Le 14 juillet, Microsoft a publié le plus gros Patch Tuesday de son histoire : environ 570 vulnérabilités corrigées (622 CVE en comptant toutes les entrées du Security Update Guide, hors failles Chromium d'Edge), dont une soixantaine jugées critiques et trois zéro-days. Microsoft attribue une partie de ce volume à un système interne de découverte de vulnérabilités assisté par IA. Autrement dit : ce niveau de volume est probablement la nouvelle norme, pas une anomalie.
Mais le chiffre qui devrait retenir l'attention d'un propriétaire de risque n'est pas 570. C'est 3 : le nombre de jours que la CISA a accordés aux agences fédérales américaines pour corriger l'une des failles activement exploitées. Quand le régulateur du pays le plus outillé au monde estime que la fenêtre acceptable se mesure en jours, votre cycle mensuel de correctifs a un problème de conception.
Les deux failles déjà exploitées
Deux zéro-days étaient activement exploités avant même la publication des correctifs.
- CVE-2026-56155, Active Directory Federation Services. Une élévation de privilèges qui donne à un attaquant local le contrôle administrateur du serveur AD FS. La découverte vient de l'équipe de réponse à incident de Microsoft elle-même : elle a été trouvée sur le terrain, pendant des interventions. Or un AD FS compromis permet de forger des jetons et d'usurper n'importe quel utilisateur sur tous les services fédérés. C'est une clé maîtresse de votre identité.
- CVE-2026-56164, SharePoint Server. Une faille d'authentification manquante, exploitable à distance sans authentification ni interaction. Elle a été utilisée en chaîne avec deux autres failles (usurpation puis exécution de code) pour voler les clés machine IIS et installer une persistance. Le 15 juillet, Microsoft a confirmé l'exploitation d'une quatrième faille SharePoint (CVE-2026-58644, notée 9,8).
Le détail des clés machine IIS mérite une pause : quand un attaquant vole des secrets cryptographiques, appliquer le correctif ne l'expulse pas. Il faut aussi faire tourner les clés. Un programme qui mesure « correctif appliqué » sans mesurer « secrets rotés » peut se croire protégé tout en restant compromis.
La leçon la plus importante : la sévérité n'est pas la priorité
Voici le fait le plus instructif du mois. La faille SharePoint activement exploitée, sans authentification, par le réseau, a été publiée par Microsoft avec un score CVSS de 5,3, soit « modérée ». Tenable, de son côté, l'évalue à 9,8. Une politique de correctifs du type « on traite les critiques sous 15 jours, le reste au cycle suivant » aurait relégué la faille la plus dangereuse du mois en queue de file.
À l'inverse, le signal fiable était ailleurs : la CISA a inscrit la faille à son catalogue des vulnérabilités activement exploitées le jour même, avec une échéance de correction au 17 juillet. Trois jours, contre les deux à trois semaines habituelles.
La règle de gouvernance qui en découle est simple : on priorise sur la preuve d'exploitation (catalogue KEV, renseignement sur les menaces, scores EPSS), pas sur le score de sévérité seul. Nous l'avions déjà documenté : entre la divulgation d'une faille critique et son exploitation de masse, il s'écoule désormais des heures, pas des semaines.
Ce que votre programme devrait retenir
- Créez une voie d'urgence mesurée en jours. Votre SLA standard peut rester mensuel. Mais il vous faut une voie express pour les failles activement exploitées, avec un objectif de 72 heures et un circuit de décision qui ne passe pas par le comité de changement mensuel.
- Traitez l'infrastructure d'identité comme un actif de niveau zéro. AD FS, contrôleurs de domaine, fournisseurs SSO : une compromission s'y propage à tout le reste. Cette classe d'actifs mérite le SLA le plus court et, après correctif, une rotation des clés et certificats.
- Raisonnez en chaînes, pas en CVE isolées. L'attaque SharePoint combinait une faille à 6,5, une à 8,8 et une élévation de privilèges. Compter les CVE corrigées une à une masque le risque de la chaîne ; l'unité de remédiation pertinente est le produit exposé.
- Mesurez la fenêtre d'exposition, pas le taux de correctifs. La métrique qui compte pour un conseil n'est pas « 98 % des correctifs appliqués », c'est « combien de jours sommes-nous restés exposés sur les failles activement exploitées ». La première flatte ; la seconde gouverne.
- Sortez ce qui n'a pas besoin d'être exposé. SharePoint et AD FS sur site, joignables depuis Internet, étaient les cibles. Chaque service historique exposé est une décision de risque qui se réévalue, pas un état de fait.
La question pour le conseil
Si un volume de 570 failles par mois devient la norme, la question du conseil n'est pas « avons-nous tout corrigé », qui n'a plus de sens, mais : « sur les failles dont l'exploitation est prouvée, quelle a été notre fenêtre d'exposition le mois dernier, et qui est responsable de la réduire ». C'est une métrique simple, comparable d'un trimestre à l'autre, et elle résume à elle seule la maturité du programme.
Où FortaRisks intervient
Le module Renseignement sur les menaces de FortaRisks croise vos actifs avec l'exploitation réelle observée, catalogue KEV, EPSS et flux de renseignement, pour que la file de correctifs reflète le risque réel plutôt que le score CVSS brut. Et pour situer votre exposition globale en quelques minutes, notre score de risque cyber gratuit vous donne un point de départ chiffré, présentable à un comité de direction.