Analyse Patch Tuesday Janvier 2026

Satnam Narang, Senior Staff Research Engineer chez Tenable partage son analyse sur la mise à jour du Patch Tuesday de Microsoft de ce mois-ci.

Microsoft a annoncé son premier Patch Tuesday de l’année, corrigeant 113 vulnérabilités (CVE), dont deux failles zero-day, parmi lesquelles une activement exploitée. Pour la deuxième année consécutive, la mise à jour de janvier dépasse la barre des 100 vulnérabilités, dès le premier Patch Tuesday de l’année.

Nouvelle réalité

Nouvelle réalité : plus de 1 000 CVE par an, c’est désormais la norme. Pour la deuxième année consécutive, la mise à jour de janvier dépasse la barre des 100 vulnérabilités, dès le premier Patch Tuesday de l’année.

Ce mois-ci, 113 CVE ont été corrigées, dont huit classées critiques.

Faille zero-day de divulgation d’informations affectant le Desktop Window Manager

La CVE-2026-20805 se distingue particulièrement ce mois-ci. Il s’agit d’une faille zero-day de divulgation d’informations affectant le Desktop Window Manager (DWM), un composant clé de l’affichage des fenêtres à l’écran. Son exploitation nécessite un accès local au système ciblé et permet la divulgation d’informations sensibles. Si le DWM est un composant régulièrement concerné par les Patch Tuesday – avec 20 CVE corrigées dans cette bibliothèque depuis 2022 – c’est la première fois que nous observons une faille de divulgation d’informations dans ce composant exploitée activement.

Historiquement, les attaquants l’utilisaient surtout pour élever leurs privilèges (CVE-2023-36033, CVE-2024-30051).

Trois certificats Windows Secure Boot à expiration en juin et octobre 2026

Microsoft a également indiqué que trois certificats Windows Secure Boot arriveront à expiration en juin et octobre 2026. Ces certificats servent à signer les mises à jour des composants de Windows Secure Boot, une fonctionnalité essentielle d’intégrité et de sécurité – de véritables “gardiens numériques” destinés à bloquer des menaces telles que les rootkits et les bootkits.

Les utilisateurs et organisations concernés sont ceux dont les certificats incluent la mention 2011 dans leur intitulé (Microsoft Corporation KEK CA 2011, Microsoft Corporation UEFI CA 2011, Microsoft Windows Production PCA 2011). Il est crucial de migrer vers les certificats les plus récents (2023) afin de continuer à recevoir les futures mises à jour de sécurité.

Deux vulnérabilités d’exécution de code à distance affectant Microsoft Office

Enfin, deux vulnérabilités d’exécution de code à distance affectant Microsoft Office ont été corrigées ce mois-ci (CVE-2026-20952, CVE-2026-20953). Elles peuvent être exploitées via des fichiers Microsoft Office malveillants.

Bien que ces failles soient classées comme “moins susceptibles d’être exploitées”, elles peuvent l’être via le volet de prévisualisation de Microsoft, ce qui signifie qu’un attaquant peut exécuter du code sans même que l’utilisateur n’ouvre le fichier. Dans le paysage de menaces actuel, un simple coup d’œil peut suffire à exposer un système.

Dossiers complémentaires sur le sujet avec les experts du site iTPro.fr

Microsoft Patch Tuesday Mars 2025

Microsoft Patch Tuesday Mai 2025

Microsoft Patch Tuesday Juin 2025

Microsoft Patch Tuesday Août 2025

Microsoft Patch Tuesday Octobre 2025

Microsoft Patch Tuesday Novembre 2025