Vingt références CVE publiées hors du cycle mensuel, toutes classées Critical par l’éditeur, toutes portant sur des services opérés par Microsoft. Le correctif a déjà été appliqué côté serveur. Ce que cela laisse à faire côté tenant est une autre question.
Résumé exécutif
- Le 6 août 2026, Microsoft a publié vingt références CVE (1) via le MSRC (2) Update Guide. Aucune ne concerne un produit installé chez le client : la totalité porte sur des services cloud opérés par l’éditeur, principalement Azure, Microsoft 365, Teams, SharePoint Online et les services d’identité Entra.
- Les vingt références portent la mention de gravité maximale « Critical » attribuée par Microsoft. Les scores CVSS (3) de base, eux, s’étalent de 7,5 à 10,0. Cet écart n’est pas anecdotique : il indique que la gravité éditeur et le score CVSS ne mesurent pas la même chose.
- Quatre classes de faiblesses dominent le lot : l’autorisation manquante ou incorrecte, l’authentification manquante ou contournable, la vérification défaillante de signature cryptographique, la traversée de chemin. Il s’agit de défauts de contrôle d’accès, pas de corruption mémoire.
- Cinq vulnérabilités touchent directement la couche d’identité et d’administration : Azure Active Directory, Entra ID, Entra Provisioning Service, Microsoft 365 Admin Center, Purview eDiscovery. C’est la concentration la plus significative du lot du point de vue du risque de compromission transverse.
- Aucune exploitation publique n’est documentée à la date de rédaction. Les enregistrements CVE consultés portent la métrique temporelle E:U, soit l’absence de code d’exploitation connu.
- Les correctifs ont été déployés par Microsoft sur son infrastructure. La conséquence opérationnelle est inhabituelle : il n’y a rien à déployer, mais rien ne permet non plus au client de vérifier a posteriori s’il a été affecté pendant la fenêtre d’exposition, dont la durée n’est pas publiée.
01. Un lot hors cycle, entièrement cloud
La publication du 6 août 2026 intervient cinq jours avant le Patch Tuesday d’août. Elle ne comporte aucun correctif à télécharger, aucun numéro de build, aucun article de base de connaissances. Les colonnes correspondantes de l’export MSRC sont vides pour les vingt entrées.
Cette structure est la signature des divulgations de vulnérabilités de services cloud. Microsoft attribue une référence CVE à un défaut déjà corrigé sur son infrastructure, dans une logique de transparence, sans que le client ait à intervenir. La pratique est documentée de longue date : le SANS Internet Storm Center relevait déjà en mai 2026 que les entrées Azure du Patch Tuesday portaient la mention « no customer action required ».
Le périmètre couvert par ce lot :
- Plateforme Azure : SQL Database, SQL Managed Instance, Kubernetes Service, Service Bus, Logic Apps, Confidential Ledger, SRE Agent, Application Insights Profiler, Active Directory.
- Microsoft 365 et applications collaboratives : Teams, SharePoint Online, Microsoft 365 Admin Center, Purview eDiscovery, Power Apps.
- Identité : Entra ID, Entra Provisioning Service (SyncFabric).
- Services spécialisés : Planetary Computer Pro (GeoCatalog).
SecurityWeek a couvert la publication le 7 août en retenant trois références au score maximal de 10,0 et quatre à 9,9, toutes exploitables par le réseau.
02. Les vingt références
Le tableau reprend l’intégralité de l’export MSRC, classé par score CVSS de base décroissant. La colonne CWE (4) indique la classe de faiblesse. La colonne impact reprend la qualification Microsoft.
| CVE | Produit | Impact | CWE | CVSS |
|---|---|---|---|---|
| CVE-2026-65667 | Microsoft Teams | Élévation de privilèges | CWE-862 Autorisation manquante | 10,0 |
| CVE-2026-63508 | Planetary Computer Pro (GeoCatalog) | Élévation de privilèges | CWE-306 Authentification manquante sur fonction critique | 10,0 |
| CVE-2026-56162 | Azure SQL Database | Élévation de privilèges | CWE-287 Authentification incorrecte | 10,0 |
| CVE-2026-50515 | Azure Service Bus | Exécution de code à distance | CWE-502 Désérialisation de données non fiables | 9,9 |
| CVE-2026-50481 | Azure Active Directory | Élévation de privilèges | CWE-471 Modification de données supposées immuables | 9,9 |
| CVE-2026-59115 | Entra Provisioning Service (SyncFabric) | Élévation de privilèges | CWE-35 Traversée de chemin | 9,9 |
| CVE-2026-62830 | Azure SRE Agent | Élévation de privilèges | CWE-862 Autorisation manquante | 9,9 |
| CVE-2026-62873 | Microsoft 365 Admin Center | Élévation de privilèges | CWE-347 Vérification incorrecte de signature cryptographique | 9,8 |
| CVE-2026-70332 | SharePoint Online | Usurpation | CWE-918 SSRF (5), CWE-79 | 9,6 |
| CVE-2026-62896 | Microsoft Teams | Élévation de privilèges | CWE-287 Authentification incorrecte | 9,6 |
| CVE-2026-56161 | Azure Logic Apps | Divulgation d’information | CWE-284 Contrôle d’accès incorrect | 9,6 |
| CVE-2026-50516 | Azure Kubernetes Service | Élévation de privilèges | CWE-306 Authentification manquante sur fonction critique | 9,4 |
| CVE-2026-59118 | Microsoft Power Apps | Élévation de privilèges | CWE-285 Autorisation incorrecte | 9,3 |
| CVE-2026-68823 | Azure Confidential Ledger | Exécution de code à distance | CWE-749 Méthode ou fonction dangereuse exposée | 9,1 |
| CVE-2026-65668 | Purview eDiscovery | Élévation de privilèges | CWE-284 Contrôle d’accès incorrect | 8,8 |
| CVE-2026-62869 | Microsoft Entra ID | Usurpation | CWE-345 Vérification insuffisante de l’authenticité des données | 8,8 |
| CVE-2026-49163 | Application Insights Profiler | Élévation de privilèges | CWE-22 Traversée de chemin | 8,8 |
| CVE-2026-62836 | Azure SQL Managed Instance | Élévation de privilèges | CWE-923 Restriction incorrecte du canal de communication | 8,7 |
| CVE-2026-63522 | Azure SQL Database | Élévation de privilèges (locale) | CWE-732 Attribution incorrecte de permissions | 7,8 |
| CVE-2026-62918 | Microsoft Teams | Usurpation | CWE-347 Vérification incorrecte de signature cryptographique | 7,5 |
Répartition par impact : quatorze élévations de privilèges, trois usurpations, deux exécutions de code à distance ou RCE (6), une divulgation d’information.
Répartition par produit : Microsoft Teams concentre trois références, Azure SQL Database deux, les quinze autres services une chacun.
Quatorze références sur vingt atteignent ou dépassent un score de 9,0.
03. Ce que valent les scores, et ce qu’ils ne disent pas
Trois systèmes de notation coexistent sur ce lot, et ils ne concordent pas.
La gravité éditeur. L’export MSRC attribue la mention « Critical » aux vingt références, sans exception. Cette qualification relève de la méthodologie interne de Microsoft, qui pondère l’exposition réelle du service et le potentiel d’abus, indépendamment du calcul CVSS.
Le score CVSS de base publié par le CNA (7). Microsoft est autorité de numérotation pour ses propres produits. Les scores associés aux enregistrements CVE vont de 7,5 à 10,0.
Les scores estimés par les agrégateurs. C’est ici que la vigilance s’impose. Sur CVE-2026-62836, Azure SQL Managed Instance, l’agrégateur Feedly affiche un score de 10,0. L’enregistrement CVE publié par Microsoft porte en réalité le vecteur CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N/E:U/RL:O/RC:C, soit un score de base de 8,7. L’écart tient à la complexité d’attaque élevée (AC:H) et à l’absence d’impact sur la disponibilité (A:N), deux paramètres que l’estimation automatique n’a pas retenus.
À titre de comparaison, l’enregistrement de CVE-2026-65667, Microsoft Teams, porte le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N/E:U/RL:O/RC:C. La seule différence tient à la complexité d’attaque, faible cette fois, ce qui suffit à porter le score au maximum de l’échelle.
La conséquence opérationnelle est directe : un score repris d’un flux de veille sans vérification de l’enregistrement CVE d’origine peut introduire un écart supérieur à un point sur l’échelle. Sur un lot où la priorisation dépend entièrement du score, l’erreur se propage jusqu’au comité de suivi.
Les métriques temporelles présentes sur les enregistrements consultés méritent aussi lecture : E:U signale l’absence de code d’exploitation connu, RL:O la disponibilité d’un correctif officiel, RC:C une confirmation de l’éditeur. Aucune des vingt références ne fait état d’exploitation active.
04. Lecture par classe de faiblesse
Le lot ne comporte aucune corruption mémoire, aucun dépassement de tampon, aucune condition de concurrence. Les vingt vulnérabilités relèvent de la logique applicative et du contrôle d’accès.
Autorisation manquante ou incorrecte : cinq références. CWE-862 sur Teams et Azure SRE Agent, CWE-285 sur Power Apps, CWE-284 sur Azure Logic Apps et Purview eDiscovery. Le schéma est constant : un point d’entrée réseau existe, il est atteignable, et le contrôle qui devait filtrer l’appelant est absent ou mal placé. Sur CVE-2026-65667, la description indique explicitement un attaquant non authentifié.
Authentification manquante ou contournable : quatre références. CWE-306 sur Planetary Computer Pro et Azure Kubernetes Service, CWE-287 sur Azure SQL Database et Teams. La différence avec la classe précédente est structurelle : ici, l’identité de l’appelant n’est pas établie du tout.
Vérification de signature cryptographique défaillante : deux références. CWE-347 sur Microsoft 365 Admin Center et sur Teams. Ce défaut est le plus préoccupant sur le plan conceptuel, parce qu’il touche le mécanisme même sur lequel repose la confiance entre composants. Un jeton dont la signature n’est pas vérifiée correctement est un jeton forgeable.
Traversée de chemin : deux références. CWE-35 sur Entra Provisioning Service, CWE-22 sur Application Insights Profiler. La notation .../...// retenue par Microsoft pour CVE-2026-59115 décrit une variante de contournement de filtre par séquences imbriquées.
Classes isolées. CWE-502 désérialisation sur Azure Service Bus, l’une des deux exécutions de code à distance du lot. CWE-471 modification de données supposées immuables sur Azure Active Directory. CWE-918 SSRF sur SharePoint Online. CWE-749 méthode dangereuse exposée sur Azure Confidential Ledger. CWE-923 restriction incorrecte du canal de communication sur Azure SQL Managed Instance. CWE-345 vérification insuffisante de l’authenticité des données sur Entra ID. CWE-732 attribution incorrecte de permissions sur Azure SQL Database.
Cette distribution est cohérente avec la nature mutualisée des services concernés. Dans une plateforme multi-tenant, la frontière entre clients est une frontière logicielle. Elle est mise en œuvre par du code d’autorisation, pas par une séparation matérielle. Les faiblesses observées sont exactement celles qui menacent ce type de frontière.
05. Concentration sur la couche d’identité
Cinq des vingt références touchent des composants d’identité ou d’administration :
| CVE | Composant | CWE | CVSS |
|---|---|---|---|
| CVE-2026-50481 | Azure Active Directory | CWE-471 | 9,9 |
| CVE-2026-59115 | Entra Provisioning Service (SyncFabric) | CWE-35 | 9,9 |
| CVE-2026-62873 | Microsoft 365 Admin Center | CWE-347 | 9,8 |
| CVE-2026-62869 | Microsoft Entra ID | CWE-345 | 8,8 |
| CVE-2026-65668 | Purview eDiscovery | CWE-284 | 8,8 |
Le service de provisionnement Entra mérite une attention particulière. SyncFabric assure la synchronisation des identités entre annuaires et applications cibles. Une élévation de privilèges à ce niveau, notée 9,9 avec changement de périmètre, porte sur un composant qui dispose par construction de droits d’écriture étendus sur des objets d’identité.
Le Microsoft 365 Admin Center pose un problème du même ordre. CWE-347 sur un portail d’administration signifie qu’un mécanisme de validation de signature protégeant l’accès administratif était défaillant, et que l’attaquant décrit dans l’avis est non authentifié.
Ce groupe s’inscrit dans une tendance déjà observée sur la plateforme. En 2025, CVE-2025-55241 avait permis, via des jetons d’acteur mal validés, l’usurpation de n’importe quelle identité y compris administrateur global, sur n’importe quel tenant, sans journalisation dans le tenant victime. Cet antécédent est pertinent ici pour une raison précise : il a démontré qu’une vulnérabilité d’identité cloud peut être exploitée sans laisser de trace côté client.
À côté de ce groupe, deux références portent sur la plateforme applicative à faible code : CVE-2026-59118 sur Power Apps et CVE-2026-56161 sur Azure Logic Apps. Ces services sont fréquemment provisionnés par des directions métier, hors du périmètre inventorié par la direction des systèmes d’information.
06. Ce qui reste à la charge du tenant
La mention « aucune action client requise » décrit correctement la situation du correctif. Elle décrit mal la situation du risque.
Vérifier la mention au cas par cas. Toutes les références de ce lot ne se comportent pas de façon identique. CVE-2026-50516 porte sur Azure Kubernetes Service ou AKS (8), où certaines corrections nécessitent une mise à niveau des images de nœuds par le client. La page MSRC de chaque référence doit être consultée individuellement avant de conclure qu’il n’y a rien à faire.
Mesurer le délai de traitement. Les enregistrements CVE fournissent une donnée exploitable : la date de réservation de l’identifiant. CVE-2026-62836 a été réservée le 14 juillet 2026 et publiée le 6 août. CVE-2026-65667 a été réservée le 22 juillet et publiée le 6 août. Ces dates ne délimitent pas la fenêtre d’exposition réelle, qui commence à l’introduction du défaut et non à la réservation de l’identifiant. Elles donnent en revanche un ordre de grandeur du délai entre traitement interne et divulgation.
Contrôler la rétention de journalisation. Les durées de rétention par défaut des journaux Entra ID et des journaux d’audit Microsoft 365 sont courtes au regard du délai constaté entre réservation et publication. L’analyse rétrospective devient impossible dès que la fenêtre de rétention est dépassée. La configuration de rétention et l’export vers un SIEM (9) doivent être vérifiés, en tenant compte du niveau de licence, avant qu’une divulgation de ce type ne se produise et non après.
Inventorier les services réellement activés. Plusieurs services de ce lot sont fréquemment provisionnés sans passer par la direction des systèmes d’information : Power Apps, Logic Apps, Planetary Computer Pro. Une divulgation portant sur un service dont l’usage n’est pas inventorié ne déclenche aucune analyse d’impact, faute de savoir qu’il est en production.
Réduire la surface d’autorisation. Quatorze des vingt références sont des élévations de privilèges. Dans les cas où l’attaquant décrit est déjà authentifié avec de faibles privilèges, la portée de l’exploitation dépend directement du nombre de comptes et d’identités applicatives disposant d’un accès au service. La revue des attributions de rôles et la limitation des identités de service constituent la mesure de réduction du risque qui reste sous contrôle du client.
Ne pas transposer le modèle classique de gestion des vulnérabilités. Un programme construit sur la détection, la priorisation et le déploiement de correctif n’a aucune prise sur ce lot. L’objet à gérer n’est pas un actif à corriger, mais une dépendance à un fournisseur dont il faut suivre les publications, mesurer les délais, et documenter les décisions dans le registre des risques.
07. Limites de cette analyse
Cet article repose sur l’export MSRC du 6 août 2026, sur les enregistrements CVE publiés par Microsoft en tant que CNA, et sur les sources listées ci-dessous. Trois réserves s’imposent.
Les scores CVSS repris dans le tableau proviennent en partie de sources d’agrégation. Deux vecteurs seulement ont été vérifiés directement dans l’enregistrement CVE d’origine, CVE-2026-62836 et CVE-2026-65667, et l’un des deux présentait un écart avec la valeur agrégée. Une vérification référence par référence auprès du MSRC Update Guide et de la NVD (10) est recommandée avant toute décision de priorisation.
Les classes CWE indiquées pour les références non détaillées par les sources consultées sont déduites de la formulation de la description Microsoft, qui reprend l’intitulé normalisé de la faiblesse. Cette déduction est fiable, elle reste une déduction.
Enfin, Microsoft ne publie ni la durée d’exposition, ni les données de télémétrie d’exploitation pour ces services. L’absence d’exploitation documentée n’équivaut pas à une absence d’exploitation, et aucun élément public ne permet à un tenant de conclure qu’il n’a pas été affecté. Le catalogue KEV (11) de la CISA ne référence aucune de ces vingt entrées à la date de rédaction.
Sources
- Microsoft Security Response Center, Security Update Guide, export du 11 août 2026, vingt entrées datées du 6 août 2026. Fiche par référence sur
https://msrc.microsoft.com/update-guide/vulnerability/suivi de l’identifiant CVE. - Feedly Security Advisories, « August 2026 Early security update: 10 critical vulnerabilities amid 20 CVEs », publié le 6 août 2026, mis à jour le 10 août 2026. https://feedly.com/cve/security-advisories/microsoft/2026-08-06-august-2026-early-security-update-10-critical-vulnerabilities-amid-20-cves
- Ionut Arghire, « Microsoft, Apple Release Fresh Security Updates », SecurityWeek, 7 août 2026. https://www.securityweek.com/microsoft-apple-release-fresh-security-updates/
- Enregistrement CVE-2026-62836, données CVE Program via THREATINT, réservé le 14 juillet 2026, publié le 6 août 2026, mis à jour le 8 août 2026. https://cve.threatint.com/CVE/CVE-2026-62836
- Enregistrement CVE-2026-65667, données CVE Program via THREATINT, réservé le 22 juillet 2026, publié le 6 août 2026, mis à jour le 11 août 2026. https://cve.threatint.com/CVE/CVE-2026-65667
- Johannes Ullrich, « Microsoft May 2026 Patch Tuesday », SANS Internet Storm Center, 12 mai 2026, sur la mention « no customer action required » appliquée aux entrées Azure. https://isc.sans.edu/diary/Microsoft+May+2026+Patch+Tuesday/32980/
- Cybersecurity News, analyse du Microsoft Vulnerabilities Report 2026, sur CVE-2025-55241 et l’absence de journalisation dans le tenant victime. https://cybersecuritynews.com/microsoft-vulnerabilities-report-2026/
- TheWindowsUpdate.com, republication du flux MSRC pour les entrées du 6 août 2026. https://thewindowsupdate.com/2026/08/
Lexique des acronymes
- CVE : Common Vulnerabilities and Exposures, identifiant public normalisé d’une vulnérabilité.
- MSRC : Microsoft Security Response Center, entité de Microsoft chargée du traitement et de la publication des vulnérabilités.
- CVSS : Common Vulnerability Scoring System, système de notation normalisé de la gravité technique d’une vulnérabilité.
- CWE : Common Weakness Enumeration, taxonomie normalisée des classes de faiblesses logicielles.
- SSRF : Server-Side Request Forgery, falsification de requête côté serveur.
- RCE : Remote Code Execution, exécution de code à distance.
- CNA : CVE Numbering Authority, organisation autorisée à attribuer des identifiants CVE sur son périmètre.
- AKS : Azure Kubernetes Service.
- SIEM : Security Information and Event Management, plateforme de collecte et de corrélation des journaux de sécurité.
- NVD : National Vulnerability Database, base de vulnérabilités du NIST.
- KEV : Known Exploited Vulnerabilities, catalogue des vulnérabilités activement exploitées tenu par la CISA.
