Le 13 octobre 2026, Microsoft a publié son plus gros Patch Tuesday à ce jour : 1 411 failles corrigées en une seule fournée, dont 70 classées critiques (57 d’exécution de code à distance, 11 d’élévation de privilèges, 2 de spoofing). Trois zero-days dans le lot. Une seule compte vraiment pour la priorisation immédiate : CVE-2026-96951, un contournement du Mark of the Web dans le Shell Windows, déjà exploité activement avant même la sortie du correctif. Le délai fixé par la CISA pour les agences fédérales américaines, le 16 octobre, est passé depuis quatre jours au moment où tu lis ces lignes. Si ce correctif n’est pas encore déployé chez toi, c’est le moment de remonter la pile des priorités.
Ce que fait CVE-2026-96951
Le Mark of the Web (MOTW) est l’attribut que Windows attache automatiquement à un fichier téléchargé depuis Internet — c’est lui qui déclenche l’avertissement SmartScreen, la Vue protégée d’Office, ou le blocage par défaut de certaines macros. Microsoft décrit CVE-2026-96951 comme une injection de commande dans le Shell Windows permettant à un attaquant non authentifié de contourner cette protection par le réseau. En clair : un fichier qui devrait être marqué comme non fiable passe au travers, et la victime se retrouve à exécuter un contenu que Windows aurait dû signaler.
Microsoft n’a publié aucun détail sur le vecteur d’exploitation exact ni sur qui a découvert la faille — une discrétion fréquente quand l’exploitation est déjà active et que communiquer le mécanisme risquerait d’accélérer sa diffusion. On sait en revanche, via le tracker de vulnérabilités Senserva, que le score CVSS retenu est de 8.8 et que la faille touche la quasi-totalité du parc Windows encore sous support : Windows 10 (1607, 1809, 21H2, 22H2), Windows 11 (23H2 à 26H2), et Windows Server de 2012 R2 à 2025, Server Core compris.
Le contournement MOTW ne sert quasiment jamais seul. C’est une brique qui désamorce une protection pour laisser passer l’étape suivante d’une attaque, typiquement un document ou un exécutable qui, une fois le marquage neutralisé, s’ouvre sans l’avertissement qui aurait dû faire hésiter l’utilisateur ou bloquer l’exécution. Le genre de brique qu’on retrouve en amont de campagnes de phishing livrant un chargeur ou un ransomware, même si Microsoft n’a lié cette CVE précise à aucune campagne nommée pour l’instant.
Les deux autres zero-days du mois
Contrairement à CVE-2026-96951, les deux autres ne sont pas exploitées activement : elles ont simplement été rendues publiques avant le correctif, ce qui justifie quand même une priorité au-dessus de la moyenne.
CVE-2026-108398 touche le .NET Framework : un chemin de recherche non fiable permet à un attaquant déjà authentifié localement de déposer un assembly .NET forgé et de contourner Windows Defender Application Control (WDAC), avec exécution de code dans un processus protégé, sans interaction de l’utilisateur. C’est James Forshaw, de Google Project Zero, qui l’a signalée ; son nom revient régulièrement sur ce type de faille touchant les mécanismes de confiance Windows.
CVE-2026-92707 est plus anodine : un déni de service dans MessagePack-CSharp, causé par une allocation mémoire séquentielle mal bornée côté .NET, exploitable à distance sans authentification. Microsoft la classe « modérée », loin derrière les deux premières en termes de priorité de correctif.
Patcher, concrètement
Les correctifs de CVE-2026-96951 sont répartis sur neuf mises à jour cumulatives selon la version visée : KB5126646, KB5126651, KB5126653, KB5126655, KB5126657, KB5126836, KB5126868, KB5127646 et KB5127648. Ces mêmes KB corrigent au passage huit autres CVE, dont CVE-2026-100202 et CVE-2026-105010 — appliquer la bonne mise à jour cumulative pour ta version de Windows règle donc plusieurs problèmes d’un coup, pas seulement le zero-day.
Pour prioriser sans tout relire ligne par ligne : commence par les postes et serveurs exposés à des téléchargements non maîtrisés (postes utilisateurs avec accès web large, serveurs de fichiers partagés avec l’extérieur), continue avec le reste du parc Windows selon ton cycle de déploiement habituel, et vérifie après coup que le niveau de patch correspond bien au KB attendu pour chaque version. Un inventaire rapide des mises à jour installées, via l’outil de gestion de patchs que tu utilises déjà, suffit pour un contrôle à l’échelle d’un parc.
Le catalogue KEV de la CISA référence CVE-2026-96951 depuis le 13 octobre avec exploitation active confirmée — c’est la source la plus fiable pour suivre l’évolution du statut si de nouvelles informations sortent. Pour le détail officiel complet de ce Patch Tuesday, le Security Update Guide de Microsoft reste la référence, même si l’interface n’est pas la plus agréable à parcourir en masse.
FAQ
Faut-il redémarrer les serveurs immédiatement après l’installation du correctif ?
Oui. Comme pour toute mise à jour cumulative Windows touchant un composant aussi bas niveau que le Shell, le correctif n’est actif qu’après redémarrage. Planifier une fenêtre de maintenance rapide prime sur l’attente d’un créneau plus confortable, vu l’exploitation déjà confirmée.
Les 1 411 failles corrigées concernent-elles toutes Windows ?
Non, ce chiffre couvre l’ensemble du portefeuille Microsoft pour ce Patch Tuesday — Windows, .NET, Office, Azure et autres produits — pas uniquement le système d’exploitation. Les trois zero-days de ce mois concernent spécifiquement Windows Shell et .NET Framework.
Le délai CISA du 16 octobre s’applique-t-il à mon entreprise si je ne suis pas une agence fédérale américaine ?
Non, la directive opérationnelle contraignante de la CISA ne vise que les agences fédérales civiles américaines. Mais le calendrier qu’elle fixe reste un bon repère de priorité pour n’importe quelle organisation : si une faille est jugée assez critique pour imposer une deadline légale à l’administration américaine, elle l’est probablement aussi pour ton infrastructure.
Si tu veux comparer avec le volume du mois précédent, on avait couvert le Patch Tuesday de septembre 2026 et ses 974 failles — la progression en un mois donne une idée de la cadence à laquelle le volant de correctifs continue de grossir. Et si le sujet des zero-days activement exploités t’intéresse plus largement, notre article sur le zero-day FortiMail CVE-2026-104286 suit le même type de mécanique de divulgation.
Laisser un commentaire