Patch Tuesday avril 2026 : l'essentiel en 30 secondes
Microsoft a publié son Patch Tuesday d'avril 2026, corrigeant 167 vulnérabilités dont :
- 1 zero-day déjà exploitée dans la nature sur SharePoint Server (CVE-2026-32201)
- 1 zero-day divulguée publiquement sur Microsoft Defender (CVE-2026-33825)
- 8 failles critiques dont une RCE non authentifiée dans Windows IKE (CVSS 9.8)
- Correctifs pour Windows 10, Windows 11, Windows Server, Office, Word, SharePoint, Active Directory et .NET
Pour les PME : la zero-day SharePoint est déjà utilisée par des attaquants. Si vous hébergez SharePoint on-premise, patchez sous 48h. Pour les autres, la priorité est la mise à jour Office et Windows Server pour contrer les RCE.
La zero-day exploitée : CVE-2026-32201 sur SharePoint
C'est la faille la plus urgente du mois. CVE-2026-32201 est une vulnérabilité de spoofing dans SharePoint Server déjà activement exploitée dans la nature au moment de la publication du correctif.
Elle permet à un attaquant non autorisé d'usurper l'identité d'un utilisateur ou d'un service légitime sur l'instance SharePoint, sans authentification préalable. Combinée à d'autres failles, elle ouvre la porte à du vol de jetons, du déplacement latéral, voire à un compromis complet du domaine si SharePoint est intégré à Active Directory.
Impact PME : si vous utilisez SharePoint Server on-premise (et non SharePoint Online), patchez immédiatement. Les déploiements SharePoint en PME sont souvent oubliés des cycles de mise à jour — ce sont précisément ceux que les attaquants ciblent.
La seconde zero-day : CVE-2026-33825 dans Microsoft Defender
CVE-2026-33825 est une faille d'élévation de privilèges dans Microsoft Defender (CVSS 7.8). Le détail technique a été publié sur GitHub avant la disponibilité du correctif — connu sous le nom de BlueHammer dans la communauté offensive.
Elle permet à un attaquant ayant déjà un accès local de passer en privilèges SYSTEM. C'est typiquement la deuxième étape d'une attaque, après une compromission initiale par phishing ou une RCE.
Impact PME : la divulgation publique réduit drastiquement le délai d'apparition d'exploits clé en main. Les ransomwares qui ciblent les PME (Akira, Play, BlackCat...) intègrent ce type de chaîne en quelques jours.
Les failles critiques à corriger en priorité
CVE-2026-33824 — RCE non authentifiée dans Windows IKE (CVSS 9.8)
C'est la faille la plus grave du Patch Tuesday d'avril en termes de score. Elle affecte les extensions du service Internet Key Exchange (IKE) de Windows et permet à un attaquant non authentifié d'exécuter du code arbitraire à distance en envoyant des paquets IKEv2 spécialement conçus.
Impact PME : tout serveur Windows exposant un VPN IPsec/IKEv2 sur Internet est une cible directe. C'est typiquement le cas des PME qui ont déployé un accès distant en urgence. À patcher en priorité absolue.
CVE-2026-33827 — RCE dans Windows TCP/IP (CVSS 8.1)
Faille de race condition dans la pile TCP/IP de Windows permettant l'exécution de code à distance sans authentification ni interaction utilisateur. La complexité d'attaque est élevée, mais le périmètre est immense : tout poste Windows accessible sur le réseau est vulnérable.
Impact PME : un poste compromis sur le réseau interne (par exemple via un Wi-Fi invité mal isolé) peut servir de point de pivot pour attaquer toute la flotte.
CVE-2026-33826 — RCE dans Active Directory
Vulnérabilité critique d'exécution de code à distance dans Active Directory. AD est le cœur de l'authentification de la majorité des PME — un compromis ici ouvre l'accès à l'ensemble du système d'information.
CVE-2026-32190, CVE-2026-33114, CVE-2026-33115 — RCE dans Office et Word
Trois failles d'exécution de code à distance via Microsoft Office et Word. Vecteur classique : pièce jointe piégée envoyée par email. Les PME qui reçoivent quotidiennement des fichiers de clients, fournisseurs ou prospects sont particulièrement exposées.
CVE-2026-32157 — RCE dans le client Bureau à distance
Concerne les postes qui se connectent à des serveurs RDP. Un serveur compromis peut, via cette faille, prendre le contrôle du poste client qui s'y connecte. Critique pour les PME utilisant le télétravail via RDS.
Répartition des 167 vulnérabilités
| Type | Nombre | Part |
|---|---|---|
| Élévation de privilèges (EoP) | 93 | 55,7% |
| Divulgation d'informations | 21 | 12,6% |
| Exécution de code à distance (RCE) | 20 | 12,0% |
| Contournement de sécurité | 13 | 7,8% |
| Déni de service (DoS) | 10 | 6,0% |
| Usurpation d'identité (Spoofing) | 9 | 5,4% |
| Falsification (Tampering) | 1 | 0,5% |
Systèmes impactés :
- Windows 10 et 11 : postes de travail
- Windows Server 2019, 2022, 2025 : Active Directory, fichiers, RDS
- SharePoint Server : zero-day exploitée
- Microsoft Office, Word : vecteur pièce jointe
- Microsoft Defender : escalade de privilèges
- .NET Framework : applications web et métier
Ce que votre PME doit faire dans les 7 prochains jours
Si vous gérez votre IT en interne
Sous 48h (urgence absolue) :
- Patchez SharePoint Server si vous l'hébergez on-premise — la zero-day est exploitée
- Mettez à jour les serveurs Windows exposés en VPN IKEv2 (CVE-2026-33824)
- Vérifiez vos serveurs Active Directory (CVE-2026-33826)
Sous 7 jours :
- Déployez les mises à jour Windows sur l'ensemble du parc via WSUS ou Intune
- Mettez à jour Office sur tous les postes (CVE-2026-32190 / 33114 / 33115)
- Vérifiez les postes en télétravail — ils manquent souvent les mises à jour
- Testez les applications métier après déploiement pour détecter les régressions
À surveiller :
- Logs SharePoint (tentatives de spoofing)
- Logs Defender (escalade de privilèges suspecte)
- Tentatives de connexion VPN IKEv2 anormales
Si vous êtes client Dhala
Aucune action requise. Notre équipe a déjà :
- Validé les correctifs sur notre environnement de pré-production
- Déployé en urgence les patchs SharePoint et IKE (CVE-2026-32201 et 33824)
- Planifié le déploiement complet des 167 correctifs sur la fenêtre de maintenance
- Renforcé la supervision SOC sur les indicateurs de compromission liés aux zero-days
Pourquoi le patching automatisé est devenu indispensable
Avec 167 correctifs ce mois-ci (et plus de 1 000 par an en moyenne), le patching manuel est hors de portée d'une PME sans équipe IT dédiée. Et l'enjeu n'est plus seulement de patcher : il faut patcher vite, parfois en moins de 48h, sur l'ensemble du parc, sans casser les applications métier.
Chez Dhala, notre service d'infogérance inclut :
- Déploiement automatisé des patchs critiques sous 48h
- Tests de compatibilité sur environnement de pré-production
- Supervision 24/7 pour détecter les postes non patchés
- Rapports mensuels de conformité pour votre direction et vos clients (audit, ISO 27001, NIS 2)
Le patching managé est inclus dans notre offre à partir de 44€/poste/mois avec le SOC managé et la protection EDR/MDR.
Récapitulatif Patch Tuesday avril 2026
| Métrique | Valeur |
|---|---|
| Total de vulnérabilités | 167 |
| Failles critiques | 8 (dont 7 RCE) |
| Zero-day exploitée | 1 (SharePoint Server) |
| Zero-day divulguée publiquement | 1 (Microsoft Defender) |
| CVSS le plus élevé | 9.8 (Windows IKE — CVE-2026-33824) |
| Systèmes impactés | Windows, Office, SharePoint, AD, Defender, .NET |
| Urgence de déploiement | CRITIQUE |
Cet article est mis à jour chaque mois à l'occasion du Patch Tuesday. Pour une protection continue de votre parc et un patching managé inclus, découvrez notre offre d'infogérance et cybersécurité ou demandez votre audit gratuit.
