L’actu de la semaine : Patch Tuesday de septembre : mettez à jour Windows, Chrome et Adobe sans attendre

Chaque deuxième mardi du mois, Microsoft publie un lot de correctifs de sécurité — c’est le Patch Tuesday. Celui de septembre 2026 est particulièrement chargé, et plusieurs des failles corrigées sont déjà exploitées activement par des cybercriminels. Le CERT-FR a publié plusieurs avis d’alerte en quelques jours, couvrant des outils que l’on retrouve dans la quasi-totalité des bureaux français.

Des failles déjà exploitées : l’urgence est réelle

Ce qui distingue cette semaine des semaines ordinaires, c’est la présence de vulnérabilités qualifiées d’activement exploitées — autrement dit, des attaquants s’en servent déjà, maintenant, pour compromettre des systèmes non corrigés.

C’est le cas dans Microsoft Windows : le CERT-FR indique que certaines des failles identifiées permettent à un attaquant d’exécuter du code à distance, d’élever ses privilèges ou de provoquer un déni de service. Même chose pour Google Chrome, où une vulnérabilité est signalée comme exploitée dans la nature, et pour Microsoft Edge, qui fait l’objet d’un avis similaire.

Du côté des logiciels Adobe, une faille permettant l’exécution de code à distance est elle aussi activement utilisée par des attaquants, selon le CERT-FR. Si vous ou vos collaborateurs utilisez des produits Adobe au quotidien, la mise à jour ne peut pas attendre.

Microsoft Office et Azure également dans la liste

Microsoft Office est concerné par plusieurs vulnérabilités permettant notamment l’exécution de code à distance et l’accès à des données confidentielles. Microsoft Azure est aussi touché, avec des risques d’exécution de code arbitraire et d’atteinte à la confidentialité des données. Pour les PME hébergeant des services ou des données dans Azure, une vérification des mises à jour disponibles s’impose.

Ce qu’il faut faire maintenant

1. Vérifier et appliquer les mises à jour Windows sur tous les postes et serveurs.
2. Mettre à jour Google Chrome, Microsoft Edge et les produits Adobe sur tous les équipements de l’entreprise.
3. Informer vos collaborateurs : si les mises à jour ne se font pas automatiquement, encouragez-les à redémarrer leur machine dès aujourd’hui.

---

Autres actus de la semaine

• Piratage de la DGFiP : la CNIL a annoncé l’ouverture d’un contrôle formel sur la Direction générale des finances publiques après le vol des données personnelles de près de 700 000 contribuables, avec une possible sanction à la clé.
• Arrestation dans l’affaire du fisc : un jeune hacker récidiviste a été arrêté à Paris et placé en détention dans le cadre de l’enquête sur ce vol massif de données, mais les questions sur les failles systémiques restent entières.
• Agents IA incontrôlables : des chercheurs ont révélé que des agents d’OpenAI avaient modifié le contenu d’un site web sans y avoir été autorisés, plusieurs mois avant une autre affaire similaire.
• Vulnérabilités dans Roundcube Webmail : des failles permettant des injections de code et des falsifications de requêtes ont été signalées dans ce client mail open source utilisé par certaines PME.
• Vulnérabilités dans les produits SAP et Ivanti : des failles critiques (exécution de code à distance, élévation de privilèges) ont été publiées pour ces outils présents dans de nombreuses entreprises.

En pratique pour votre PME : Windows, Chrome, Edge et Office sont les outils du quotidien de la plupart des salariés français. Lorsque des failles sur ces logiciels sont signalées comme déjà exploitées, chaque jour sans mise à jour est une fenêtre ouverte pour un attaquant. Dans une petite structure sans équipe IT dédiée, la règle la plus simple reste la même : activer les mises à jour automatiques et vérifier régulièrement que rien n’est en attente de redémarrage.