Deux zero-days déjà exploitées, 622 correctifs d’un coup et une bascule Kerberos qui menace de couper les comptes de service : les administrateurs Windows entament juillet avec la pile d’assiettes qui déborde. Microsoft a publié un Patch Tuesday d’une ampleur inhabituelle, pile au moment où l’éditeur retire la dernière béquille RC4 de son mécanisme d’authentification.
Le mois de juillet 2026 impose donc un double front. D’un côté, plusieurs brèches critiques fermées, dont des vulnérabilités visant SharePoint et Active Directory Federation Services (AD FS) déjà attaquées. De l’autre, une étape de durcissement de Kerberos qui achève l’enterrement de RC4, ce vieux chiffrement que trop d’infrastructures traînent encore.
Points clés
- 622 CVE corrigées par Microsoft en juillet 2026, dont deux zero-days SharePoint et AD FS activement exploitées
- La bascule Kerberos supprime le dernier repli RC4 sur les contrôleurs de domaine Windows
- Les comptes de service encore dépendants de RC4 doivent migrer vers AES et changer leurs secrets
- Attribut clé à auditer : msDS-SupportedEncryptionTypes, avec surveillance des journaux Kerberos
622 CVE d’un coup, deux zero-days dans la nature
Le correctif de juillet solde 622 CVE, un volume présenté comme record. Parmi elles, deux failles zero-day exploitées dans des attaques en cours : l’une touche SharePoint, l’autre AD FS. Le détail complet des produits concernés et l’ampleur des campagnes ne sont pas documentés, mais l’essentiel tient en une phrase : les correctifs sont disponibles, et les systèmes exposés n’attendent pas.
Le cas SharePoint on-premises reste particulièrement chaud. Une vulnérabilité de ce périmètre, déjà reprise dans les catalogues de failles activement exploitées, fait parler d’elle depuis plusieurs semaines. Pour les équipes qui hébergent encore des serveurs SharePoint en interne, la fenêtre entre la publication d’un correctif et son exploitation continue de se réduire à peau de chagrin.
Kerberos RC4 : la bascule qui peut casser vos comptes de service
Le second dossier concerne Kerberos. Microsoft poursuit l’élimination de RC4 dans son authentification et retire la possibilité de repli sur laquelle reposaient encore certaines configurations. La conséquence est mécanique : un compte de service toujours accroché à RC4 peut perdre l’accès à ses ressources tant qu’il n’est pas migré vers AES et reconfiguré proprement.
Les guides techniques insistent sur l’opérationnel. Il faut vérifier l’attribut msDS-SupportedEncryptionTypes des comptes concernés et réinitialiser les mots de passe des comptes de service pour générer de nouvelles clés AES. Les premiers symptômes apparaissent dans les journaux Kerberos, sous forme d’échecs d’authentification qui surgissent juste après l’application du correctif.
Cette transition avance par phases depuis début 2026, d’abord en mode audit puis en durcissement. La mise à jour de juillet supprime la dernière soupape de retour arrière sur les contrôleurs de domaine Windows pris en charge. Traduction : les dépendances RC4 planquées dans les services d’infrastructure, les scripts automatisés et les environnements hybrides doivent être débusquées avant, pas après.
- Impact potentiel : rupture d’authentification pour certains comptes de service
- Contrôle à vérifier :
msDS-SupportedEncryptionTypes - Action recommandée : migration vers AES et rotation des secrets
- Zones à surveiller : contrôleurs de domaine, services Windows, applis tierces
Un juillet à haut risque pour les parcs Windows
Au-delà du volume brut, c’est le cumul des urgences qui pique. Les équipes doivent traiter des failles déjà exploitées tout en encaissant une modification d’infrastructure capable d’interrompre des services internes. Dans cette configuration, le tri se fait vite : patcher les systèmes exposés, cartographier les dépendances Kerberos héritées, valider comptes et applications avant tout déploiement large.
Le principe reste le même partout : tester d’abord, appliquer ensuite, documenter les comptes qui refusent encore de lâcher RC4. Sur les parcs les plus anciens, c’est souvent l’ultime point de friction avant une migration AES qui aurait dû être bouclée depuis longtemps.
