Le Patch Tuesday d'octobre de Microsoft corrige un record de plus de 1 400 failles

Microsoft a publié ses mises à jour de sécurité d'octobre 2026 le 13 octobre, corrigeant plus de 1 400 vulnérabilités. C'est un record pour un seul Patch Tuesday, le jour mensuel où Microsoft publie ses correctifs. Une faille de Windows Shell, référencée CVE-2026-96951, est déjà utilisée dans des attaques. Pour les développeurs, la liste comprend aussi des bugs critiques dans PowerShell, OpenSSH for Windows et Visual Studio Code.

Combien de failles, exactement

Les observateurs qui comptabilisent chaque publication ne s'accordent pas sur le total. L'écart vient de la façon dont chacun délimite la publication.

Source	Nombre	Remarque
BleepingComputer	1 411	Exclut 348 failles corrigées plus tôt en octobre
CrowdStrike	1 413	75 classées critiques
Tenable	1 413	Compte les produits propres à Microsoft ; 1 102 dans Windows
Zero Day Initiative	1 415	Parle du premier mois à quatre chiffres

BleepingComputer compte 70 failles critiques. Par type, BleepingComputer et CrowdStrike recensent tous deux 677 bugs d'élévation de privilèges, qui permettent à un attaquant d'obtenir plus de droits sur une machine. Ils recensent aussi 317 bugs d'exécution de code à distance, qui permettent à un attaquant d'exécuter son propre code.

Pourquoi autant ? Selon BleepingComputer, Microsoft continue d'utiliser des plateformes d'IA pour trouver et corriger des vulnérabilités. Dustin Childs, de la Zero Day Initiative, estime que l'IA accélère la découverte de bugs, pour les défenseurs comme pour les attaquants. « Un nouveau mois de correctifs, c'est un nouveau record de correctifs pour Microsoft », a-t-il écrit.

Microsoft a aussi classé les failles en 15 « cohortes de risque ». L'entreprise précise que ces groupes n'indiquent pas quelles failles sont les plus dangereuses.

La faille que les attaquants utilisent déjà

CVE-2026-96951 est un contournement de fonctionnalité de sécurité dans Windows Shell. Elle neutralise Mark of the Web, la marque que Windows ajoute aux fichiers téléchargés depuis Internet. C'est cette marque qui déclenche les avertissements avant l'ouverture d'un fichier téléchargé.

Microsoft décrit le bug comme une injection de commandes, et confirme que la faille est exploitée. La Zero Day Initiative et CrowdStrike lui attribuent une note de 8,8 sur 10. Aucun des rapports ne dit qui l'utilise.

Tenable note que Windows Server 2012 R2 reçoit un correctif, mais pas Windows Server 2012.

Deux failles rendues publiques avant le correctif

Deux autres bugs ont été divulgués publiquement avant que Microsoft ne publie un correctif :

• CVE-2026-108398, .NET Framework, note de 8,8. Cette faille permet à un attaquant déjà connecté de contourner App Control for Windows, qui limite le code autorisé à s'exécuter. Selon Microsoft, l'attaquant dépose un assembly .NET spécialement conçu et l'enregistre pour qu'il se charge dans un processus protégé.
• CVE-2026-92707, MessagePack-CSharp, note de 5,3. Il s'agit d'un bug de déni de service dans une bibliothèque tierce qui compacte des données dans un format binaire. Un tiers l'a publié, et Microsoft l'a inclus dans sa mise à jour.

Les bugs critiques à connaître pour les développeurs

Plusieurs failles critiques touchent des outils que les développeurs utilisent tous les jours :

Faille	Composant	Score de gravité
CVE-2026-83578	PowerShell, exécution de code à distance	9,8
CVE-2026-97816	OpenSSH for Windows, exécution de code à distance	9,8
CVE-2026-102238	Visual Studio Code, exécution de code à distance	9,6
CVE-2026-100219, CVE-2026-105016	Protocole réseau QUIC, exécution de code à distance	9,8
CVE-2026-70571	Exchange Server, exécution de code à distance	8,1

Selon la Zero Day Initiative, le bug d'Exchange peut se propager comme un ver, c'est-à-dire d'une machine à l'autre sans aide. L'évaluation de Microsoft elle-même, citée par Tenable, est « Exploitation plus probable ». Tenable signale aussi cinq bugs d'Outlook qui peuvent être déclenchés via le volet de lecture.

Les versions qui ne reçoivent plus de mises à jour

Cette publication est la dernière pour certains logiciels plus anciens, selon BleepingComputer et Tenable :

• Windows 11 24H2 Home et Pro arrivent en fin de maintenance. Nous avons couvert le passage à 26H2 plus tôt ce mois-ci.
• Windows 10 Enterprise LTSB 2016 reçoit sa dernière mise à jour.
• Windows Server 2012 et 2012 R2 terminent la troisième année d'Extended Security Updates payantes le 14 octobre, selon Tenable.
• Office 2021 est retiré le 14 octobre, et Exchange Server 2016 et 2019 passent au statut « no ESU » à partir du 15 octobre.

Ce que cela signifie pour les développeurs

• Corrigez d'abord les machines des développeurs. PowerShell, OpenSSH et VS Code ont tous des correctifs critiques. Les serveurs de build et les ordinateurs portables qui les exécutent sont des cibles de grande valeur.
• Mettez à jour MessagePack-CSharp. Vérifiez vos dépendances NuGet pour MessagePack, et passez à la version corrigée indiquée dans l'avis de sécurité.
• Méfiez-vous des fichiers téléchargés tant que le correctif n'est pas installé. La faille exploitée désactive l'avertissement qui vous en protège normalement.
• Abandonnez Windows 11 24H2 Home et Pro. Ces éditions ne reçoivent plus de correctifs après ce mois-ci.
• Préparez-vous à des mois de correctifs plus lourds. Adam Barnett, de Tenable, s'attend à ce que les volumes continuent d'augmenter. Automatisez le tri et le test des mises à jour plutôt que d'examiner chacune à la main.