Microsoft corrige plus de 130 failles en mai, tandis que l’IA accélère la détection des vulnérabilités et bouleverse la gestion du risque cyber.

Microsoft avance vers un possible record annuel de vulnérabilités corrigées, avec plus de 500 failles déjà traitées en cinq mois. Le groupe attribue cette hausse à l’usage croissant de l’intelligence artificielle par ses équipes et par la communauté sécurité. Cette évolution change le rythme du renseignement cyber : les failles sont repérées plus vite, les correctifs s’accumulent, et les organisations doivent absorber une pression opérationnelle plus forte. Le phénomène dépasse Microsoft, avec Apple, Google, Oracle et l’écosystème open source confrontés à la même accélération. Derrière les chiffres, une question domine : qui saura suivre la cadence ?

L’IA accélère la chasse aux vulnérabilités

Le Patch Tuesday de mai marque un basculement. Microsoft a diffusé des correctifs pour plus de 130 vulnérabilités, après une mise à jour d’avril qui en comptait 173 selon son guide de sécurité. Depuis janvier 2026, l’éditeur a déjà traité plus de 500 failles. Le total exact dépend des méthodes de comptage, notamment lorsque les analystes ajoutent Edge, Chromium ou des correctifs publiés plus tôt dans le mois. Mais la tendance, elle, ne laisse guère de doute : la surface de correction s’étend.

Tom Gallagher, vice-président de l’ingénierie au Microsoft Security Response Center, assume ce changement de rythme. Selon lui, les ingénieurs de Microsoft et les chercheurs du secteur utilisent davantage l’IA pour analyser les logiciels, plus souvent et plus finement qu’auparavant. Cette automatisation ne crée pas seulement davantage d’alertes. Elle modifie l’échelle du renseignement technique, en rendant visibles des faiblesses qui seraient restées plus longtemps enfouies dans le code.

Microsoft décrit aussi un effet direct sur ses propres processus. En parallèle de la publication de mai, l’entreprise a présenté MDASH, un système d’intelligence artificielle utilisé en interne pour repérer des failles dans ses logiciels. L’outil aurait identifié 16 vulnérabilités corrigées ce mois-ci, dont quatre critiques, avant qu’un chercheur humain ne les signale. Pour un éditeur dont les produits irriguent les réseaux d’entreprise, ce type de détection précoce devient un avantage de défense, mais aussi un facteur de pression.

Avant son déploiement sur du code inconnu, Microsoft a testé MDASH à rebours sur cinq années de failles déjà découvertes dans deux composants internes de Windows. Cette méthode, appelée test de rappel rétrospectif, mesure la capacité d’un système à retrouver seul des vulnérabilités connues. MDASH aurait retrouvé 96 % des failles dans un composant et 100 % dans l’autre. L’entreprise y voit la preuve que la détection assistée par IA quitte le terrain de l’hypothèse pour devenir un problème d’ingénierie à grande échelle.

Ce progrès impose toutefois une lecture prudente. Plus de vulnérabilités publiées ne signifie pas automatiquement que les logiciels deviennent moins sûrs. Cela peut aussi indiquer que les outils de repérage deviennent plus performants. Le changement important se situe ailleurs : la fenêtre entre découverte, publication et exploitation potentielle se contracte. Pour les équipes de défense, le volume d’information à trier augmente, tandis que les priorités doivent être fixées plus vite.

Des correctifs plus nombreux, des risques plus pressants

Les failles les plus sensibles du mois montrent pourquoi cette accélération inquiète les responsables sécurité. Microsoft a signalé comme prioritaires deux vulnérabilités critiques, CVE-2026-41089 dans Windows Netlogon et CVE-2026-41096 dans le client DNS Windows. Les deux atteignent 9,8 sur 10 en gravité. Netlogon gère l’authentification sur les réseaux d’entreprise. Dans certains cas, une requête réseau spécialement construite vers un contrôleur de domaine Windows pourrait permettre l’exécution de code sans connexion préalable. Pour un attaquant, une telle position peut ouvrir la voie vers le cœur du système d’identité.

La faille DNS présente un risque similaire. Microsoft indique que, dans certaines configurations, elle pourrait permettre une exécution de code à distance sans authentification sur le système touché. L’entreprise ne détaille pas les configurations concernées. Pour les défenseurs, cette absence de précision renforce l’urgence d’une logique de réduction du risque : identifier l’exposition, appliquer les correctifs, vérifier les services critiques, puis surveiller les tentatives d’exploitation.

Une troisième vulnérabilité critique, CVE-2026-42898, concerne les installations locales de Microsoft Dynamics 365. Elle est évaluée à 9,9 sur 10. Le problème porte sur un contrôle insuffisant dans la génération de code. Un attaquant autorisé pourrait s’en servir pour exécuter du code sur un réseau. Là encore, le danger se situe moins dans un scénario spectaculaire que dans une chaîne d’accès réaliste : un compte légitime, une application métier, puis un mouvement vers des actifs plus sensibles.

Microsoft n’est pas seul face à cette montée en cadence. Le Centre national britannique de cybersécurité a récemment averti les organisations qu’elles devaient se préparer à une vague de mises à jour urgentes, provoquée par la découverte de failles assistée par IA. Apple, qui a bénéficié d’un accès anticipé à Project Glasswing, l’outil d’Anthropic conçu pour détecter les faiblesses dans le code, a corrigé 52 vulnérabilités lors de sa dernière mise à jour. Oracle, également associé à Glasswing, a annoncé fin avril l’abandon du rythme trimestriel pour les failles critiques, au profit d’un cycle mensuel. Google, de son côté, a publié 127 correctifs de sécurité pour Chrome le même jour que Microsoft, contre 30 le mois précédent.

Cette dynamique déborde aussi vers l’open source. HackerOne a suspendu son programme de primes aux bugs open source, en évoquant un déséquilibre croissant entre la découverte des failles et la capacité des mainteneurs à les corriger. Le signal est important : si l’IA amplifie la détection, elle peut aussi déplacer la saturation vers les équipes chargées de valider, prioriser et produire des correctifs fiables.

Le renseignement sur la menace confirme ce durcissement. Google a décrit le premier cas connu d’exploitation d’une faille zero-day développée par une IA dans une campagne massive planifiée, tout en affirmant avoir bloqué l’opération avant son lancement. Ajoutées aux vulnérabilités du noyau Linux Copy Fail et Dirty Frag, révélées ces deux dernières semaines, ces alertes dessinent un environnement où découverte, exploitation et remédiation avancent plus vite.