Patch Tuesday d'octobre : Microsoft corrige plus de 1 400 failles, une déjà exploitée

Microsoft a publié le 13 octobre 2026 ses correctifs de sécurité mensuels, le « Patch Tuesday ». Le volume bat un record : 1 411 vulnérabilités selon BleepingComputer, 1 407 selon Tenable, l'écart venant de la méthode de comptage. Tenable précise que c'est le deuxième mois consécutif de record. Parmi ces failles, l'une est déjà exploitée par des attaquants et deux autres avaient été rendues publiques avant la sortie du correctif.

Une faille Windows déjà exploitée

La vulnérabilité exploitée, CVE-2026-96951, touche le shell de Windows. Elle est notée 8,8 sur 10 et classée « importante » par Microsoft. Elle permet de contourner la protection Mark of the Web (MotW), le marquage qui signale à Windows qu'un fichier vient d'Internet et déclenche les avertissements de sécurité. Selon Tenable, l'attaquant doit convaincre la victime d'ouvrir un fichier piégé, reçu par exemple par e-mail ou par messagerie. Microsoft n'a donné aucun détail sur les attaques en cours. Tenable relève qu'il s'agit de la troisième faille du shell Windows exploitée en 2026.

Deux autres failles étaient publiques avant correctif. La première, CVE-2026-108398, se trouve dans .NET Framework : elle pourrait permettre à un attaquant local déjà authentifié de contourner Windows Defender Application Control (WDAC). Selon BleepingComputer, elle a été découverte par James Forshaw, de Google Project Zero. La seconde, CVE-2026-92707, est un déni de service de gravité modérée dans la bibliothèque MessagePack-CSharp.

Exchange et Active Directory à surveiller

Tenable signale plusieurs failles que Microsoft juge « plus susceptibles d'être exploitées ». Trois concernent Exchange Server, dont CVE-2026-70571, une exécution de code à distance classée critique (8,1) qui pourrait être déclenchée par un e-mail malveillant traité par le serveur, et CVE-2026-70279, une usurpation notée 9,3. Une troisième, CVE-2026-70229, également critique (8,1), touche les services de domaine Active Directory : un paquet forgé pourrait y permettre l'exécution de code. Selon les décomptes, 69 ou 70 failles sont critiques, et près de la moitié des failles corrigées sont des élévations de privilèges.

BleepingComputer précise que ce total n'inclut pas 348 failles corrigées plus tôt dans le mois, notamment dans des services Azure, Exchange Server et Dataverse. Microsoft a aussi testé un classement des failles en « cohortes de risque » (systèmes de fichiers, documents Office, noyau…), en prévenant que cette présentation expérimentale ne remplace pas les consignes habituelles pour prioriser les correctifs.

Que faire ?

• Déployer en priorité les mises à jour cumulatives de Windows : KB5127648 et KB5126653 pour Windows 11, KB5126657 pour les postes Windows 10 inscrits aux mises à jour de sécurité étendues (ESU).
• Traiter rapidement les serveurs Exchange et les contrôleurs de domaine.
• Rappeler aux utilisateurs de se méfier des pièces jointes et des fichiers téléchargés, même quand Windows n'affiche aucun avertissement : c'est précisément ce que contourne CVE-2026-96951.
• Faire le point sur le parc : selon Microsoft et Tenable, Windows 11 24H2 Famille et Pro, Windows 10 Entreprise LTSB 2016 ainsi que les mises à jour étendues de Windows Server 2012 et 2012 R2 sont arrivés en fin de support ce mois-ci.