Patch Tuesday a corrigé 622 défauts. Mais cela ne corrigeait pas les mouvements latéraux.
La version sécurisée de Microsoft en juillet 2026 a établi un nouveau record. L’entreprise a corrigé 622 défauts, triplant l’ancien record de 200 corrigé un mois plus tôt.
Deux étaient déjà attaqués, et Microsoft a révélé que les deux étaient des défauts zero-day :
- CVE-2026-56155 dans Active Directory Federation Services. Un attaquant qui dispose déjà d’un accès local sur un serveur AD FS peut accéder aux privilèges administrateurs. Microsoft lui a donné une note de 7,8.
- CVE-2026-56164 dans SharePoint Server. Un attaquant non authentifié peut escalader des privilèges sur le réseau, sans avoir besoin d’identifiants. Microsoft lui a donné 5,3, ou modéré, et la CISA a confirmé l’exploitation active le même jour.
Le volume de vulnérabilités n’est qu’un symptôme du problème plus large. À mesure que Mythos et d’autres systèmes d’IA de pointe progressent, l’IA aide les équipes de sécurité à détecter les failles cachées plus rapidement et à une échelle bien plus grande. Chacun de ces défauts finira par être corrigé. Mais le patching ne fait rien contre un attaquant déjà à l’intérieur du réseau.
Microsoft a averti que ces progrès augmenteront les exigences opérationnelles des équipes de sécurité. Plus de défauts sont découverts signifie plus de mises à jour à évaluer, tester, classer et déployer.
Trouver les vulnérabilités plus rapidement est sans aucun doute bénéfique pour la sécurité. Mais cela ne signifie pas que les équipes peuvent réparer tous les systèmes à la même vitesse machine.
« Les cycles de correctifs existants n’étaient déjà pas à la hauteur du rythme de découverte et d’exploitation des vulnérabilités avant Mythos », a déclaré Michael Adjei, directeur de l’ingénierie des systèmes chez Illumio. « Ça ne sera certainement pas à la hauteur maintenant. »
Le patching peut fermer le point d’entrée, mais le vrai risque commence lorsque les attaquants prennent pied — lorsqu’ils enchaînent des faiblesses, volent des identifiants, augmentent les privilèges, se déplacent latéralement et atteignent des systèmes critiques.
C’est une distinction cruciale. Une brèche n’est pas définie par la faille utilisée par un attaquant pour entrer, mais par la distance parcourue par la suite. Le patching est un jeu que les défenseurs ne peuvent pas gagner, et le gagner ne changerait pas le résultat de toute façon. La seule variable que les défenseurs contrôlent réellement est la distance qu’un intrus peut parcourir une fois à l’intérieur. Et cette distance est fixée par la visibilité, la segmentation et le confinement.
La fenêtre de patching se referme
Comme nous l’avons abordé dans La course pour empêcher l’IA de transformer les vulnérabilités en brèches, les attaquants ont beaucoup moins de temps à attendre, et les défenseurs beaucoup moins de temps pour réagir.
L’Horloge Zéro Jour montre que le temps médian entre la divulgation et l’exploitation confirmée est passé d’environ 10 mois en 2021 à seulement trois heures en 2026.
Un patching plus rapide reste important car cela réduit la fenêtre. Mais cela ne le ferme pas.
Les équipes doivent prioriser les vulnérabilités exploitées connues, automatiser lorsque cela est possible, et raccourcir les cycles de tests et d’approbation pour les mises à jour urgentes.
Mais les patchs ont des limites.
« De nombreuses organisations ont une dette héritée », a déclaré Adjei. « Ils ne peuvent pas simplement détruire des systèmes critiques pour appliquer un correctif. Le patching nécessite l’acquisition, les tests de régression, des vérifications d’intégrité, le déploiement et la validation. »
Ces étapes prennent du temps. Les systèmes critiques ne peuvent pas toujours être hors ligne, et les mises à jour doivent être testées avant leur production. Faire des patchs plus rapides n’est pas la seule solution.
Cela laisse un écart inévitable entre le jour où un patch sort et celui de son déploiement.
Quand les assaillants arrivent les premiers
L’avertissement de juillet de la CISA incluait une vulnérabilité Microsoft SharePoint déjà exploitée, ce qui soulève une grande question : que se passe-t-il lorsqu’un attaquant atteint le système vulnérable avant le déploiement d’un correctif ?
Une série d’attaques survenue un an plus tôt, la campagne SharePoint ToolShell de juillet 2025, montre ce qui peut arriver. Les attaquants ont exploité les failles SharePoint sur des serveurs locaux et orientés vers Internet.
Microsoft a identifié trois acteurs menaçants basés en Chine exploitant ces vulnérabilités :
- Typhon du lin : Un groupe d’espionnage soutenu par l’État chinois qui a utilisé les failles de SharePoint pour un accès initial. Le groupe s’est historiquement appuyé sur des exploits existants pour compromettre des organisations et voler des propriétés intellectuelles.
- Typhon violet : Un groupe d’espionnage soutenu par l’État chinois qui a exploité les failles de SharePoint contre des serveurs exposés. Le groupe est connu pour scanner les infrastructures connectées à Internet, exploiter les faiblesses et installer des webshells.
- Tempête-2603 : Un acteur basé en Chine qui a exploité les failles de SharePoint et tenté de voler SharePoint MachineKeys. Microsoft a observé le groupe utiliser l’accès pour déployer le ransomware Warlock et l’avait déjà vu utiliser LockBit.
Les rapports de Microsoft montrent que l’exploitation ne s’est pas arrêtée au serveur SharePoint vulnérable. Storm-2603 a utilisé son accès pour la découverte, le vol de références, le déplacement latéral avec des outils tels que PsExec et Impacket, et finalement le déploiement de ransomwares.
La campagne ToolShell montre pourquoi exploiter une vulnérabilité n’est que le début. Ces défauts offraient aux assaillants une porte d’entrée. Ce qu’ils faisaient après avoir obtenu l’accès déterminait jusqu’où l’attaque pouvait s’étendre.
Comment une vulnérabilité devient un accès
Une vulnérabilité n’est qu’une faiblesse. Les attaquants doivent quand même trouver un moyen de l’utiliser.
Un attaquant trouve une faille et construit ou adapte un exploit. Si l’exploit fonctionne, il peut permettre à l’attaquant d’exécuter du code à l’intérieur du programme vulnérable. Ce code peut ouvrir une connexion distante, donnant à l’attaquant le contrôle du système. À partir de là, l’attaquant peut installer des malwares, augmenter ses privilèges ou se préparer à s’enfoncer davantage dans l’environnement.
Tous les exploits ne suivent pas exactement ces étapes. Certaines attaques utilisent des identifiants volés, des outils intégrés ou des commandes directes au lieu de shellcode et d’un shell inversé. Mais l’objectif reste le même : transformer un défaut logiciel en accès.
« Il y a deux choses principales qu’un attaquant doit faire », a déclaré Adjei. « D’abord, exploiter une vulnérabilité pour prendre pied. Deuxièmement, utiliser ce point d’appui pour se répandre dans l’environnement et atteindre un objectif. »
Un parcours courant ressemble à ceci :
- Découvrez la vulnérabilité. Les attaquants détectent des faiblesses en rétro-ingénierie, en fuzzing ou en analysant le code et les dépendances.
- Exploitez le programme vulnérable. Ils utilisent ou adaptent un exploit pour tirer parti de la faille. Cela peut permettre l’exécution à distance du code, contourner les contrôles de sécurité, augmenter les privilèges ou exposer des informations.
- Prenez le contrôle du flux du programme. Dans certaines attaques, un shellcode ou un autre code malveillant permet à l’attaquant de contrôler le fonctionnement du programme vulnérable.
- Établissez un accès à distance. L’attaquant peut ouvrir un reverse shell ou une autre connexion vers son infrastructure, lui donnant ainsi le contrôle à distance du système compromis.
- Déployez des malwares ou des exploits supplémentaires. Une fois l’accès établi, l’attaquant peut installer des logiciels malveillants, augmenter ses privilèges et se préparer à un déplacement latéral.
Le point d’appui n’est pas l’objectif final
Entrer ne signifie pas que les assaillants ont atteint ce qu’ils cherchent.
Ils commencent par apprendre comment fonctionne l’environnement. Ils peuvent rechercher des utilisateurs, des identifiants, des systèmes, des services et des connexions réseau. Cette découverte les aide à trouver un chemin au-delà du premier système compromis.
Les attaquants peuvent alors se déplacer latéralement avec des identifiants volés, des protocoles de confiance, des outils d’administration à distance ou d’autres vulnérabilités. Ils peuvent également établir le commandement et le contrôle afin de maintenir l’accès et de diriger l’attaque.
L’objectif final peut être le vol de données, la perturbation, le contrôle de domaine ou un ransomware.
« À ce moment-là, les défenseurs doivent supposer une brèche », a déclaré Adjei. « Les attaquants atterrissent rarement directement sur le système qu’ils veulent. »
« Ils peuvent compromettre un front-end web ou un point de terminaison, mais leur véritable cible peut être une base de données critique, un serveur de laboratoire, une application de grande valeur ou un système connecté à quelque chose de plus utile. »
Le risque est ce que les attaquants peuvent atteindre ensuite
Adjei voit une différence clé entre une vulnérabilité et une brèche.
« La vulnérabilité est le moyen d’entrer ; l’objectif est ce qu’ils peuvent atteindre ensuite », a-t-il dit.
C’est pourquoi les scores de sévérité et le statut des patchs ne sont pas le bon scoreboard. Une classification CVSS décrit un défaut isolément ; Il ne dit rien sur l’exposition du système vulnérable, à quoi il peut se connecter, ni sur les actifs critiques situés à un saut de là. Ce sont ces questions qui déterminent si une intrusion reste un incident ou devient une brèche.
Le patching ferme le défaut. Le confinement de la brèche arrête la propagation.
Le patching reste essentiel, mais cela ne peut pas toujours se faire avant que les attaquants n’agissent — et cela ne peut pas supprimer l’accès qu’ils ont déjà obtenu.
C’est là que la visibilité, la segmentation et la confinement de la brèche comptent. La visibilité montre comment un système compromis se connecte au reste de l’environnement. La segmentation limite les chemins inutiles. Le confinement de la brèche aide à empêcher les attaquants de s’enfoncer plus profondément.
« Cela ne veut pas dire que le patch n’est pas important », dit Adjei. « Cela signifie réduire la capacité d’un attaquant à exploiter une base et à se déplacer dans l’environnement pendant que les correctifs sont en cours — ou lorsqu’une vulnérabilité reste inconnue. »
Découvrez pourquoi la visibilité et la segmentation sont essentielles pour le confinement de la brèche. Planifiez une démonstration de confinement de la brèche dès aujourd’hui.
.webp)
.webp)
.webp)
