Les plateformes d'intelligence artificielle peuvent être tout aussi susceptibles au social engineering que les êtres humains, mais elles se révèlent remarquablement douées pour trouver des vulnérabilités de sécurité dans le code informatique créé par l'homme. Cette réalité est pleinement démontrée ce mois-ci avec certains des éditeurs de logiciels les plus utilisés — y compris **Apple**, **Google**, **Microsoft**, **Mozilla** et **Oracle** — qui corrigent des volumes de bugs de sécurité proches de records, et/ou accélèrent le rythme de leurs publications de correctifs. ### Patch Tuesday de Microsoft Comme chaque deuxième mardi du mois, **Microsoft** a publié aujourd'hui des mises à jour logicielles pour corriger au moins 118 vulnérabilités de sécurité dans ses divers systèmes d'exploitation **Windows** et autres produits. Remarquablement, c'est le premier Patch Tuesday depuis près de deux ans que Microsoft n'expédie aucun correctif pour des failles zero-day d'urgence déjà exploitées. Aucune des failles corrigées aujourd'hui n'avait non plus été divulguée auparavant (donnant potentiellement aux attaquants un avantage sur la manière d'exploiter la faiblesse). Seize des vulnérabilités ont reçu l'étiquette la plus grave de Microsoft, « critique », ce qui signifie que des malwares ou des malveillants pourraient abuser de ces bugs pour prendre le contrôle à distance d'un appareil Windows vulnérable avec peu ou pas d'aide de l'utilisateur. **Rapid7** a effectué une grande partie du travail d'identification de certaines des faiblesses critiques les plus préoccupantes ce mois-ci, notamment : * [CVE-2026-41089](https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-41089) : Un débordement de tampon critique basé sur la pile dans Windows Netlogon qui offre à un attaquant des privilèges SYSTEM sur le contrôleur de domaine. Aucun privilège ni interaction utilisateur n'est requis, et la complexité de l'attaque est faible. Des correctifs sont disponibles pour toutes les versions de Windows Server à partir de 2012. * [CVE-2026-41096](https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-41096) : Une RCE critique dans l'implémentation du client DNS de Windows digne d'attention malgré l'évaluation par Microsoft d'une probabilité d'exploitation moindre. * [CVE-2026-41103](https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-41103) : Une vulnérabilité critique d'élévation de privilèges qui permet à un attaquant non autorisé d'usurper l'identité d'un utilisateur existant en présentant des identifiants forgés, contournant ainsi Entra ID. Microsoft s'attend à ce que l'exploitation soit plus probable. Le Patch Tuesday de mai est un répit bienvenu par rapport à avril, qui a vu Microsoft corriger un nombre record de 167 failles de sécurité. Microsoft faisait partie d'une douzaine de géants de la technologie ayant accès à « **Project Glasswing** », une capacité d'IA très médiatisée développée par **Anthropic** qui semble très efficace pour déterrer les vulnérabilités de sécurité dans le code. ### La réponse d'Apple **Apple**, un autre participant précoce à Project Glasswing, corrige généralement en moyenne 20 vulnérabilités à chaque fois qu'elle publie une mise à jour de sécurité pour les appareils iOS, a déclaré **Chris Goettl**, vice-président de la gestion des produits chez **Ivanti**. Le 11 mai, Apple a publié des mises à jour pour corriger au moins 52 vulnérabilités et a rétroporté les modifications jusqu'à l'iPhone 6s et iOS 15. ### Le patching agressif de Mozilla Le mois dernier, **Mozilla** a publié **Firefox 150**, qui a résolu [un nombre impressionnant de 271 vulnérabilités](https://arstechnica.com/ai/2026/04/mozilla-anthropics-mythos-found-271-zero-day-vulnerabilities-in-firefox-150/) qui auraient été découvertes lors de l'évaluation Glasswing. « Depuis la sortie de Firefox 150.0.0, ils ont un rythme hebdomadaire plus agressif pour les mises à jour de sécurité, y compris la sortie de Firefox 150.0.3 lors du Patch Tuesday de mai, résolvant entre trois et cinq CVE dans chaque version », a déclaré Goettl. ### Oracle et Google rejoignent la parade des correctifs Le géant du logiciel **Oracle** a également récemment augmenté son rythme de patching en réponse à son travail avec Glasswing. Dans sa dernière mise à jour trimestrielle de correctifs, Oracle a corrigé au moins 450 failles, dont [plus de 300 correctifs pour des failles non authentifiées et exploitables à distance](https://www.securityweek.com/oracle-patches-450-vulnerabilities-with-april-2026-cpu/). Mais fin avril, Oracle a annoncé qu'il passait à un cycle de mise à jour mensuel pour les problèmes de sécurité critiques. Le 8 mai, **Google** a commencé à déployer des mises à jour pour son navigateur Chrome qui [ont corrigé un nombre étonnant de 127 failles de sécurité](https://www.forbes.com/sites/daveywinder/2026/05/08/critical-new-google-security-update-127-chrome-security-vulnerabilities-confirmed/) (contre seulement 30 le mois précédent). Chrome télécharge automatiquement les mises à jour de sécurité disponibles, mais leur installation nécessite un redémarrage complet du navigateur. Si vous rencontrez des problèmes lors de l'application des mises à jour de Microsoft ou de tout autre fournisseur mentionné ici, n'hésitez pas à laisser un commentaire ci-dessous. En attendant, si vous n'avez pas sauvegardé vos données et/ou votre disque récemment, le faire *avant* de mettre à jour est généralement un bon conseil. Pour un aperçu plus détaillé des mises à jour Microsoft publiées aujourd'hui, consultez [cet inventaire](https://isc.sans.edu/forums/diary/Microsoft%20May%202026%20Patch%20Tuesday/32980/) par le **SANS Internet Storm Center**.