Patch Tuesday avril 2026 : Microsoft corrige 165 vulnérabilités dont deux zero-day

Un Patch Tuesday record pour avril 2026

Le bulletin de sécurité d'avril marque un tournant dans l'année 2026 pour Microsoft. Avec 165 correctifs déployés simultanément, il s'agit de la plus importante mise à jour mensuelle depuis janvier. Les administrateurs système comme les particuliers ont tout intérêt à appliquer ces patchs rapidement : parmi les failles répertoriées figurent huit vulnérabilités critiques et surtout deux failles zero-day, dont l'une faisait déjà l'objet d'une exploitation active au moment de la publication.

Deux failles zero-day à corriger immédiatement

SharePoint Server — CVE-2026-32201 (CVSS 6.5)

La première zero-day touche Microsoft SharePoint Server. Classée comme une vulnérabilité de type spoofing, elle exploite un défaut dans la validation des données entrantes. Concrètement, un attaquant distant et non authentifié peut consulter ou altérer des informations sensibles hébergées sur un serveur SharePoint exposé, sans pour autant compromettre la disponibilité du service. Cette faille était déjà exploitée dans la nature avant la publication du correctif, ce qui en fait la priorité absolue de ce Patch Tuesday.

Microsoft Defender — CVE-2026-33825 (CVSS 7.8)

La seconde zero-day concerne la plateforme antimalware Microsoft Defender. Elle permet à un processus malveillant d'effectuer une élévation de privilèges jusqu'au niveau SYSTEM, c'est-à-dire le plus haut degré d'autorisation disponible sous Windows. Même si aucune exploitation active n'a encore été documentée, la faille avait été divulguée publiquement avant l'arrivée du patch — un signal d'alerte sérieux. Le correctif est intégré à la version 4.18.26050.3011 de Defender et se déploie normalement de manière automatique via Windows Update.

Huit vulnérabilités critiques à ne pas négliger

Au-delà des deux zero-day, ce Patch Tuesday corrige un ensemble impressionnant de failles réparties sur l'ensemble de l'écosystème Microsoft :

Parmi les huit failles critiques, sept relèvent de l'exécution de code à distance et une d'un déni de service. Les composants touchés incluent Microsoft Office, Word, le client Bureau à distance (Remote Desktop), Active Directory, Windows TCP/IP et les extensions IKE — autant de briques fondamentales de l'infrastructure Windows.

Pourquoi appliquer ce correctif sans attendre ?

Chaque mois, le Patch Tuesday représente la fenêtre de tir la plus importante pour sécuriser son parc informatique. Mais ce mois d'avril est particulièrement critique :

Pour les entreprises, la marche à suivre est claire : tester les correctifs sur un environnement de staging si nécessaire, puis les déployer le plus rapidement possible sur l'ensemble du parc. Pour les particuliers, un simple redémarrage après mise à jour via Windows Update suffit généralement.

Ressources et liens utiles

Consultez le bulletin officiel de Microsoft pour la liste complète des CVE corrigés et les détails techniques de chaque vulnérabilité.