Le plus gros Patch Tuesday de l’histoire : 200 correctifs et 3 failles zero-day sous les projecteurs

Les trois failles zero-day dévoilées

Il est crucial de noter qu’aucune de ces trois vulnérabilités zero-day n’était connue pour avoir été exploitée dans la nature avant la diffusion des correctifs .

CVE-2026-45586 — Élévation de privilèges dans CTFMON (GreenPlasma)

Il s’agit d’une faille de type « suivi de lien » dans le Collaborative Translation Framework (CTFMON) de Windows. Elle permet à un attaquant authentifié d’élever ses privilèges localement jusqu’au niveau SYSTEM. Microsoft a crédité un chercheur anonyme pour la découverte, mais la communauté de la sécurité a rapidement établi un lien avec l’exploit « GreenPlasma », dévoilé publiquement par le chercheur Nightmare Eclipse (parfois surnommé « Chaotic Eclipse » dans les discussions). Cette divulgation s’inscrit dans une campagne visant à protester contre les programmes de bug bounty et de divulgation de vulnérabilités de Microsoft .

CVE-2026-49160 — Déni de service dans HTTP.sys (la « bombe HTTP/2 »)

Cette vulnérabilité de consommation de ressources non contrôlée (CWE-400) touche la pile protocolaire HTTP/2, avec un score CVSS de 7.5. Un attaquant distant, sans être authentifié, peut envoyer une infime quantité de données qui force le serveur à allouer une quantité de mémoire disproportionnée. En manipulant les paramètres de contrôle de flux HTTP/2, l’attaquant peut monopoliser cette mémoire indéfiniment . Découverte par Quang Luong et Codex de Calif.io, l’attaque permet de mettre hors service les serveurs web concernés en quelques secondes . Pour y remédier, Microsoft a introduit un nouveau paramètre de registre, MaxHeadersCount (documenté dans l’article KB5102602), afin de limiter le nombre d’en-têtes des requêtes HTTP/2 et HTTP/3 .

CVE-2026-50507 — Contournement de la fonctionnalité de sécurité BitLocker (YellowKey)

Il s’agit d’une défaillance du mécanisme de protection qui permet à un attaquant non authentifié disposant d’un accès physique de contourner le chiffrement BitLocker en exploitant l’Environnement de récupération Windows (Windows Recovery Environment) sur des lecteurs utilisant uniquement une puce TPM. Il s’agit du deuxième exploit issu de la campagne de Nightmare Eclipse à être corrigé ce mois-ci, connu publiquement sous le nom de « YellowKey » .

La campagne Nightmare Eclipse

Le chercheur Nightmare Eclipse a publiquement diffusé une série de failles zero-day pour Windows aux noms évocateurs — BlueHammer, MiniPlasma, RedSun, UnDefend, GreenPlasma et YellowKey — pour protester contre la manière dont Microsoft gère les bug bounties. Si les correctifs de juin de Microsoft ont réglé les problèmes liés à GreenPlasma et YellowKey, trois autres failles issues de la même campagne (BlueHammer, RedSun et UnDefend) étaient, elles, signalées comme étant activement exploitées début juin, ce qui a poussé l’agence américaine de cybersécurité (CISA) à les ajouter à son catalogue des vulnérabilités connues et exploitées .

Quoi de neuf dans les mises à jour cumulatives de Windows 11

Les mises à jour obligatoires de juin pour Windows 11 apportent bien plus que des correctifs de sécurité. Deux mises à jour cumulatives principales ont été publiées : KB5094126 pour les versions 25H2 (build 26200.8457) et 24H2 (build 26100.8457), et KB5093998 pour la version 23H2 (build 22631.7079) . Microsoft a également diffusé une mise à jour de sécurité étendue, KB5094127, pour Windows 10 .

Parmi les principales nouveautés de la mise à jour de Windows 11, on trouve :

• Mode Xbox : Une fonctionnalité offrant une expérience similaire à celle d’une console Xbox sur un PC, désormais déployée sur un plus grand nombre d’appareils.
• Audio Partagé : Deux personnes peuvent écouter simultanément le même flux audio sur un même PC grâce à la technologie Bluetooth LE Audio.
• Surveillance NPU dans le Gestionnaire des tâches : L’application affiche désormais l’utilisation des unités de traitement neuronal (NPU), la mémoire dédiée/partagée et d’autres métriques.
• Caméra Multi-Application : Permet à plusieurs applications d’accéder au flux vidéo d’une caméra simultanément.
• Améliorations des performances : Un nouveau profil à faible latence accélère le lancement des applications et les interactions avec le shell, comme le menu Démarrer, la recherche et le Centre d’actions.
• Améliorations de l’installation : Les utilisateurs peuvent désormais choisir un nom personnalisé pour leur dossier utilisateur lors de l’installation de Windows.

Un front de la cybersécurité plus large : Adobe se joint à la lutte

Le même jour, Adobe a publié 11 avis de sécurité corrigeant 123 vulnérabilités à travers ses produits, notamment Acrobat Reader, ColdFusion, InDesign et Experience Manager. Parmi elles, 47 étaient de niveau Critique et pouvaient conduire à l’exécution de code arbitraire, à une élévation de privilèges ou à un déni de service .

Au total, Microsoft et Adobe ont diffusé des correctifs pour 329 vulnérabilités le 9 juin 2026 . L’écosystème plus large a également été actif, notamment Google qui a corrigé un nombre colossal de 360 failles dans Microsoft Edge/Chromium plus tôt dans le mois — des vulnérabilités qui ne sont pas comptabilisées dans le bilan standard du Patch Tuesday .