Microsoft a déployé des correctifs pour les failles de sécurité dans Windows et Office, qui, selon la société, sont activement exploitées par les pirates informatiques pour s’introduire dans les ordinateurs des utilisateurs.
Les exploits sont des attaques en un clic, ce qui signifie qu’un pirate informatique peut installer des logiciels malveillants ou accéder à l’ordinateur d’une victime avec une interaction minimale de l’utilisateur. Au moins deux failles peuvent être exploitées en incitant quelqu’un à cliquer sur un lien malveillant sur son ordinateur Windows. Un autre peut entraîner une compromission lors de l’ouverture d’un fichier Office malveillant.
Ces vulnérabilités sont connues sous le nom de Zero Day, car les pirates informatiques exploitaient les bogues avant que Microsoft n’ait eu le temps de les corriger.
Des détails sur la façon d’exploiter les bugs ont été publiés, a déclaré Microsoft, augmentant potentiellement les risques de piratage. Microsoft n’a pas précisé où ils avaient été publiés, et un porte-parole de Microsoft n’a pas immédiatement commenté lorsqu’il a été contacté par TechCrunch. Dans ses rapports de bogues, Microsoft a reconnu la contribution des chercheurs en sécurité du Threat Intelligence Group de Google dans leur découverte des vulnérabilités.
Microsoft a déclaré que l’un des bogues, officiellement identifié comme CVE-2026-21510, a été trouvé dans le shell Windows, qui alimente l’interface utilisateur du système d’exploitation. Le bug affecte toutes les versions prises en charge de Windows, a indiqué la société. Lorsqu’une victime clique sur un lien malveillant depuis son ordinateur, le bug permet aux pirates de contourner la fonctionnalité SmartScreen de Microsoft qui filtre généralement les liens et fichiers malveillants à la recherche de logiciels malveillants.
Selon l’expert en sécurité Dustin Childs, ce bug peut être exploité pour installer à distance des logiciels malveillants sur l’ordinateur de la victime.
« Il y a ici une interaction de l’utilisateur, car le client doit cliquer sur un lien ou un fichier de raccourci », a écrit Childs dans son blog. « Pourtant, un bug en un clic pour obtenir l’exécution de code est rare. »
Un porte-parole de Google a confirmé que le bug du shell Windows était « largement et activement exploité » et a déclaré que les piratages réussis permettaient l’exécution silencieuse de logiciels malveillants avec des privilèges élevés, « posant un risque élevé de compromission ultérieure du système, de déploiement de ransomware ou de collecte de renseignements ».
Un autre bug Windows, identifié comme CVE-2026-21513, a été découvert dans le moteur de navigateur propriétaire de Microsoft, MSHTML, qui alimente son ancien navigateur Internet Explorer, abandonné depuis longtemps. On le trouve toujours dans les versions plus récentes de Windows pour garantir une compatibilité descendante avec les anciennes applications.
Microsoft a déclaré que ce bug permet aux pirates de contourner les fonctionnalités de sécurité de Windows pour implanter des logiciels malveillants.
Selon le journaliste indépendant en sécurité Brian Krebs, Microsoft a également corrigé trois autres bogues zero-day dans son logiciel qui étaient activement exploités par les pirates.
