.svg)
En résumé. Microsoft a publié le 12 août 2026 un lot de correctifs couvrant près de 400 vulnérabilités, dont une faille QUIC notée 9,8/10 et un zero-day déjà exploité. Pour une PME, l'enjeu n'est pas de tout patcher en une journée, mais de savoir dans quel ordre.
Ce qui s'est passé
Le 12 août 2026, Microsoft a diffusé son Patch Tuesday mensuel. Il corrige 398 vulnérabilités, dont 44 classées critiques et deux zero-days. Ces chiffres proviennent des bulletins Microsoft, repris par le SANS Internet Storm Center, Help Net Security et CrowdStrike.
Deux failles ressortent du lot. La première, référencée CVE-2026-62815, touche l'implémentation Microsoft de QUIC, le protocole qui porte HTTP/3. Notée 9,8 sur 10, elle permet à un attaquant non authentifié d'exécuter du code à distance via un simple paquet réseau, sans action de l'utilisateur. Elle concerne Windows 11 et Windows Server 2022 et 2025. La seconde, CVE-2026-68820, vise afd.sys, le pilote qui gère les connexions réseau sous Windows. Elle est déjà exploitée dans la nature, ce qui la rend prioritaire même si son score brut reste plus bas.
Suis-je concerné ?
Si vos postes tournent sous Windows 11 et vos serveurs sous Windows Server 2022 ou 2025, la réponse est oui. Le zero-day afd.sys concerne presque toutes les machines Windows récentes, puisqu'il touche un composant réseau de base. La faille QUIC expose surtout les serveurs qui publient un service en HTTP/3 ou en QUIC vers l'extérieur : un poste bureautique isolé derrière un pare-feu reste difficile à atteindre, un serveur exposé sur Internet l'est beaucoup plus.
Pour situer votre risque, regardez la date du dernier déploiement de correctifs sur votre parc et repérez les serveurs accessibles depuis Internet. C'est là que l'exposition devient concrète.
Que faire maintenant
D'abord, traitez la faille déjà exploitée. CVE-2026-68820 est activement utilisée : appliquez le correctif afd.sys en priorité sur les postes et les serveurs, parce que le risque est réel et non théorique.
Ensuite, patchez les serveurs exposés. Tout serveur qui publie un service QUIC ou HTTP/3 vers l'extérieur doit recevoir le correctif CVE-2026-62815 dans la foulée. En attendant le déploiement, un service non indispensable peut être coupé temporairement.
Enfin, planifiez le reste. Les autres correctifs se déploient selon votre cycle habituel, après un test rapide sur un lot pilote pour éviter les régressions. Une gestion régulière des correctifs fait d'ailleurs partie des mesures attendues par la directive NIS2 pour les entités concernées. Si votre parc est infogéré, demandez à votre prestataire un point écrit sur ces deux CVE : quels postes sont couverts, à quelle date, et ce qui reste à faire.
En bref
Un Patch Tuesday chargé n'est pas une alerte à paniquer. Deux failles méritent votre attention cette semaine : le zero-day afd.sys déjà exploité et la faille QUIC sur vos serveurs exposés. Le reste suit votre cycle normal. Avec un parc suivi et un déploiement ordonné, ce type de mois se gère sans drame.
— Samir Amara, CEO — IT Systèmes
Questions fréquentes
Faut-il tout patcher immédiatement ? Non. On traite en priorité la faille déjà exploitée et les serveurs exposés, puis le reste sur le cycle habituel après un test pilote.
Un poste bureautique derrière un pare-feu est-il exposé à la faille QUIC ? Beaucoup moins qu'un serveur publié sur Internet, mais il doit tout de même être mis à jour lors du déploiement normal.
Comment savoir si mes serveurs utilisent QUIC ? Vérifiez les services publiés en HTTP/3 et demandez à votre équipe ou à votre prestataire IT un inventaire des ports et protocoles exposés.
.svg)