Le 17 septembre 2026, Microsoft a publié un correctif hors cycle pour une vulnérabilité dans Azure AI Foundry, la plateforme d'entreprise que des milliers de sociétés utilisent pour bâtir, déployer et gouverner leurs applications et agents d'IA générative. La gravité est de CVSS 10.0, le maximum. La description tient en une phrase, et elle mérite d'être lue lentement : authentification manquante sur une fonction critique.
Traduit du langage éditeur : un attaquant non authentifié sur le réseau pouvait atteindre une fonction critique de la plateforme sans aucune connexion, puis s'en servir pour élever ses privilèges. Aucun identifiant. Aucun hameçonnage. Aucune interaction utilisateur. Juste un point d'accès joignable et un contrôle absent.
Microsoft affirme qu'aucune exploitation de CVE-2026-85889 n'a été observée dans la nature, que la faille est déjà entièrement corrigée côté serveur et qu'aucune action client n'est nécessaire. Ces deux affirmations sont très probablement vraies. Ni l'une ni l'autre n'est le point intéressant.
Ce que Microsoft a réellement publié
CVE-2026-85889 n'est pas venue seule. Dans la même fenêtre, Microsoft a corrigé une grappe de failles critiques dans son écosystème cloud :
- CVE-2026-85885 (CVSS 9.9) : injection de commandes dans Microsoft 365 Copilot, avec élévation de privilèges par le réseau.
- CVE-2026-85878 (CVSS 9.9) : autorisation incorrecte dans Azure Database for PostgreSQL, même résultat.
- CVE-2026-87701 (CVSS 9.6) : neutralisation incorrecte dans Azure Cosmos DB, également avec élévation de privilèges.
- CVE-2026-69843 et CVE-2026-62874 : failles de gravité maximale dans Microsoft Fabric et Azure Billing, notées 10.0 par des traqueurs indépendants.
La même semaine, Microsoft a clos un record de 974 vulnérabilités dans son portefeuille lors de son Patch Tuesday de septembre, dont deux sont déjà exploitées activement. Des chercheurs ont enchaîné l'une d'elles, une faille ALPC de Windows, dans un kit d'exploitation nommé BlueMoon utilisé par plusieurs groupes liés à l'espionnage, aux côtés de deux zero-days Chrome.
Lisez cette liste comme une forme, pas comme une suite d'incidents isolés. Les 10.0 et les 9.9 ne se dispersent pas dans les logiciels de bureau. Ils se concentrent dans les clouds, les plateformes de données et les services d'IA. C'est là que la surface d'attaque des entreprises s'est déplacée, et c'est là que les trouvailles critiques suivent.
« Aucune action client requise » ne veut pas dire « aucun travail client »
La formule signifie que l'éditeur a corrigé le serveur que vous louez. Elle ne dit rien des conséquences de votre côté, et c'est précisément là que la plupart des équipes arrêtent leur lecture.
Une élévation de privilèges non authentifiée dans une plateforme d'IA est un problème de plan de contrôle. Azure AI Foundry n'est pas un chatbot dans un onglet. C'est l'endroit où les modèles sont déployés, où vivent les prompts et les données d'évaluation, où les sources de données sont branchées, où les identités d'agents et les permissions d'outils sont définies. Selon la configuration de votre tenant, atteindre cette couche peut vouloir dire atteindre vos comptes de stockage, votre Key Vault, vos déploiements Azure OpenAI ou les service principals qui portent le reste de votre environnement.
« Déjà corrigé » répond à la question dont l'éditeur est responsable. Cela ne répond pas à la vôtre : qu'aurait exposé, dans votre environnement, une brève fenêtre d'accès non authentifié à cette couche ?
Votre plateforme d'IA est un plan de contrôle. Traitez-la comme tel.
Pendant une décennie, nous avons traité les plans de contrôle IAM, CI/CD et Kubernetes comme des systèmes Tier-0 : revue des accès privilégiés, journalisation des changements, restrictions réseau, procédures de secours. Les plateformes d'IA ont grandi jusqu'à cette catégorie tout en étant, le plus souvent, gouvernées comme un espace de projet.
C'est cet écart que cet avis devrait combler. Trois conséquences pratiques :
- D'abord, l'inventaire. On ne peut pas raisonner sur le rayon d'impact sans savoir quels tenants, abonnements et services d'IA vous exploitez. La plupart des organisations que nous voyons déploient des services d'IA plus vite que leur registre d'actifs ne se met à jour.
- Dessinez la carte des identités. Pour chaque plateforme d'IA, listez chaque identité managée, service principal et connexion qu'elle peut assumer, et chaque magasin de données qu'elle peut lire. Le rayon d'impact, c'est cette carte, pas la plateforme elle-même.
- Placez les plans de contrôle IA dans le palier privilégié. Administrateurs nommés, MFA et accès conditionnel, journalisation des sessions, exposition réseau restreinte et alertes sur les changements administratifs, exactement comme pour un contrôleur de domaine.
Pourquoi un 10.0 ne pèse pas pareil sur une plateforme d'IA
Une authentification manquante est une classe de faille classique, presque banale. Elle figure depuis des années dans le dictionnaire OWASP. Ce qui a changé, c'est la valeur de ce qui se trouve derrière le contrôle.
Il y a trois ans, une faille non authentifiée dans un service d'analyse restait un problème sérieux à l'échelle d'un département. Aujourd'hui, la même classe d'erreur se trouve devant le système qui décide quels outils vos agents peuvent appeler, quelles données ils peuvent lire et quels identifiants ils peuvent emprunter. La note de gravité n'a pas changé. L'actif, si.
Un second effet mérite d'être nommé. Les charges d'IA concentrent des matières sensibles par conception : prompts contenant des données clients, jeux d'évaluation bâtis sur des documents internes, index de recherche construits sur tout ce que l'entreprise sait. Compromettre le plan de contrôle n'est pas une porte dérobée vers une application. C'est une carte et une clé vers la matière qui alimente toutes les autres.
Ce que nous disons à nos clients cette semaine
- Confirmez votre exposition et votre niveau de version. Les services cloud sont corrigés par l'éditeur, mais les composants auto-hébergés de la même architecture, notamment les configurations Azure Database for PostgreSQL et Cosmos DB, méritent une revue délibérée.
- Reprenez la conception identité et accès autour de vos charges d'IA. Le moindre privilège entre la couche IA et la couche de données est le contrôle le plus rentable que vous possédez, et il survit aux failles de plateforme qu'aucun cycle de correctifs n'atteint.
- Gardez les secrets hors des environnements d'agents. Des clés de longue durée transforment une faille de plateforme en incident à l'échelle de l'entreprise.
- Journalisez et alertez sur les changements du plan de contrôle. Si personne ne remarque un nouveau service principal, c'est quelqu'un d'autre qui mesure le délai de correction.
- Donnez un responsable nommé à chaque service d'IA. Les services d'IA non suivis sont ceux que l'on découvre pendant un incident. Trouvez-les maintenant.
La vue d'ensemble
Microsoft a bien fait les choses : correctif rapide, avis clair, divulgation responsable. La partie inconfortable n'est pas l'incident, c'est le motif. Les plateformes d'IA sont désormais une infrastructure de production pour la finance, la santé, la logistique et le secteur public dans cette région et au-delà, et elles accumulent les trouvailles de gravité maximale comme l'infrastructure cloud l'a fait à ses débuts.
Les équipes qui traverseront cette décennie en bonne posture ne sont pas celles qui corrigent le plus vite, mais celles qui partent du principe que la plateforme sera compromise un jour et conçoivent pour que ce soit survivable : frontières d'identité serrées, aucun identifiant ambiant, propriété claire, et un plan de contrôle que quelqu'un surveille réellement.
Si vous ne savez pas ce qu'un attaquant non authentifié aurait pu atteindre à travers votre couche de plateforme IA, c'est une conversation qui vaut la peine d'avoir cette semaine.
Sources
- Microsoft Security Response Center : avis CVE-2026-85889, CVE-2026-85885, CVE-2026-85878 et CVE-2026-87701, septembre 2026
- The Hacker News : Microsoft Patches CVSS 10.0 Azure AI Foundry Flaw Enabling Unauthorized Privilege Escalation, 18 septembre 2026
- Archive CVE Brief, 18 septembre 2026
- Microsoft : notes de maintenance du Patch Tuesday de septembre 2026