Patch Tuesday d'avril : une faille SharePoint déjà exploitée, et plus de 160 correctifs
Microsoft a publié le 14 avril l'une de ses plus grosses vagues de correctifs, dont une faille SharePoint exploitée. Ce qu'il faut mettre à jour en priorité.
Chaque deuxième mardi du mois, Microsoft publie ses correctifs de sécurité : c'est le « Patch Tuesday ». Celui du 14 avril 2026 est l'un des plus importants de son histoire, avec plus de 160 failles corrigées, dont une faille de SharePoint déjà exploitée par des attaquants au moment de la publication. Une semaine après l'annonce de Project Glasswing par Anthropic, ce mois d'avril illustre bien ce qui attend les entreprises : beaucoup de correctifs, et peu de temps pour les installer.
Ce que Microsoft a corrigé
Les décomptes varient selon la méthode : BleepingComputer recense 167 failles, Tenable 163 vulnérabilités référencées, dont 8 jugées critiques. Tenable note que c'est le deuxième plus gros Patch Tuesday jamais publié, juste derrière celui d'octobre 2025. Selon BleepingComputer, plus de la moitié des failles permettent une élévation de privilèges, c'est-à-dire à un attaquant déjà présent sur une machine d'obtenir plus de droits, et une vingtaine permettent d'exécuter du code à distance.
La faille SharePoint exploitée
La faille la plus urgente porte la référence CVE-2026-32201. Elle touche SharePoint Server, l'outil de partage de documents de Microsoft dans ses versions installées chez soi : SharePoint 2016, 2019 et Subscription Edition, d'après Tenable. Microsoft la classe comme une faille d'usurpation (« spoofing ») due à une mauvaise validation des données reçues, avec un score de gravité de 6,5 sur 10. Elle était exploitée avant la publication du correctif, et l'agence américaine de cybersécurité, la CISA, l'a ajoutée à sa liste des failles activement exploitées. Microsoft n'a pas détaillé comment elle était utilisée.
Les autres points d'attention
- Office : plusieurs failles de Word et d'Excel peuvent être déclenchées en ouvrant un document piégé, voire par le volet de prévisualisation. BleepingComputer conseille de prioriser ces mises à jour pour les personnes qui reçoivent beaucoup de pièces jointes.
- Windows : une faille critique du service IKE, utilisé par certains VPN, notée 9,8 sur 10 par Tenable, peut être exploitée à distance sans authentification. Microsoft propose, en attendant le correctif, de filtrer les ports UDP 500 et 4500.
- Microsoft Defender : une faille d'élévation de privilèges avait été rendue publique avant son correctif.
- Bureau à distance : à partir de cette mise à jour, Windows affiche des avertissements à l'ouverture de fichiers de connexion RDP potentiellement malveillants.
Ce que ça change pour une PME
La plupart des PME n'hébergent plus SharePoint elles-mêmes : la version en ligne, incluse dans Microsoft 365, est mise à jour par Microsoft. Le risque concerne donc surtout les entreprises qui ont gardé un serveur SharePoint dans leurs locaux ou chez un hébergeur, souvent installé il y a des années pour l'intranet ou la gestion documentaire. Ce sont précisément les serveurs qu'on oublie.
Pour tout le reste, postes Windows, Office, serveurs, la question n'est pas technique, elle est organisationnelle : en combien de temps vos machines reçoivent-elles les correctifs ? Si la réponse est « quand quelqu'un y pense », vous êtes exposé pendant des semaines à des failles publiquement documentées.
Ce que nous conseillons
- SharePoint installé chez vous ? Appliquez le correctif d'avril sans attendre, et vérifiez auprès de votre prestataire que le serveur n'est pas accessible depuis Internet sans nécessité.
- Automatisez les mises à jour des postes : Windows Update configuré pour s'installer dans la semaine, redémarrages planifiés en dehors des heures de travail.
- Traitez Office en priorité pour les postes qui reçoivent des documents de l'extérieur : comptabilité, commerce, accueil.
- Tenez une liste des serveurs avec, pour chacun, la date du dernier correctif appliqué. Une feuille suffit pour commencer.
- Gardez des sauvegardes testées : une mise à jour qui se passe mal est rare, une sauvegarde qu'on n'a jamais restaurée est un pari.
Pourquoi les mises à jour traînent
Dans les PME que nous rencontrons, ce n'est presque jamais de la négligence. C'est la peur de casser quelque chose : un logiciel métier ancien qui ne supporte pas une mise à jour de Windows, une imprimante qui ne fonctionne plus après un redémarrage, un serveur que personne n'ose redémarrer en pleine semaine. La solution n'est pas de repousser, mais de réduire cette peur : une machine de test, une fenêtre de maintenance connue de tous, une sauvegarde vérifiée avant chaque intervention. Une fois ce cadre posé, les correctifs deviennent une routine.
Et pour vos logiciels sur mesure
Les correctifs de Microsoft ne couvrent que les produits Microsoft. Un logiciel métier développé pour vous repose sur d'autres briques (langage, framework, base de données, bibliothèques) qui ont aussi leurs failles et leurs correctifs. Personne ne les installera à votre place si ce n'est pas prévu. Nos logiciels sont livrés avec une maintenance qui répond sous 24 heures ouvrées et suit ces mises à jour, et nous hébergeons en France sur des serveurs que nous maintenons. Si vous avez un outil interne dont personne ne suit plus les mises à jour, parlons-en lors d'un rendez-vous de 30 minutes.