Multiples vulnérabilités affectant les produits Microsoft

Microsoft est un éditeur de logiciels dont la gamme de produits (Windows Server, DNS Server, Exchange Server, etc.) est largement déployée en environnement professionnel. Dans le cadre de son Patch Tuesday de septembre 2026, Microsoft a corrigé 964 vulnérabilités, dont une centaine classées critiques. Ces produits sont affectés par plusieurs vulnérabilités libellées comme suit : CVE-2026-69730 (CVSS 9.8) : exécution de code à distance via le rôle DNS Server, due à une faille d'utilisation après libération (use-after-free) exploitable sans authentification par l'envoi d'un paquet réseau spécialement conçu ; CVE-2026-69525 (CVSS 9.8) : exécution de code à distance via les services Bureau à distance (Remote Desktop Services), due à une vulnérabilité d'utilisation après libération ; CVE-2026-69676 (CVSS 8.8) : exécution de code à distance par contournement de l'authentification par rejeu (capture-replay) dans Windows Kerberos, exploitable par un acteur malveillant disposant d'un accès à faibles privilèges ; CVE-2026-69380 (CVSS 8.1) : élévation de privilèges due à une absence de contrôle d'autorisation dans Microsoft Exchange Server, permettant à un utilisateur authentifié disposant d'une simple boîte aux lettres d'accéder aux boîtes d'autres utilisateurs, d'envoyer et de recevoir des courriels en leur nom et de consulter leurs pièces jointes ; CVE-2026-81963 (CVSS 7.8) : élévation de privilèges de type zero-day via une faille de suivi de liens dans la pile Windows Update, permettant d'obtenir les privilèges SYSTEM, activement exploitée. Compte tenu de la criticité de ces vulnérabilités, il est fortement recommandé d'appliquer immédiatement les mises à jour de sécurité publiées par Microsoft sur l'ensemble des produits concernés.

• Produits Microsoft ne disposant pas de la mise à jour de sécurité du 09/09/2026, notamment les serveurs Windows exécutant les rôles DNS Server, RDP et Kerberos, et les serveurs Exchange.