KB5087420 — Mise à jour de sécurité de mai 2026 pour Windows 11 Version 23H2

Aperçu

KB5087420 est une mise à jour de sécurité complète publiée le 12 mai 2026 pour les systèmes Windows 11 Version 23H2. Cette mise à jour fait passer la version du système d'exploitation à 22631.7079 et corrige plusieurs vulnérabilités de sécurité critiques et importantes dans les composants principaux de Windows. La mise à jour est disponible pour les systèmes basés sur x64 et ARM64 et inclut des améliorations significatives de la sécurité pour le noyau Windows, les services de bureau à distance, Microsoft Edge WebView2, le composant graphique Windows, le spouleur d'impression et les sous-systèmes Hyper-V.

Vulnérabilités de sécurité corrigées

Cette mise à jour de sécurité résout six catégories distinctes de vulnérabilités qui pourraient potentiellement compromettre la sécurité du système, l'intégrité des données ou la confidentialité des utilisateurs. Les vulnérabilités vont de l'élévation de privilèges locaux à l'exécution de code à distance, affectant divers sous-systèmes et composants Windows.

Vulnérabilités du noyau Windows (CVE-2026-0187, CVE-2026-0188)

Deux vulnérabilités d'élévation de privilèges dans le noyau Windows ont été identifiées et résolues. Ces vulnérabilités pourraient permettre à des attaquants authentifiés localement d'exécuter du code arbitraire avec des privilèges de niveau SYSTÈME, compromettant potentiellement l'ensemble du système. Les vulnérabilités proviennent d'une validation d'entrée incorrecte dans les appels système du noyau et de vérifications insuffisantes des limites de mémoire dans la gestion des objets du noyau.

Les correctifs incluent des mécanismes de validation d'entrée améliorés, des vérifications des limites de mémoire améliorées, un renforcement de la validation des privilèges pour les transitions en mode noyau et des descripteurs de sécurité du noyau mis à jour. Ces changements garantissent que les opérations du noyau maintiennent des limites de sécurité appropriées et empêchent l'élévation de privilèges non autorisée.

Vulnérabilité des services de bureau à distance (CVE-2026-0189)

Une vulnérabilité critique d'exécution de code à distance dans les services de bureau à distance a été corrigée. Cette vulnérabilité pourrait permettre à des attaquants non authentifiés d'exécuter du code arbitraire sur des systèmes cibles en envoyant des requêtes de connexion RDP spécialement conçues. La vulnérabilité était particulièrement préoccupante car elle pouvait être exploitée sur le réseau sans nécessiter d'interaction de l'utilisateur.

La résolution inclut une validation de protocole améliorée pour les requêtes de connexion RDP, une protection améliorée contre les débordements de mémoire tampon dans le traitement des messages RDP, des mécanismes d'authentification renforcés et une gestion des sessions RDP mise à jour pour prévenir la corruption de mémoire. Ces améliorations renforcent considérablement la posture de sécurité des systèmes avec RDP activé.

Vulnérabilités de Microsoft Edge WebView2 (CVE-2026-0190, CVE-2026-0191)

Plusieurs vulnérabilités de corruption de mémoire dans Microsoft Edge WebView2 ont été corrigées. Ces vulnérabilités pourraient conduire à l'exécution de code à distance lors du traitement de contenu web malveillant, affectant les applications qui intègrent des composants WebView2. Les vulnérabilités étaient liées à une validation incorrecte de l'allocation de mémoire et à des limites de sécurité insuffisantes du moteur JavaScript.

Les mises à jour incluent une validation améliorée de l'allocation de mémoire dans le moteur de rendu WebView2, des limites de sécurité du moteur JavaScript améliorées, une gestion du cycle de vie des objets DOM renforcée et un moteur JavaScript V8 mis à jour conformément à la dernière base de sécurité.

Vulnérabilité du composant graphique Windows (CVE-2026-0192)

Une vulnérabilité de divulgation d'informations dans le composant graphique Windows a été résolue. Cette vulnérabilité pourrait permettre aux attaquants de lire le contenu de mémoire sensible à partir des tampons graphiques, exposant potentiellement des informations confidentielles. Le problème était lié à une initialisation incorrecte de la mémoire et à un contrôle d'accès insuffisant pour les interfaces de périphériques graphiques.

Le correctif inclut une initialisation de mémoire améliorée pour les tampons graphiques, un contrôle d'accès amélioré pour les interfaces de périphériques graphiques, une validation renforcée des paramètres de l'API graphique et des vérifications de sécurité du runtime DirectX mises à jour.

Vulnérabilité du spouleur d'impression Windows (CVE-2026-0193)

Une vulnérabilité d'élévation de privilèges dans le service de spouleur d'impression Windows a été corrigée. Cette vulnérabilité pourrait permettre à des attaquants authentifiés localement d'obtenir des privilèges élevés par la manipulation des paramètres de travaux d'impression ou des opérations de fichiers du spouleur. La vulnérabilité affecte les systèmes avec le service de spouleur d'impression activé.

Les améliorations de sécurité incluent une validation améliorée des paramètres de travaux d'impression, un contrôle d'accès amélioré pour les opérations de fichiers du spouleur, une sécurité renforcée pour l'installation des pilotes d'imprimante et des limites de privilèges du service de spouleur mises à jour.

Vulnérabilité de Windows Hyper-V (CVE-2026-0194)

Une vulnérabilité de contournement de fonctionnalité de sécurité dans Windows Hyper-V a été corrigée. Cette vulnérabilité pourrait permettre aux machines virtuelles invitées de s'échapper des limites d'isolation et de compromettre potentiellement le système hôte. Le problème était lié à une isolation de mémoire de l'hyperviseur insuffisante et à une gestion incorrecte des sorties de machines virtuelles.

La résolution inclut des mécanismes d'isolation de mémoire de l'hyperviseur améliorés, une gestion des sorties de machines virtuelles améliorée, un renforcement de l'application HVCI et une validation de sécurité des périphériques virtuels mise à jour.

Installation et déploiement

La mise à jour est distribuée via les canaux standard de Windows Update et est compatible avec l'infrastructure de déploiement d'entreprise existante. Le processus d'installation nécessite généralement de 15 à 30 minutes et impose un redémarrage du système pour compléter les améliorations de sécurité.

Pour les environnements d'entreprise, la mise à jour s'intègre parfaitement avec Windows Server Update Services (WSUS), System Center Configuration Manager (SCCM) et Microsoft Intune. Les administrateurs informatiques peuvent tirer parti des politiques de gestion des correctifs existantes et des calendriers de déploiement pour garantir une posture de sécurité cohérente sur les appareils gérés.

Les packages de mise à jour sont optimisés pour différentes architectures, avec la version x64 d'environ 485 Mo et la version ARM64 d'environ 445 Mo. Ces tailles reflètent la nature complète des améliorations de sécurité et l'inclusion de composants système mis à jour.

Considérations de performance et de compatibilité

Bien que les mises à jour de sécurité soient conçues pour maintenir les performances du système, certains impacts temporaires peuvent être observés, en particulier sur les systèmes basés sur ARM64. Ces impacts sont généralement résolus dans les 24 heures à mesure que les processus d'optimisation du système se terminent automatiquement.

La mise à jour maintient la compatibilité avec les applications et configurations matérielles existantes. Cependant, une validation de sécurité renforcée peut entraîner des temps de démarrage légèrement plus longs pour certains services, en particulier les machines virtuelles Hyper-V, qui peuvent connaître un temps de démarrage supplémentaire de 5 à 10 secondes en raison des vérifications de sécurité améliorées.

Les logiciels de sécurité tiers peuvent nécessiter de brèves périodes d'ajustement à mesure que les fournisseurs mettent à jour leurs bases de données de compatibilité et leurs définitions de menaces pour s'adapter aux améliorations de sécurité incluses dans cette mise à jour.