Patch Tuesday : Microsoft corrige 1 411 failles, une déjà exploitée

Le Patch Tuesday d'octobre 2026 est un record : 1 411 vulnérabilités corrigées selon le décompte de BleepingComputer, auxquelles s'ajoutent 348 failles corrigées plus tôt dans le mois. Parmi elles, une zero-day activement exploitée, CVE-2026-96951, un contournement de fonctionnalité de sécurité du Shell Windows. Priorisez la faille exploitée ; le volume brut est inhabituel, mais c'est le tri ci-dessous qui compte.

Source primaire : le Security Update Guide de Microsoft. Décomptes indépendants chez Next et BleepingComputer.

La faille exploitée

CVE-2026-96951 — contournement de fonctionnalité de sécurité du Shell Windows, score CVSS 8,8. Microsoft la décrit comme une injection de commande exploitable à distance qui contourne la protection Mark of the Web (MotW). Les contournements de MotW sont le classique déclencheur de phishing : ils permettent d'exécuter un fichier téléchargé sans l'avertissement « ce fichier vient d'Internet ». Microsoft la marque comme exploitée, sans publier qui a signalé l'abus.

Les autres failles notables

• CVE-2026-108398 — contournement de sécurité du .NET Framework, CVSS 8,8. Elle permet de contourner WDAC et de lancer des applications non autorisées. Découverte par James Forshaw (Project Zero, Google).
• CVE-2026-92707 — déni de service dans .NET, CVSS 5,3.

Sur les 1 411 correctifs de mardi, 70 sont jugés critiques : 57 exécutions de code à distance, 11 élévations de privilèges, 2 usurpations. Les produits touchés vont de Windows (Shell) et .NET Framework à Azure API Center, Azure App Service, Azure Event Grid, Dataverse, Microsoft Bookings et Exchange Server.

Que faire

1. Déployez d'abord le correctif de CVE-2026-96951. C'est la seule faille marquée comme exploitée ; un contournement de MotW arme directement les campagnes de phishing en cours.
2. Traitez ensuite les RCE critiques (57 ce mois-ci) sur les systèmes exposés, puis les élévations de privilèges.
3. Planifiez le redémarrage. Microsoft indique que la mise à jour nécessite un reboot — anticipez les fenêtres de maintenance vu le volume.
4. Couvrez les services Azure et Exchange visés par les 348 correctifs publiés plus tôt dans le mois, souvent appliqués côté service mais à vérifier.

Contexte

C'est le cinquième mois de record consécutif. Next attribue cette inflation à l'usage intensif de l'IA dans la détection de failles : Microsoft s'appuie sur MDASH, un harnais multi-agents présenté en mai, et sur le projet Perception lancé en juillet (fondé sur MDASH et le modèle MAI-Cyber-1-Flash). La tendance dépasse Redmond — la découverte assistée par IA a aussi produit cette semaine la faille vhost du noyau Linux et un use-after-free dans curl. Plus d'outils trouvent plus de bugs ; la charge de patch management, elle, ne diminue pas.