Un Patch Tuesday XXL, et un 0-day tout frais servi le même jour en guise de dessert. En juillet 2026, Microsoft a livré le plus gros lot de correctifs de son année, avec un total qui oscille entre 569 et 622 vulnérabilités selon les périmètres retenus. Dans la foulée, un chercheur connu sous le pseudonyme Nightmare Eclipse a publié les détails d’une faille Windows d’élévation de privilèges locale baptisée LegacyHive (ou HiveLegacy), présentée comme exploitable sur des machines pourtant à jour des correctifs de juillet.
Points clés
- Microsoft corrige entre 569 et 622 vulnérabilités en juillet 2026, un record pour son Patch Tuesday
- Trois zero-days au menu, dont deux déjà exploités et un divulgué publiquement (ADFS, SharePoint, BitLocker)
- Le 0-day LegacyHive vise le Windows User Profile Service et permettrait à un utilisateur standard de monter la ruche de registre d’un admin
- Sans CVE ni avis officiel, LegacyHive viserait des machines déjà à jour des correctifs de juillet
Un volume de failles rarement vu
La cuvée de juillet frappe par son ampleur. Plusieurs analyses techniques parues les 14 et 15 juillet parlent d’un record pour le programme Patch Tuesday, avec des chiffres qui varient selon la manière de compter. Tenable évoque 569 CVE corrigées, quand d’autres décomptes grimpent à 622 vulnérabilités pour les produits Microsoft, composants additionnels et mises à jour serveur inclus.
Dans ce paquet figurent trois zero-days, dont deux déjà exploités dans la nature et un divulgué publiquement. Les failles citées sont CVE-2026-56155 dans Active Directory Federation Services, CVE-2026-56164 dans SharePoint Server, et CVE-2026-50661, un contournement de BitLocker. Les correctifs couvrent aussi Windows, Office, Exchange Server, Remote Desktop Services, Hyper-V, .NET et le reste du catalogue.
LegacyHive, une primitive locale qui titille les chercheurs
Le même jour, un nouveau dossier a circulé sur LegacyHive. La faille vise le Windows User Profile Service, le composant chargé de monter les profils utilisateur. D’après les résumés techniques disponibles, elle permettrait à un utilisateur standard de monter la ruche de registre d’un autre compte (celle d’un administrateur, par exemple) dans sa propre zone de registre. Difficile de faire plus tentant pour un attaquant.
La preuve de concept est décrite comme une powerful primitive, une brique puissante capable d’ouvrir d’autres scénarios d’attaque. Le code publié n’est pas un exploit clé en main. À ce stade, pas d’identifiant CVE public ni d’avis Microsoft associé, et selon les sources de sécurité consultées, le concept viserait des versions de Windows déjà couvertes par les mises à jour de juillet 2026.
Deux fronts pour les équipes de sécurité
Les défenseurs doivent donc jongler. D’un côté, un Patch Tuesday d’une taille rarement vue qui touche des services d’identité, de collaboration et d’administration très exposés en entreprise. De l’autre, une primitive Windows publiée le même jour, à l’angle local mais potentiellement utile pour enchaîner vers une élévation de privilèges plus large.
Les notes de veille recommandent de traiter en priorité les correctifs liés à l’identité, à SharePoint et aux mécanismes d’élévation de privilèges, puis de guetter un éventuel avis officiel sur LegacyHive. Aucune exploitation active de cette dernière n’est décrite pour l’instant, mais son profil technique suffit à la placer sous surveillance rapprochée.
