Patch Tuesday de septembre : Microsoft répare ses propres correctifs

Microsoft a passé l’été à démontrer qu’il pouvait trouver des failles plus vite que quiconque. Depuis juin, chaque bulletin mensuel en corrige des centaines, et celui du 8 septembre 2026 a frôlé le millier — un record maison, obtenu grâce à une traque outillée à l’IA, avec son harnais MDASH et son infrastructure Perception. Neuf jours plus tard, Next dresse l’inventaire de ce que l’avalanche a emporté au passage.

Corriger, c’est modifier ; modifier, c’est casser

Une régression, c’est un effet de bord : le correctif part réparer une chose et en abîme une autre, sans que les tests de qualité s’en aperçoivent. Mécaniquement, plus vous corrigez de failles, plus vous touchez de lignes, et plus vous ouvrez de portes à ce genre d’accident. Next s’était posé la question au moment du record ; le mois de septembre y a répondu sans qu’on ait besoin d’insister.

Deux urgences réparées le 14 septembre

Microsoft a publié KB5129195 hors cycle, c’est-à-dire sans attendre octobre. Ces publications-là sont rares, et servent d’ordinaire à colmater une brèche de sécurité plutôt qu’à réparer des fonctions cassées — c’est l’outil qu’on sort quand ça dérape, pas celui de l’entretien courant.

Le plus gênant concernait les services de bureau à distance. D’après Bleeping Computer, des entreprises ont vu leurs serveurs RDS tenir quelques heures, parfois moins, avant que les connexions cessent d’aboutir ; les sessions existantes ne se fermaient plus correctement, et il fallait dans certains cas un redémarrage forcé pour récupérer le service. Le vrai danger n’était pas la panne : certains administrateurs ont fini par désinstaller la mise à jour fautive, qui corrigeait justement une faille RDS notée 9,8 sur l’échelle CVSS. Réparer vite relevait donc moins du confort que de la nécessité.

Second correctif du 14 septembre : le partage de dossiers vers les machines virtuelles Linux gérées par HCS ne fonctionnait plus dès lors que Plan9 était utilisé sur l’hôte Windows, avec effet boule de neige sur le sous-système Linux (WSL) et sur Claude Cowork. Les machines Hyper-V classiques s’en sortaient, à condition de ne pas passer par Plan9.

Le son, la confiance, et ce qui reste ouvert

Tout n’est pas refermé. Des périphériques audio USB sont devenus inutilisables : absence de son, volume impossible à modifier sur le système, paramètres audio inaccessibles, le tout centré sur les fonctions multicanaux. La mise à jour du 14 ne répare qu’une partie du tableau — les modes 8 canaux et 3D reviennent, d’autres périphériques restent muets, et certains microphones aussi, relève Windows Latest.

L’autre plaie vise les entreprises : sur les comptes protégés par Credential Guard, des machines perdent leur approbation de domaine et affichent que la relation de confiance avec Active Directory est rompue. Microsoft indique dans ses notes avoir identifié l’origine du problème. Au 17 septembre, des difficultés restent ouvertes du côté d’Excel et d’Active Directory.

L’IA en faute, vraiment ?

Attention au raccourci : dans ce que décrit Next, l’IA a servi à détecter les failles, pas à écrire les correctifs. Ce qu’elle a changé, c’est le débit. Et un débit pareil arrive dans la même chaîne de tests qu’avant, avec les mêmes journées de vingt-quatre heures.

On peut désormais trouver mille failles par mois avec une machine. Les relire, apparemment, prend toujours autant de temps.