoft le 31 juillet 2026, portant les références CVE-2026-17871 à CVE-2026-17959. Le nombre peut surprendre: il traduit surtout le rythme de correction d'un navigateur moderne, où chaque anomalie mémoire identifiée fait l'objet d'un bulletin distinct.
Deux précisions méritent d'être relevées, telles qu'elles figurent dans l'avis du 4 août 2026. D'une part, Microsoft n'a pas détaillé la nature du risque associé à ces correctifs. D'autre part, le CERT-FR ne signale aucune exploitation réelle à cette date. Il ne s'agit donc pas d'une urgence de crise, mais d'une mise à jour de fond à ne pas laisser traîner: la publication des correctifs donne aux attaquants une base de travail, et l'écart entre le correctif et son application constitue la fenêtre qu'ils cherchent à exploiter. Edge est installé par défaut sur les postes Windows. Même dans une entreprise qui a standardisé un autre navigateur, il reste présent, il s'ouvre au moindre lien cliqué depuis certaines applications, et il est souvent le moins surveillé du parc.
Le scénario redouté n'a rien d'exotique: un collaborateur clique sur un lien dans un courriel frauduleux, ou consulte un site légitime dont une régie publicitaire a été détournée. Sur un navigateur à jour, il ne se passe généralement rien. Sur un navigateur en retard de plusieurs versions, la même visite peut suffire à installer un logiciel espion ou un outil d'accès distant, sans aucune action supplémentaire de l'utilisateur.
Il existe un piège spécifique à connaître: Edge télécharge ses mises à jour automatiquement, mais celles-ci ne deviennent actives qu'au redémarrage du navigateur. Un poste allumé en continu, avec une session Edge jamais fermée depuis plusieurs semaines, peut donc rester vulnérable alors que le correctif est déjà présent sur le disque. C'est une situation fréquente sur les postes d'accueil, de caisse ou d'atelier.
Ce qu'il faut faire
1. Vérifier la version sur chaque poste. Ouvrir le menu Edge, puis « Aide et commentaires » > « À propos de Microsoft Edge ». L'ouverture de cette page déclenche la recherche de mise à jour et affiche la version installée. Elle doit être égale ou supérieure à 151.0.4129.59.
2. Cliquer sur « Redémarrer » si le bouton apparaît. C'est l'étape que l'on oublie et sans laquelle le correctif téléchargé n'est pas appliqué.
3. Instaurer une habitude simple. Demander aux collaborateurs de fermer complètement le navigateur en fin de journée, plutôt que de laisser la session ouverte en permanence. Cette seule pratique règle la majorité des retards d'application des correctifs.
4. Sur un parc géré, contrôler la politique de déploiement. Vérifier via Microsoft Intune ou votre outil d'administration que la mise à jour automatique est active et qu'aucune règle de report ne bloque la version cible. Ces paramètres sont donnés à titre indicatif et doivent être validés sur votre propre configuration.
5. Traiter en priorité les postes les plus exposés. Ceux qui accèdent à la banque en ligne, à la paie ou aux données clients méritent d'être vérifiés en premier, avant une généralisation au reste du parc.
6. Profiter de l'occasion pour les autres navigateurs. Chrome et Firefox sont souvent installés en parallèle et plus rarement suivis. Le contrôle prend quelques minutes de plus.
7. Valider sur un poste témoin avant un déploiement général. Sur un parc où des applications métier dépendent du navigateur, un test préalable évite d'immobiliser tout le monde. Aucune exploitation n'est signalée à ce jour selon le CERT-FR, et cette situation peut évoluer: le statut à jour est celui publié par le CERT-FR et par Microsoft. La bonne réaction n'est donc pas l'inquiétude, mais la routine — vérifier une version, redémarrer un navigateur. C'est le genre de geste de cinq minutes qui rend inutiles bien des heures de remédiation.
- CERT-FR (ANSSI), avis CERTFR-2026-AVI-0967, « Multiples vulnérabilités dans Microsoft Edge », 4 août 2026 — cert.ssi.gouv.fr
- Microsoft Security Response Center, bulletins de sécurité du 31 juillet 2026, références CVE-2026-17871 à CVE-2026-17959 — msrc.microsoft.com
Synthèse rédactionnelle originale de TICLIC, établie à partir de la veille du 5 août 2026. Les éléments chiffrés (nombre de bulletins, numéro de version, références CVE, dates) proviennent de l'avis du CERT-FR du 4 août 2026 et des bulletins de l'éditeur du 31 juillet 2026, consultés le 5 août 2026. Ces deux sources se recoupent, l'une étant institutionnelle et l'autre émanant de l'éditeur du produit; aucune vérification complémentaire par une troisième source indépendante n'a été effectuée, et l'absence d'exploitation connue est un état constaté à cette date, susceptible d'évoluer.