Le Patch Tuesday de juillet 2026 chez Microsoft a corrigé 622 vulnérabilités, un record, dont une faille critique d’exécution de code à distance dans un protocole VPN intégré à Windows Server. Si vous administrez Always On VPN ou un autre accès distant basé sur SSTP, cet article vous concerne directement. Si vous utilisez une application VPN grand public comme NordVPN ou ProtonVPN, non. Voici la différence, et pourquoi elle mérite d’être expliquée.
Ce qui a été corrigé
Le 14 juillet, Microsoft a publié des correctifs pour 622 vulnérabilités, dont deux zero-days déjà exploitées activement et une troisième divulguée publiquement avant même qu’un correctif existe. Parmi les 62 failles classées critiques figure CVE-2026-50694, une vulnérabilité d’exécution de code à distance dans le Secure Socket Tunneling Protocol (SSTP), notée 8.1 sur l’échelle CVSS.
SSTP est un protocole de tunneling VPN que Microsoft a intégré à Windows il y a des années. Il encapsule le trafic PPP dans du HTTPS, ce qui le fait ressembler à du trafic web classique aux yeux des pare-feux et des proxys. C’est tout l’intérêt du protocole : il a été conçu pour traverser des équipements réseau restrictifs qui bloquent purement et simplement les autres protocoles VPN. C’est aussi le protocole utilisé par Always On VPN, la solution d’accès distant d’entreprise de Microsoft, en particulier pour les connexions user-tunnel qui permettent aux employés de rejoindre le réseau de leur entreprise depuis n’importe où.
CVE-2026-50694 est une faille de type use-after-free (classée CWE-416 dans la nomenclature standard). Concrètement, un attaquant non authentifié peut envoyer un paquet SSTP spécialement conçu à un serveur vulnérable et obtenir l’exécution de code, sans connexion préalable, sans qu’aucune action de l’utilisateur ne soit nécessaire. Richard Hicks, spécialiste reconnu d’Always On VPN, a placé cette mise à jour en tête de sa liste des correctifs prioritaires de juillet. Le seul élément atténuant : Microsoft juge la complexité d’exploitation élevée, l’attaquant doit accomplir plusieurs étapes préparatoires avant que l’exploit fonctionne. Cela laisse un peu de temps, mais ne rend pas le correctif optionnel pour autant.
Pourquoi une RCE non authentifiée sur un VPN exposé sur internet pose problème
Ce qui rend cette faille particulièrement gênante, c’est l’exposition. Les serveurs SSTP sont conçus pour être directement accessibles depuis internet, afin d’accepter les connexions entrantes d’employés distants. Ce n’est pas une erreur de configuration, c’est le principe même du protocole. Ce qui signifie aussi que tout rôle VPN SSTP vulnérable sur Windows Server est, par définition, accessible à quiconque scanne internet à sa recherche. Une RCE non authentifiée sur une infrastructure conçue pour être exposée sur internet, c’est à peu près ce qu’un Patch Tuesday peut produire de plus urgent.
Cette faille n’arrive pas dans le vide. Les équipements en périphérie de réseau et l’infrastructure d’accès distant, passerelles VPN, pare-feux, et serveurs associés, sont devenus l’une des catégories les plus exploitées lors des compromissions ces dernières années. Les attaquants ont compris qu’une seule faille dans une machine conçue pour accepter des connexions internet vaut mieux que des semaines à hameçonner un employé. Les chercheurs en sécurité pointent régulièrement ce schéma : des protocoles anciens et des appliances en périphérie jamais repensées pour le modèle de menace actuel.
Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.
Le Patch Tuesday de juillet 2026 dans son ensemble
La faille SSTP n’est qu’une ligne dans une publication très chargée. La mise à jour de juillet couvre 622 vulnérabilités au total, le plus important Patch Tuesday jamais publié, avec 62 failles classées critiques. Deux d’entre elles étaient déjà exploitées activement au moment de la publication du correctif, et une troisième avait été divulguée publiquement avant qu’un correctif n’existe. The Hacker News et CyberSecurityNews ont tous deux mis en avant l’ampleur du volume, en signalant spécifiquement la faille SSTP en raison de la façon dont ce protocole est déployé.
Les Patch Tuesday volumineux sont devenus la norme, mais l’ampleur de celui-ci rappelle que « patcher quand c’est pratique » n’est pas une vraie stratégie pour tout ce qui est exposé sur internet. Les attaquants lisent les notes de version le jour même où les équipes de sécurité les lisent.
Qui doit agir, et qui n’a rien à faire
Si vous administrez Always On VPN, ou tout déploiement Windows Server avec le rôle SSTP activé pour l’accès distant : patchez maintenant. C’est directement votre problème. Vérifiez quels serveurs ont le rôle VPN actif, confirmez que la mise à jour de juillet est appliquée, et si un patch immédiat est impossible, regardez si l’exposition SSTP peut être restreinte au niveau réseau en attendant. L’article de Richard Hicks et l’avis officiel de Microsoft indiquent les numéros de KB exacts selon votre version de Windows Server.
Si vous cherchez un abonnement VPN grand public, ou en utilisez déjà un : cette faille ne vous concerne pas. NordVPN, ProtonVPN, Mullvad et les autres services grand public traités sur ce site font tourner leur propre infrastructure serveur, basée sur des protocoles comme WireGuard, OpenVPN ou Lightway, pas sur un rôle SSTP de Windows Server. CVE-2026-50694 est une faille dans un composant précis du logiciel serveur de Microsoft, pas dans le concept de VPN, et encore moins dans une application grand public. C’est une question légitime de se demander, chaque fois qu’un titre « faille VPN » apparaît, si son propre abonnement est concerné, et la réponse honnête ici est : vérifiez de quelle infrastructure l’article parle réellement avant de vous inquiéter.
Ce schéma mérite d’être retenu de toute façon. C’est la même leçon que dans d’autres actualités VPN cette année : le mot « VPN » désigne des produits radicalement différents, d’un rôle Windows Server intégré à des réseaux d’entreprise à une application grand public installée sur un téléphone, et une faille critique dans l’un ne dit rien sur l’autre.
Ce qu’il faut faire maintenant
Pour les administrateurs : cette faille va dans la liste « à corriger immédiatement », pas dans celle de la prochaine fenêtre de maintenance. RCE non authentifiée et exposition sur internet par conception, c’est la combinaison qui se transforme en compromission si elle reste sans correctif. Croisez chaque instance Windows Server exécutant Always On VPN ou un autre accès distant SSTP avec la mise à jour de juillet 2026, et ne partez pas du principe que « on s’en occupera plus tard » est sans risque, vu à quel point l’infrastructure en périphérie attire les attaquants aujourd’hui.
Pour tous les autres : aucune action nécessaire. Si vous cherchez un VPN qui ne repose pas sur une infrastructure Windows historique et qui utilise un protocole moderne par défaut, des fournisseurs comme NordVPN utilisent par défaut NordLynx, leur implémentation de WireGuard, une base de code et une surface d’attaque totalement différentes. Si la vie privée et un historique d’audits transparent comptent plus pour vous que la vitesse brute, ProtonVPN mérite aussi le détour. Notre guide des protocoles VPN et notre comparatif WireGuard vs OpenVPN détaillent pourquoi le protocole utilisé par un fournisseur compte plus qu’on ne le pense.
CVE-2026-50694 est une faille sérieuse pour le groupe restreint d'administrateurs qui font tourner une infrastructure VPN basée sur SSTP, et un non-événement pour tous les utilisateurs d'applications VPN grand public. Le vrai sujet, c'est le Patch Tuesday record de 622 vulnérabilités dans lequel elle s'inscrit, et la tendance de fond qui fait de l'infrastructure d'accès distant en périphérie de réseau la porte d'entrée préférée des attaquants vers les réseaux d'entreprise. Si vous administrez Always On VPN, patchez aujourd'hui. Si vous choisissez un VPN grand public, cette faille ne change rien à votre décision, mais reste un bon rappel de privilégier un fournisseur qui utilise des protocoles modernes plutôt qu'anciens.
Sources : Richard Hicks, Always On VPN Security Updates | The Hacker News