Ce texte a été généré par l'intelligence artificielle (IA).Microsoft introduit CVE-2026-78509 avec un Score CVSS de 9,8. La vulnérabilité concerne plusieurs produits Microsoft Office. Le score CVSS décrit un vecteur d'attaque basé sur le réseau avec une faible complexité, sans authentification requise et sans interaction de l'utilisateur requise.
Mes systèmes sont-ils concernés ? Vérifier maintenant →
En bref :
Selon l'avis du Microsoft Security Response Center concernant CVE-2026-78509, la vulnérabilité concerne les produits suivants — la liste complète et faisant foi des produits doit être consultée directement dans l'avis du MSRC :
Pour la confidentialité, l'intégrité et la disponibilité, le score CVSS indique des impacts élevés. Aucune exploitation active n'est documentée pour CVE-2026-78509.
Les organisations doivent identifier les produits concernés dans l'inventaire logiciel et vérifier l'état des correctifs pour CVE-2026-78509. Pour les produits Microsoft Office et Word mentionnés, les mises à jour du patch Tuesday de septembre 2026 doivent être appliquées.
Un traitement structuré comprend notamment :
Pour les organisations en Allemagne et en Autriche qui relouent de la directive NIS-2, une gestion structurée des vulnérabilités fait partie de l'obligation de diligence légale ; en Suisse, la loi révisée sur la sécurité de l'information (LSI) s'applique avec une obligation de notification au OFCS. Si l'exploitation réussie de cette vulnérabilité entraîne un incident de sécurité concernant des données à caractère personnel, une obligation de notification de 72 heures à l'autorité de protection des données compétente s'applique conformément à l'article 33 du RGPD.
L'audit des produits Office installés et de leurs niveaux de correctifs reste une tâche relevant de l'inventaire logiciel interne. LocateRisk peut rendre visibles des services accessibles au public et des traces de produits sous ses propres domaines. Cette visibilité peut aider à la priorisation, mais ne confirme pas une version spécifiquement vulnérable.
Du point de vue des fournisseurs, C-VRM complète l'évaluation technique : il peut signaler lorsque des vulnérabilités critiques sont découvertes chez des fournisseurs de technologies ou lorsque leur niveau de sécurité évolue. Il est ainsi possible d'intégrer les dépendances vis-à-vis des fabricants dans l'évaluation des risques.
Sont concernés Microsoft 365 Apps for Enterprise, Microsoft Office 2019 et Microsoft Office 365 for Mac. Quiconque souhaite savoir si Microsoft 365 Apps for Enterprise, Microsoft Office 2019 et Microsoft Office 365 for Mac sont visibles dans sa propre infrastructure accessible de l'extérieur peut utiliser le Vérification rapide CVE à consulter à la fin de cet article : il présente les systèmes exposés et les logiciels identifiables depuis l'extérieur.
Il n'est pas toujours possible de déterminer la version effectivement installée à partir d'éléments externes — il est essentiel de la comparer avec l'avis de sécurité du fabricant.
CVE-2026-78509 est une vulnérabilité critique dans plusieurs produits Microsoft Office, permettant l'exécution de code à distance. Le score CVSS est de 9,8, soit le niveau de criticité le plus élevé sur l'échelle CVSS-3.1. Microsoft a fourni des mises à jour de sécurité le 8 septembre 2026 dans le cadre du Patch Tuesday.
Selon le Microsoft Security Response Center, plusieurs familles de produits Microsoft Office sont concernées, notamment Microsoft 365 Apps for Enterprise, Office 2019, diverses éditions LTSC ainsi que Word 2016. La liste exhaustive et contraignante des produits peut être consultée directement dans l'avis du MSRC. Aucune exploitation active n'est documentée pour la faille CVE-2026-78509 au moment de la publication.
Microsoft a déployé des mises à jour de sécurité le 8 septembre 2026 dans le cadre du Patch Tuesday. Les organisations doivent recenser les produits concernés dans leur inventaire, comparer leur statut de mise à jour avec le Microsoft Update Guide et installer rapidement les mises à jour en attente. Ensuite, il est recommandé de les intégrer dans une surveillance continue des vulnérabilités.
État au 09.09.2026. Cet article est fourni à titre d'information générale et ne constitue pas un conseil juridique, de sécurité ou opérationnel dans un cas particulier. La situation en matière de sécurité et la disponibilité des correctifs peuvent avoir changé depuis la publication ; l'avis du fabricant lié fait toujours foi. Malgré des recherches minutieuses, nous déclinons toute responsabilité quant à l'actualité, l'exactitude et l'exhaustivité des informations.
Vérifiez en quelques minutes si votre surface d'attaque visible depuis l'extérieur présente des indices liés à une vulnérabilité CVE actuelle.
Français 
Deutsch 
English