Le 13 octobre 2026, Microsoft a publié son Patch Tuesday mensuel. Et cette fois, les chiffres donnent le vertige : 1 411 vulnérabilités corrigées en une seule fois, un record selon BleepingComputer. Ce total n’inclut même pas les 348 failles déjà corrigées plus tôt dans le mois.
Derrière ce chiffre spectaculaire, une seule question compte pour une PME ou un administrateur : qu’est-ce qui doit être installé en priorité ? Réponse en trois points.
Une faille déjà exploitée : CVE-2026-96951 (Windows Shell)
Parmi les trois « zero-days » du mois, un seul est activement exploité : CVE-2026-96951, une faille de contournement de sécurité dans le shell de Windows.
Elle permet de contourner la Marque du Web (Mark of the Web). C’est l’étiquette que Windows pose sur les fichiers téléchargés depuis Internet ; c’est elle qui déclenche l’avertissement « ce fichier provient d’Internet » et le mode protégé d’Office. Sans elle, un fichier piégé reçu par e-mail ou téléchargé s’ouvre comme s’il venait de votre propre disque.
Microsoft la classe « Importante », avec un score CVSS de 8,8. Mais une faille exploitée dans la nature passe avant n’importe quelle faille « Critique » restée théorique. Microsoft n’a pas donné de détails sur les attaques en cours.
Deux failles rendues publiques avant le correctif
Les deux autres zero-days étaient publiquement divulgués au moment du correctif, sans attaque connue à ce stade :
- CVE-2026-108398, dans le .NET Framework : un contournement qui pourrait permettre d’échapper à Windows Defender Application Control (WDAC), le mécanisme qui limite les programmes autorisés à s’exécuter. Elle a été découverte par James Forshaw, de Google Project Zero.
- CVE-2026-92707, dans MessagePack-CSharp, une bibliothèque de sérialisation : un déni de service, classé « Modéré ».
Une faille publique sans attaque, c’est une course : les détails techniques sont disponibles, l’exploitation peut suivre rapidement.
Pourquoi autant de failles ?
Sur les 1 411 failles, 70 sont critiques, dont 57 permettent d’exécuter du code à distance. Selon BleepingComputer, ce volume record s’explique par l’usage croissant d’outils d’IA pour trouver et corriger des vulnérabilités chez Microsoft.
Microsoft teste aussi une nouveauté : des « cohortes de risque », qui regroupent les failles apparentées en 15 familles (par exemple 136 failles dans les systèmes de fichiers, le stockage et la sauvegarde, et 135 dans les documents Office et les clients mail). L’éditeur précise que ces groupes n’indiquent pas quelles failles sont les plus dangereuses et que l’approche est expérimentale.
Fins de support à surveiller
Ce Patch Tuesday est aussi le dernier pour plusieurs versions :
- Windows 11 24H2, éditions Famille et Pro ;
- Windows 10 Entreprise LTSB 2016.
Et Windows 11 23H2 (Entreprise, Éducation, IoT Entreprise) ne recevra plus de mises à jour de sécurité dès le mois prochain. Si votre parc tourne encore sur ces versions, la mise à niveau devient urgente : un poste sans correctifs de sécurité ne devrait plus être exposé à Internet.
Les autres éditeurs aussi
Le même jour, plusieurs éditeurs ont publié des correctifs importants. Citrix, Fortinet et Ivanti ont chacun corrigé des failles exploitées dans des attaques. Côté Atlassian, la CVE-2026-21589 a été exploitée après la publication d’une preuve de concept. Chez SonicWall, une faille SSRF de la gamme SMA1000 a été exploitée en deux jours.
Que faire concrètement ?
- Déployer les mises à jour Windows d’octobre en priorité sur les postes qui reçoivent des pièces jointes et des téléchargements : ce sont eux que vise la faille de la Marque du Web.
- Ne pas attendre le cycle habituel pour les postes exposés : une faille exploitée justifie un déploiement accéléré.
- Inventorier les versions de Windows de votre parc et planifier la sortie de Windows 11 24H2 Famille/Pro et 23H2 Entreprise.
- Vérifier vos équipements réseau (VPN, pare-feux, passerelles d’accès distant) : ce sont eux que visent les attaques les plus graves du mois chez les autres éditeurs.
- Rappeler aux équipes de se méfier des fichiers reçus par e-mail, même quand Windows n’affiche aucun avertissement.
Un doute sur la capacité de vos équipes à repérer un e-mail piégé ? Notre détecteur de phishing et notre quiz cybersécurité sont gratuits et se font en dix minutes.
Sources
- BleepingComputer, « Microsoft October 2026 Patch Tuesday fixes 1,411 flaws, 3 zero-days », 13 octobre 2026 : https://www.bleepingcomputer.com/news/microsoft/microsoft-october-2026-patch-tuesday-fixes-1-411-flaws-3-zero-days/
