Microsoft corrige 570 failles, Mythos d'Anthropic force la cadence

Microsoft a publié ce 15 juillet le plus gros lot de correctifs de son histoire, plus de 570 vulnérabilités, et l'angle qui compte n'est pas la taille du lot mais ce qui l'accompagne. Deux failles sont déjà activement exploitées, rapporte Help Net Security : CVE-2026-56164 dans SharePoint Server, décrite comme exploitable à distance et de faible complexité, et CVE-2026-56155 dans Active Directory Federation Services, une élévation de privilèges sur une brique d'identité que les attaquants adorent pivoter.

Le vrai signal se trouve dans le message de Redmond. Microsoft reconnaît explicitement utiliser l'IA pour accélérer sa propre chasse aux bugs, et prévient que « d'autres chercheurs en sécurité et attaquants font la même chose ». La recommandation officielle bascule : moins de trois jours pour appliquer les correctifs critiques, contre quelques semaines auparavant. C'est un changement de cadence, pas de discours.

Pour l'illustrer, les équipes citent une trouvaille du Red Team d'Anthropic reprise par Tenable : le modèle Mythos Preview a produit des preuves de concept exploitables pour 13 des 14 vulnérabilités classées « Exploitation Less Likely » ou « Exploitation Unlikely ». Autrement dit, la case « peu probable » du système d'évaluation Microsoft ne veut plus dire grand-chose quand un modèle sait automatiser une bonne partie du travail. Satnam Narang, de Tenable, rappelle d'ailleurs qu'une vulnérabilité SharePoint (CVE-2026-45659), initialement rangée dans cette catégorie, a été ajoutée à la KEV de la CISA le 1er juillet.

L'honnête caveat, c'est que le chiffre de 13 sur 14 vient du Red Team d'Anthropic lui-même, rapporté par Tenable, et que le rapport ne détaille pas la qualité des exploits générés ni le taux de faux positifs sur d'autres classes de failles. On ne sait pas non plus si la fenêtre de trois jours est une consigne interne opérable pour les grands parcs, ni quels IOC publics accompagnent l'exploitation active de CVE-2026-56164 et CVE-2026-56155 à la date de publication.

Le côté utile pour un RSSI : le triage classique fondé sur les scores d'exploitabilité de l'éditeur cesse d'être un filtre fiable. Les équipes qui investissent dès maintenant dans le déploiement automatisé et la validation continue prennent une avance directe sur celles qui restent sur un cycle mensuel.