Microsoft a publié son plus gros Patch Tuesday de l’histoire en juillet 2026, avec pas moins de 622 vulnérabilités corrigées. Ce volume est plus de trois fois supérieur au précédent record de juin (environ 200 correctifs). Parmi ces failles, deux zero-days sont déjà activement exploitées par des attaquants, ce qui place les équipes de sécurité françaises face à un défi de priorisation sans précédent.

Cette mise à jour massive intervient dans un contexte où la surface d’attaque des systèmes d’information ne cesse de croître, et où les cybercriminels exploitent chaque fenêtre de vulnérabilité. Pour les DSI et RSSI, le mois de juillet 2026 restera comme un tournant : il ne s’agit plus seulement de patcher, mais de patcher intelligemment, en se concentrant sur les menaces réelles plutôt que sur les seuls scores CVSS.

Introduction : une faille XSS stockée cible le client web classique de Zimbra

En juillet 2026, Zimbra a publié la mise à jour Daffodil v10.1.19 corrigeant une vulnérabilité de type cross-site scripting (XSS) stockée affectant le client web classique de sa plateforme de messagerie. Selon les informations divulguées, un attaquant peut envoyer un courriel spécialement conçu qui, une fois consulté par le destinataire dans le client web classique, exécute du code JavaScript malveillant dans le contexte de la session de l’utilisateur connecté. Cette vulnérabilité, bien que non identifiée par un identifiant CVE à ce jour, représente une menace sérieuse pour les organisations utilisant Zimbra, notamment celles qui ont conservé le client web classique activé. Cet article détaille la nature de la faille, les mesures correctives appliquées, et propose une feuille de route pour les équipes de sécurité.

Une faille inédite transforme les erreurs des assistants IA en vecteur de botnet

80 % des demandes adressées à un assistant de codage pour obtenir un outil populaire aboutissent à la même réponse fictive. Cette découverte, publiée en juillet 2026 par des chercheurs de l’Université de Tel-Aviv, du Technion et d’Intuit, n’est pas une simple curiosité technique : elle fonde une méthode d’attaque redoutable baptisée HalluSquatting. Son principe ? Exploiter la propension des modèles de langage à halluciner des noms de ressources qui n’existent pas, puis les enregistrer sur des plateformes comme GitHub ou des magasins de plugins. L’assistant, en toute confiance, télécharge et exécute alors le contenu malveillant à la place de l’outil légitime, ouvrant la voie à l’installation discrète d’un botnet.