Patch Tuesday d'octobre : un zero-day Windows Shell
Patch Tuesday d'octobre 2026 : plus de 1 400 failles corrigées, un zero-day Windows Shell exploité et des correctifs Exchange et AD à prioriser.
Le Patch Tuesday d'octobre 2026, publié par Microsoft le mardi 13 octobre, bat à nouveau le record de volume du mois précédent. Il corrige plus de 1 400 vulnérabilités, dont une faille de Windows Shell déjà exploitée par des attaquants. Ce lot coïncide aussi avec la fin du support de plusieurs produits très répandus. Voici les points à traiter en priorité.
Un volume encore inédit
Les décomptes varient selon la méthode retenue. Tenable recense 1 407 CVE, dont 69 critiques et 1 337 importantes ; BleepingComputer en compte 1 411, sans inclure les 348 failles corrigées plus tôt dans le mois, notamment dans Azure et Exchange ; Rapid7 retient 1 413 vulnérabilités dans les produits Microsoft, dont 1 102 pour Windows. Selon Tenable, les élévations de privilèges représentent près de la moitié du lot (47,9 %) et l'exécution de code à distance 22,3 %. C'est la deuxième fois de suite que Microsoft dépasse son propre record, après un mois de septembre déjà hors norme.
CVE-2026-96951 : Mark of the Web contourné
La seule faille signalée comme exploitée est CVE-2026-96951, un contournement de fonctionnalité de sécurité dans Windows Shell, noté 8,8 sur l'échelle CVSS. La fiche de Microsoft indique « Exploitation Detected » et précise qu'un attaquant qui l'exploite peut échapper aux défenses Mark of the Web (MOTW), ce marquage qui déclenche les avertissements de Windows à l'ouverture d'un fichier téléchargé.
L'attaque n'est pas automatique : il faut convaincre l'utilisateur de cliquer sur un lien ou d'ouvrir une pièce jointe piégée. C'est précisément le scénario des campagnes d'hameçonnage, où la disparition de l'avertissement peut faire la différence. Selon Tenable, il s'agit de la troisième faille de Windows Shell exploitée dans la nature en 2026. Microsoft n'a pas détaillé les attaques observées.
Deux failles divulguées publiquement
Deux autres vulnérabilités étaient connues avant la publication du correctif, sans exploitation signalée :
- CVE-2026-108398, dans .NET Framework (CVSS 8,8), permet à un attaquant déjà présent sur la machine de contourner Windows Defender Application Control, rebaptisé App Control for Business, en faisant charger un assemblage .NET malveillant par un processus protégé. BleepingComputer en attribue la découverte à James Forshaw, de Google Project Zero.
- CVE-2026-92707, un déni de service dans la bibliothèque MessagePack-CSharp, classé de sévérité modérée.
Exchange et Active Directory à surveiller
Parmi les failles critiques, deux exécutions de code à distance sont jugées « plus susceptibles d'être exploitées » par Microsoft, avec un score CVSS de 8,1 : CVE-2026-70229 dans les services de domaine Active Directory, exploitable par un paquet forgé selon Tenable, et CVE-2026-70571 dans Exchange Server, déclenchable par un e-mail malveillant. Tenable signale aussi une usurpation dans Exchange (CVE-2026-70279) notée 9,3 mais classée « importante ».
Des produits sortent du support
Ce Patch Tuesday est le dernier pour Windows 11 24H2 en éditions Home et Pro et pour Windows 10 Enterprise LTSB 2016. Les mises à jour de sécurité étendues (ESU) de Windows Server 2012 et 2012 R2 prennent fin, tout comme le support d'Office 2021 et d'Office LTSC 2021. Windows Server 2022 passe en support étendu.
Par où commencer
- Déployer en premier le correctif de CVE-2026-96951 sur les postes de travail, les plus exposés à l'hameçonnage.
- Traiter rapidement Exchange Server et les contrôleurs de domaine, compte tenu de l'évaluation de Microsoft.
- Recenser les systèmes désormais hors support, qui ne recevront plus aucun correctif, et planifier leur migration.