Correctifs de sécurité : Next.js et Microsoft passent au calendrier, et vous ?
Deux failles critiques corrigées hier dans Next.js, une faille Windows exploitée corrigée le 11 août. Les correctifs arrivent désormais à date fixe : votre maintenance doit suivre.
Hier, 25 août, Next.js a publié en avance sa mise à jour de sécurité du mois, pour corriger deux failles critiques permettant d'exécuter du code à distance. Le 11 août, Microsoft corrigeait de son côté une faille de Windows déjà exploitée par un groupe d'attaquants. Ces annonces se ressemblent de plus en plus : elles arrivent à date prévue, avec un niveau de gravité annoncé. Pour une entreprise, c'est une bonne nouvelle, à condition d'organiser sa maintenance en conséquence.
Next.js : deux failles critiques, une sortie avancée
Next.js, le cadre de développement web utilisé par de nombreux sites et applications, avait annoncé le 20 août une mise à jour de sécurité pour le 26. Il l'a avancée au 25, après avoir identifié une faille critique supplémentaire dans une dépendance. Les versions corrigées sont la 16.3.3 et la 15.5.24. Elles traitent notamment :
- Une exécution de code à distance sans authentification dans l'optimisation d'images, quand une image au format AVIF fournie par un attaquant est traitée. La faille se trouve dans la bibliothèque libheif, utilisée en amont. En attendant le correctif de cette bibliothèque, les versions corrigées désactivent l'optimisation des images AVIF.
- Une exécution de code à distance sans authentification sur les serveurs Windows, pour les applications qui combinent deux modes de routage de Next.js sans la fonction Cache Components. Linux et macOS ne sont pas concernés, et il n'existe pas de contournement : il faut mettre à jour.
Microsoft : une faille Windows exploitée
La mise à jour mensuelle de Microsoft du 11 août corrige environ 400 failles, dont 42 critiques selon BleepingComputer. Trois sont des « zero-day », c'est-à-dire connues avant le correctif. L'une d'elles, CVE-2026-68820, dans un pilote réseau de Windows, permet à un attaquant déjà présent sur une machine d'obtenir les droits maximum. Elle était exploitée : selon Check Point, cité par BleepingComputer, par le groupe Lazarus pour installer un outil de dissimulation au cœur du système. Ce type de faille ne sert pas à entrer, mais à s'installer durablement une fois entré.
Pourquoi les correctifs passent au calendrier
Next.js a officialisé le 13 juillet un programme de mises à jour de sécurité planifiées : environ une fois par mois, l'équipe annonce à l'avance la date de la prochaine publication et la gravité maximale des failles traitées. Les failles urgentes ou déjà exploitées continuent d'être corrigées sans attendre. L'équipe explique ce changement par l'explosion des découvertes de failles assistées par l'IA, et cite Mozilla, qui a publié 271 corrections dans une seule version de Firefox, toutes trouvées par un modèle d'Anthropic. Microsoft, lui, publie le deuxième mardi de chaque mois depuis des années.
La conséquence est simple : il y aura davantage de failles corrigées, plus souvent. Les attaquants lisent les mêmes annonces que vous et analysent les correctifs pour en tirer des attaques. Le délai entre une publication et la mise à jour de vos systèmes est la fenêtre pendant laquelle vous êtes exposé.
Ce qu'une PME devrait mettre en place
- Un inventaire de ce qui tourne : serveurs Windows, sites et applications web, avec leurs versions et leur cadre de développement. On ne met pas à jour ce qu'on ne connaît pas.
- Un calendrier aligné sur les publications : le deuxième mardi du mois pour Microsoft, les annonces mensuelles de Next.js, celles de vos autres logiciels. Une demi-journée réservée par mois vaut mieux qu'une urgence par trimestre.
- Une règle pour l'urgent : une faille critique exploitée se traite dans les jours qui suivent, pas au prochain créneau.
- Un environnement de test, même modeste, pour vérifier qu'une mise à jour ne casse rien avant de la passer en production.
- Un responsable nommé pour chaque système. Nous l'écrivions début août à propos des failles SharePoint : le problème est rarement technique, c'est souvent que personne n'est chargé de la mise à jour.
Et pour les logiciels que vous n'avez pas fait développer ?
La même logique vaut pour les logiciels achetés : votre ERP, votre outil de paie, votre site sous un gestionnaire de contenu. Demandez à chaque éditeur comment il publie ses correctifs, à quel rythme, et comment vous êtes prévenu. Un éditeur qui ne sait pas répondre à cette question vous renseigne déjà sur sa façon de traiter la sécurité.
Notre façon de faire
Nous avons présenté la version 16.3 de Next.js dans notre article du 12 août. Pour les logiciels que nous livrons, la maintenance comprend le suivi de ces publications, les mises à jour de sécurité et une réponse sous 24 heures ouvrées. Les conditions sont sur la page Tarifs. Si vous avez une application web dont plus personne ne suit les mises à jour, parlons-en 30 minutes.
À relire sur le même sujet : Next.js passe aux correctifs de sécurité annoncés à l'avance : ce que ça change.