398 failles corrigées en un mois : l'IA trouve les bugs, mais sait-elle les réparer ?

Le 11 août, Microsoft a publié des correctifs pour au moins 398 vulnérabilités dans Windows et ses logiciels associés. Le mois précédent, le total dépassait 570 — un record. En juin, il approchait 200, ce qui constituait déjà le record d'alors.

Microsoft attribue explicitement cette accélération aux découvertes de vulnérabilités assistées par intelligence artificielle. Le constat fait consensus chez les spécialistes : les utilisateurs de Windows doivent s'habituer à des mardis de correctifs comptant plusieurs centaines de failles.

Ce qu'il y a dans le lot d'août

• 42 failles classées « critiques » par Microsoft, c'est-à-dire exploitables pour prendre le contrôle d'une machine à distance sans intervention notable de l'utilisateur.

• Une seule faille zero-day connue : CVE-2026-68820, une élévation de privilèges dans afd.sys, décrit par la société Automox comme « le pilote derrière les connexions socket de Windows sur pratiquement tous les postes ».

• Deux failles divulguées publiquement avant le correctif, dont CVE-2026-62832 dans le service de profils utilisateurs, que Microsoft juge probablement exploitable.

La description que fait Automox du zero-day mérite d'être citée, parce qu'elle décrit exactement comment ces failles s'utilisent en pratique :

Ce n'est pas un bug de porte d'entrée. C'est l'étape deux d'une chaîne : un attaquant obtient par hameçonnage un accès à faibles privilèges, puis se sert de la faille du pilote pour prendre la machine. Le score de 7,0 reflète la complexité élevée de l'attaque, parce que les situations de compétition sont capricieuses. Il faut relancer l'exploitation encore et encore jusqu'à ce que le timing tombe juste. Quelqu'un y arrive manifestement.

Le vrai sujet : réparer n'est pas trouver

L'IA est devenue très efficace pour repérer des failles dans du code. Adobe est passée à deux bulletins de sécurité par mois, Cisco, Google, Mozilla et Oracle publient également bien plus souvent et bien plus abondamment.

Mais la correction, elle, reste une affaire très humaine — et c'est là que l'histoire devient intéressante. Des chercheurs de 1Password ont examiné ce qui se passe quand différents grands modèles de langage génèrent des correctifs pour des vulnérabilités complexes récemment divulguées. Résultat : les modèles ont produit des correctifs qui ne corrigeaient pas la faille, ou introduisaient une nouvelle faiblesse, ou les deux, plus d'une fois sur deux.

Ed Skoudis, président du SANS Technology Institute, dit obtenir d'excellents résultats avec l'IA pour générer des correctifs — à une condition explicite :

L'IA devient extraordinairement bonne pour trouver des vulnérabilités, mais ces travaux montrent que les réparer est un problème très différent. N'attendez pas d'un correctif généré du premier coup qu'il fonctionne de manière fiable. Itérez, testez, contestez, améliorez, vérifiez. L'IA peut être une partenaire de correctif extraordinaire, mais elle a encore besoin aujourd'hui d'un humain compétent au clavier.

Faut-il se précipiter ?

Non, et c'est le conseil le plus contre-intuitif de ce dossier. Tyler Reguly, de Fortra, rappelle que sur les presque 400 failles corrigées ce mois-ci, une seule est activement exploitée. Le volume affole les tableaux de bord ; il ne change pas l'urgence réelle.

Il n'y a pas besoin de précipiter ces mises à jour, quoi qu'en disent divers éditeurs et organisations. Vous devez vous assurer que vous déployez des mises à jour sûres qui n'auront pas d'impact négatif sur vos systèmes.

Le conseil pratique qui en découle vaut pour tout le monde, entreprise ou particulier : sauvegardez avant d'appliquer un lot de cette taille, et n'hésitez pas à attendre quelques jours. Il faut parfois un ou deux jours pour qu'un correctif mal élevé soit rectifié par Microsoft.

Source

Krebs on Security, « Microsoft Plugs Nearly 400 Security Holes », 11 août 2026, citant Automox, 1Password, le SANS Technology Institute et Fortra.