Patch Tuesday de février : six failles Windows et Office déjà exploitées
Microsoft a corrigé le 10 février six failles déjà utilisées par des attaquants, dont trois dans Windows et Office. Et une échéance Secure Boot arrive en juin.
Le deuxième mardi de chaque mois, Microsoft publie ses correctifs de sécurité. Celui du 10 février sort de l'ordinaire : il corrige six failles que des attaquants exploitaient déjà, là où un mois habituel en compte zéro à deux. Plusieurs concernent des gestes du quotidien, ouvrir un lien ou un document Word. Si vos postes ne se mettent pas à jour automatiquement, c'est cette semaine qu'il faut s'en occuper. Et une autre échéance, moins visible, approche : les certificats Secure Boot de Windows expirent à partir de fin juin.
Les six failles, en langage clair
Selon BleepingComputer, la mise à jour corrige 58 vulnérabilités, dont six activement exploitées et trois déjà rendues publiques avant le correctif :
- Windows Shell (CVE-2026-21510) : un lien ou un raccourci piégé permet de contourner les avertissements de sécurité de Windows, ceux qui préviennent qu'un fichier vient d'internet.
- MSHTML (CVE-2026-21513) : le moteur web historique de Windows, encore utilisé par de nombreux logiciels, laissait contourner une protection à distance.
- Microsoft Word (CVE-2026-21514) : un document Office piégé contourne les protections contre les objets embarqués dangereux. Il faut que l'utilisateur ouvre le fichier ; l'aperçu ne suffit pas.
- Desktop Window Manager (CVE-2026-21519) : un attaquant déjà présent sur la machine peut obtenir les droits les plus élevés.
- Bureau à distance (CVE-2026-21533) : élévation de privilèges locale ; l'exploit observé par CrowdStrike ajoute un utilisateur au groupe Administrateurs.
- Gestionnaire de connexions d'accès à distance (CVE-2026-21525) : un déni de service local, jugé modéré.
Prises une à une, ces failles ne donnent pas toujours un accès complet. Mises bout à bout, elles composent une attaque classique : un mail avec un document ou un lien, qui passe les avertissements, puis une élévation de droits sur le poste.
Ce que ça change pour une PME
Le scénario type d'une attaque contre une PME commence presque toujours par un mail. Les trois premières failles de la liste visent exactement ce moment : le clic sur un lien ou l'ouverture d'une pièce jointe. Les protections que vos équipes ont appris à reconnaître (le bandeau jaune de Word, l'avertissement de Windows) pouvaient être contournées.
Les deux failles d'élévation de privilèges, elles, transforment un poste compromis en tremplin. Un compte utilisateur ordinaire devient administrateur, et l'attaquant peut alors désactiver l'antivirus ou se propager.
La bonne nouvelle : le correctif existe, il est gratuit et il s'installe par Windows Update. Le vrai risque est le poste oublié : le portable du commercial qui ne redémarre jamais, le PC de l'atelier qui pilote une machine et qu'on n'ose pas toucher, le serveur qu'on met à jour « quand on a le temps ».
Secure Boot : l'échéance de juin à préparer dès maintenant
Secure Boot est un mécanisme qui vérifie, au démarrage du PC, que le système lancé est bien signé. Il repose sur des certificats Microsoft émis en 2011, qui arrivent à expiration à partir de fin juin 2026. Microsoft a commencé à déployer les nouveaux certificats par Windows Update, de façon progressive. Selon heise, une fois les anciens certificats expirés, les machines non mises à jour ne recevront plus les correctifs de sécurité du gestionnaire de démarrage de Windows.
Pour la plupart des postes récents et à jour, tout se fera automatiquement. Certains matériels auront besoin d'une mise à jour du micrologiciel (le BIOS) fournie par le constructeur. Les machines anciennes, les postes industriels et les serveurs physiques sont les plus à risque. Microsoft déconseille de désactiver Secure Boot pour contourner le problème.
Ce qu'on conseille de faire
- Vérifier que les mises à jour de février sont installées sur tous les postes et serveurs Windows, y compris ceux qu'on ne voit jamais.
- Redémarrer : beaucoup de correctifs ne s'appliquent qu'après un redémarrage.
- Mettre à jour Office, qui a son propre mécanisme de mise à jour.
- Lister les machines anciennes ou spécifiques (postes d'atelier, serveurs physiques) et vérifier auprès des constructeurs l'existence d'une mise à jour du BIOS avant juin.
- Rappeler à l'équipe qu'un document inattendu, même d'un contact connu, se vérifie avant ouverture.
Au-delà de ce mois-ci, la bonne pratique est d'automatiser plutôt que de compter sur la mémoire de chacun. Les éditions professionnelles de Windows permettent de gérer les mises à jour de façon centralisée : fixer un délai maximal d'installation, forcer le redémarrage en dehors des heures de travail, voir d'un coup d'œil quels postes sont en retard. Pour une structure de dix ou vingt postes, quelques heures de configuration évitent de refaire cette vérification à la main chaque mois.
Un poste qui pilote une machine et qu'on ne peut pas mettre à jour est un problème de conception, pas une fatalité. Quand nous écrivons un logiciel de pilotage, comme celui d'une machine à effort, nous prévoyons dès le départ comment il sera maintenu. Pour faire le point sur vos outils, prenez rendez-vous. Et si vous avez manqué notre article de la semaine dernière sur la mise à jour piratée de Notepad++, il complète celui-ci.