Le correctif de sécurité de Microsoft et Adobe de janvier corrige des failles critiques et une en attaque active

Les géants de la technologie Microsoft et Adobe ont commencé l’année avec un volume important de mises à jour de sécurité pour leurs produits. En janvier, les deux sociétés ont publié plusieurs bulletins visant à corriger un large éventail de vulnérabilités, notamment des failles critiques et un exploit en cours.

Cet effort de remédiation, qui a lieu traditionnellement le deuxième mardi du mois, vise à protéger des millions d’utilisateurs et d’organisations à travers le monde contre d’éventuelles cybermenaces. Le package de ce mois-ci met en lumière la lutte en cours contre les logiciels malveillants et les attaques sophistiquées.

L’attention des spécialistes se concentre sur la correction des vulnérabilités qui, si elles ne sont pas corrigées, pourraient compromettre l’intégrité des systèmes. L’application rapide de ces correctifs est essentielle pour atténuer les risques et garantir la sécurité numérique.

Adobe : correctifs et priorités complets

Adobe a publié 11 bulletins ce mois-ci, qui corrigent un total de 25 vulnérabilités CVE uniques. Les produits concernés incluent Dreamweaver, InDesign, Illustrator, InCopy, Bridge, la suite 3D Substance (Modeler, Stager, Painter, Sampler,

Parmi les mises à jour, le correctif pour ColdFusion se distingue par sa classification Prioridade 1, bien qu’il n’y ait eu aucune connaissance publique ni aucune attaque active au moment de sa publication. Le correctif Este cible une seule faille d’exécution de code, soulignant la gravité potentielle de la vulnérabilité si elle était exploitée.

Dreamweaver a reçu des correctifs pour cinq vulnérabilités d’exécution de code classées comme Críticas, tandis qu’InDesign avait également cinq CVE, dont quatre également classées comme Críticas. La suite Substance 3D, bien qu’avec plusieurs correctifs, n’en avait que quelques-uns classés comme exécution de code arbitraire critique, comme dans Substance 3D Stager et Painter.

La plupart des mises à jour Adobe, à l’exception de ColdFusion, ont été répertoriées avec la priorité de déploiement 3, ce qui indique que, bien qu’importantes, elles n’étaient pas l’objet d’attaques actives et n’étaient pas de notoriété publique au moment de leur publication.

Le package robuste de Microsoft pour l’année

Microsoft a commencé l’année avec une version massive, révélant 112 nouvelles vulnérabilités (CVE) dans ses systèmes et composants, notamment Windows, Office, Azure, Microsoft Edge (basé sur Chromium), SharePoint Server, SQL Windows Management Services. Avec les mises à jour tierces de Chromium, le nombre total de CVE s’élève à 114.

Ce volume élevé de correctifs en janvier n’est pas inhabituel, reflétant une pratique courante des fournisseurs retardant certaines mises à jour pendant la période des fêtes. La stratégie Tal vise à éviter des interruptions importantes si des correctifs entraînent des problèmes de compatibilité ou des pannes critiques pendant une période de disponibilité réduite des équipes de support.

Parmi les correctifs publiés, huit ont été classés comme Críticas, tandis que les autres ont été classés comme Importantes. La diversité des vulnérabilités démontre la complexité du maintien de la sécurité dans un écosystème logiciel aussi vaste et interconnecté que celui de Microsoft.

Vulnérabilité activement exploitée : alerte urgente

L’un des points forts du package Microsoft est une vulnérabilité qui fait l’objet d’une attaque active : CVE-2026-20805, une faille de divulgation d’informations dans Gerenciador de Janelas de Área de Trabalho. Embora Inhabituelle pour une faille de divulgation d’informations pouvant être exploitée en temps réel, cette vulnérabilité permet la fuite d’adresses depuis des sections de ports ALPC distants.

Leia Tambem

Colby Minifie confirme les pouvoirs d’Ashley Barrett dans la cinquième saison de The Boys

Un nouveau test de batterie place le Galaxy S26 Ultra devant l’iPhone 17 Pro Max dans le classement mondial

Naples x Milan en Serie A avec des compositions confirmées et où regarder en direct

Cette exposition d’informations est cruciale car elle permet aux attaquants d’utiliser ces adresses comme étape préliminaire dans une chaîne d’exploitation plus large. Geralmente, le but ultime est de réaliser l’exécution de code arbitraire (RCE), rendant les exploits plus fiables et efficaces. Microsoft n’a ​​pas détaillé la portée des exploits, mais la nature de la faille suggère un risque considérable pour les systèmes non corrigés.

Défauts notables sur Microsoft Office et d’autres systèmes

Microsoft Office était une fois de plus la cible de vulnérabilités, CVE-2026-20952 et CVE-2026-20953 se distinguant comme des failles d’exécution de code à distance (RCE). Les vulnérabilités Estas sont préoccupantes en raison de vecteurs d’exploitation impliquant le Painel de Visualização, permettant des attaques sans interaction directe de l’utilisateur.

Bien qu’il n’y ait pas encore d’enregistrement d’exploits actifs pour ces failles spécifiques, la récurrence des vulnérabilités dans Painel de Visualização de Office indique une zone de risque persistante. Administradores peut atténuer le danger en désactivant Painel de Visualização, une mesure préventive qui, bien que n’étant pas une solution définitive, empêche l’exploitation via ce vecteur.

Une autre faille pertinente est CVE-2026-21265, une vulnérabilité de contournement de la fonctionnalité de sécurité Secure Boot en raison de l’expiration du certificat. Embora les chances d’exploitation sont faibles, le risque de problèmes pour les administrateurs est élevé. L’incapacité de mettre à jour les certificats peut empêcher les appareils utilisant Secure Boot de recevoir de futures mises à jour de sécurité ou de faire confiance aux nouveaux chargeurs de démarrage, les exposant ainsi à des risques futurs.

Analyse approfondie des CVE importants

La liste complète des CVE Microsoft pour janvier 2026 couvre un large éventail de problèmes. Les failles critiques de Entre, en plus de celles déjà mentionnées dans Office, incluent des vulnérabilités d’exécution de code à distance dans Microsoft Excel et Word, une élévation de privilèges dans le composant graphique de Enclave de Segurança Baseada dans Virtualização (VBS) de Windows.

VBS, une fonctionnalité de sécurité plus récente de Windows, utilise Níveis de Confiança Virtual (VTL) pour gérer les privilèges. CVE-2026-20876 permet l’élévation des privilèges vers VTL2, actuellement le niveau le plus élevé, ce qui présente un risque important. Embora à

Les vulnérabilités importantes couvrent presque tous les services et composants de Windows et Também. Il existe des vulnérabilités d’exécution de code à distance dans SharePoint Server, SQL Server et Serviços de Implantação de Esta. La large distribution met en évidence la nécessité d’une stratégie de correctifs robuste et continue de la part des organisations.

Recommandations pour les administrateurs informatiques

Compte tenu du volume important de mises à jour de sécurité publiées par Adobe et Microsoft, les administrateurs système et les équipes informatiques doivent donner la priorité à la mise en œuvre de ces correctifs. La présence d’une vulnérabilité activement exploitée dans Microsoft, ainsi que de plusieurs autres classées comme critiques, rend impérative une action immédiate pour protéger les infrastructures numériques.

Il est essentiel que les organisations examinent la liste complète des CVE et évaluent leur impact potentiel dans leurs environnements spécifiques. Testes dans des environnements contrôlés avant le déploiement en production est une bonne pratique pour garantir la compatibilité et éviter les perturbations opérationnelles. Além De plus, la désactivation de fonctionnalités telles que Painel ou Visualização dans des environnements à haut risque peut fournir une couche de protection supplémentaire contre les exploits zero-day ou encore inconnus.

Une vigilance continue face aux nouvelles menaces et le maintien de systèmes à jour sont des piliers essentiels de la défense contre les cyberattaques. Les mises à jour de janvier 2026 rappellent brutalement le paysage des menaces en constante évolution et la nécessité de résilience et de proactivité en matière de cybersécurité.