PatchFactoryVeille
Menu
← Dossier Patch Tuesday
Patch Tuesday · Windows8 min de lecture

Patch Tuesday septembre 2026 : deux CVE Windows exploitées et KB5124008 à prioriser

Microsoft a publié le cycle de sécurité de septembre 2026 le 8 septembre, avec des mises à jour cumulatives Windows et deux CVE Windows signalées comme exploitées dans le Security Update Guide. Pour les équipes Workplace, la priorité est de valider rapidement les builds Windows 11 et les postes Windows 10 encore couverts par ESU ou LTSC, tout en retirant les anciens contournements liés aux incidents d'août quand KB5124008 est installé.

Impact
postes Windows 11 23H2, 24H2, 25H2 et 26H1, plus Windows 10 22H2 sous ESU et Windows 10 LTSC concernés par les mises à jour de sécurité de septembre.
Action
déployer les KB de septembre dans les anneaux de sécurité, contrôler les builds atteintes et vérifier les incidents Release Health qui changent de statut.
Statut
À déployer

Actualisation du 18 octobre 2026. Ce dossier est historique. Le dossier principal actif est maintenant celui d’octobre 2026. Consulter le dossier d’octobre et ses sources Microsoft.

Situation au 9 septembre 2026

Le CVRF MSRC September 2026 Security Updates est passé en document final, avec une publication initiale le 8 septembre 2026 et une version courante datée du 9 septembre 2026 à 15:09:50 UTC. Microsoft y recense 974 CVE Microsoft pour ce cycle, dont 723 dans la famille Windows. Le volume ne suffit pas à hiérarchiser le risque ; le point déterminant pour le poste de travail est la présence de deux vulnérabilités Windows marquées Exploitation Detected.

Les deux CVE exploitées sont CVE-2026-85880, une élévation de privilèges Windows ALPC, et CVE-2026-81963, une élévation de privilèges dans Windows Update Stack. MSRC indique pour les deux que l'exploitation est détectée, qu'une action client est requise et que l'attaquant qui réussit peut obtenir des privilèges SYSTEM. Ce ne sont pas des vulnérabilités d'exécution distante documentées comme telles dans les pages consultées ; le risque opérationnel vient plutôt de la combinaison poste compromis + élévation locale.

Dans le périmètre client consulté dans le CVRF, CVE-2026-81963 référence les mises à jour Windows 11 23H2, 24H2, 25H2 et 26H1. CVE-2026-85880 référence Windows 10 21H2/22H2, ainsi que d'anciennes bases Windows Server/LTSC hors tableau principal. Il ne faut donc pas étendre mécaniquement chaque CVE à toutes les versions Windows : le contrôle doit rester basé sur la version réellement présente dans le parc.

KB et builds à contrôler

Produit clientKB septembre 2026Build cible après installationRemarques Workplace
Windows 11 26H1KB512401228000.295426H1 est documenté par Microsoft comme une version destinée aux nouveaux appareils de début 2026, pas comme une mise à niveau fonctionnelle pour les postes 24H2/25H2 existants.
Windows 11 25H2KB512400826200.9445Même KB que 24H2, avec les correctifs sécurité et les corrections d'incidents d'août.
Windows 11 24H2KB512400826100.9445Inclut aussi le SSU KB5124007, build 26100.9441.
Windows 11 23H2 Enterprise/EducationKB512288022631.7582Les éditions Enterprise et Education restent supportées jusqu'au 10 novembre 2026 ; Home/Pro sont déjà hors mises à jour.
Windows 10 22H2 sous ESUKB512287819045.7725Microsoft présente l'article comme applicable à Windows 10 ESU.
Windows 10 Enterprise LTSC 2021 / IoT LTSC 2021KB512287819044.7725LTSC 2021 Enterprise arrive en fin de mises à jour le 12 janvier 2027 ; IoT Enterprise LTSC 2021 reste supporté plus longtemps.

Pour les parcs gérés par Windows Update for Business, Autopatch, Intune ou MECM/WSUS, le contrôle utile n'est pas seulement « la KB est approuvée ». Il faut comparer les builds réellement remontées par les postes avec les cibles ci-dessus, puis isoler les machines qui restent sur les builds d'août après redémarrage ou fenêtre de maintenance. Pour MECM, vérifier aussi que la synchronisation WSUS contient bien les KB de septembre et que les collections pilotes ne filtrent pas involontairement Windows 11 25H2/24H2 sous une seule règle de produit trop restrictive.

Incidents connus et changements de statut

SujetStatut Microsoft au 9 septembreConséquence opérationnelle
Teams et le nouveau Outlook peuvent échouer sur appareils ARM après KB5121003Résolu par KB5124008Après installation de KB5124008 ou ultérieure, le contournement via Microsoft Store / Auto Super Resolution Package n'est plus nécessaire pour ce symptôme. Sur les postes ARM restés en août, il reste valable.
Fond d'écran et personnalisation Bureau perdus après KB5120998Résolu par KB5124008Les tickets existants doivent être rapprochés de l'état de mise à jour : corriger la build avant de retenter des restaurations manuelles.
Personnalisation souris réinitialisée sur Windows non anglophone après KB5120998Résolu par KB5124008À contrôler dans les anneaux français ou multilingues, surtout en contexte accessibilité, kiosque ou périphériques spécialisés.
Notifications erronées « Microsoft Defender Antivirus is turned off »Résolu au 17 septembre 2026Après installation de KB5124008 ou ultérieure, ne conserver qu'un contrôle de confirmation sur les postes qui remontaient déjà l'alerte. Si la notification persiste sur une build corrigée, traiter comme incident local plutôt que comme problème Release Health ouvert.

Les pages KB5124008, KB5124012, KB5122880 et KB5122878 indiquent que Microsoft n'est pas au courant de problèmes propres à ces mises à jour. Depuis la mise à jour Release Health du 17 septembre 2026, l'incident de notification Defender erronée est marqué résolu ; il ne doit donc plus rester dans la liste des signaux actifs à surveiller.

Points de vigilance pour les images et le support

Les KB Windows 11 et Windows 10 rappellent un point important pour les équipes qui entretiennent des médias d'installation, des images offline ou des séquences de tâches : lorsque des Dynamic Updates sont appliquées à une image existante, Microsoft demande de s'assurer que le fichier boot.stl correspondant est présent dans le média. À défaut, certains appareils peuvent échouer au démarrage depuis le média avec l'erreur 0xc0430001. Microsoft recommande le script Update WinPE pour mettre à jour une image Windows existante.

Ce point concerne surtout les chaînes de masterisation, Autopilot pré-provisionné avec média interne, task sequences MECM et supports de récupération. Il ne transforme pas KB5124008 en changement d'architecture, mais il mérite un contrôle avant de rafraîchir les images de septembre.

Plan de test et déploiement

Recommandation PatchFactory : traiter septembre comme À déployer à cause des deux CVE Windows exploitées. Sur le premier anneau, valider l'installation, le redémarrage, la remontée d'inventaire build et l'ouverture de session utilisateur. Ajouter deux contrôles ciblés : lancement de Teams et du nouveau Outlook sur au moins un appareil ARM si le parc en contient, et persistance du fond d'écran et des réglages souris sur Windows localisé. Pour Defender, conserver uniquement une vérification de clôture sur les postes qui avaient déjà généré la notification erronée.

Avant généralisation, comparer les taux d'échec Windows Update par réseau, VPN et site MECM. Les améliorations de journalisation OMA-DM documentées dans les KB peuvent aider au diagnostic, mais elles ne remplacent pas un indicateur simple : les postes doivent atteindre la build cible de leur version et ne pas rester bloqués sur KB5121003 ou KB5120998 quand ils sont dans un anneau censé recevoir septembre.

Sources