Patch Tuesday octobre 2026 : Microsoft corrige 1 411 failles

Le Patch Tuesday d'octobre 2026 de Microsoft (la mise à jour de sécurité mensuelle de l'éditeur) corrige 1 411 vulnérabilités, un nouveau record. Trois d'entre elles sont des zero-days : l'une est activement exploitée, et deux avaient été rendues publiques avant la disponibilité d'un correctif.

Soixante-dix de ces failles sont classées "critiques". Parmi elles, 57 permettent l'exécution de code à distance, 11 l'élévation de privilèges et 2 relèvent de l'usurpation.

Par catégorie, la mise à jour comprend environ 677 failles d'élévation de privilèges, 317 failles d'exécution de code à distance, 254 failles de divulgation d'informations, 73 problèmes de déni de service, 40 contournements de fonctions de sécurité et 28 vulnérabilités d'usurpation.

Ce total n'inclut pas les 348 failles que Microsoft a corrigées plus tôt dans le mois. Celles-ci concernaient des services et produits comme Azure App Service, Azure Event Grid, Azure SRE Agent, Microsoft Dataverse et Microsoft Exchange Server. Selon BleepingComputer, ce volume record s'explique par le recours croissant de Microsoft à des plateformes d'IA pour détecter et corriger les vulnérabilités de ses logiciels.

Fin de route pour certaines éditions de Windows

Microsoft a également confirmé que Windows 11 version 24H2 Famille et Professionnel, ainsi que Windows 10 Entreprise LTSB 2016, ne sont plus pris en charge.

"La mise à jour de sécurité mensuelle d'octobre 2026 est la dernière disponible pour ces éditions", a indiqué l'éditeur.

Début octobre, Microsoft avait prévenu que Windows 11 23H2 Entreprise, Éducation et IoT Entreprise cesseront de recevoir des mises à jour de sécurité à partir du mois prochain. Les organisations qui utilisent ces éditions sont invitées à migrer.

Le zero-day exploité

La faille activement exploitée, CVE-2026-96951, est un contournement de fonction de sécurité dans Windows Shell. Elle permet aux attaquants de passer outre Mark of the Web, la fonction de Windows qui signale les fichiers téléchargés depuis Internet afin qu'ils soient traités avec davantage de prudence.

Microsoft la décrit comme un problème d'injection de commandes qui "permet à un attaquant non autorisé de contourner une fonction de sécurité via un réseau". L'éditeur n'a précisé ni comment la faille a été utilisée dans des attaques, ni qui l'a signalée.

Deux failles rendues publiques

Le premier zero-day divulgué, CVE-2026-108398, touche le .NET Framework. Il s'agit d'un problème de chemin de recherche non fiable qui peut servir à contourner Windows Defender Application Control (WDAC), la fonction de Windows qui limite les applications autorisées à s'exécuter.

"Un attaquant authentifié pourrait placer un assembly .NET spécialement conçu sur un système vulnérable et l'enregistrer pour qu'il soit chargé par un processus protégé", explique Microsoft. Une attaque réussie pourrait permettre à l'attaquant d'exécuter du code au sein du processus protégé, sans aucune interaction de l'utilisateur. La faille a été découverte par James Forshaw, de Google Project Zero.

La seconde, CVE-2026-92707, est une faille de déni de service dans MessagePack-CSharp. Une allocation mémoire mal contrôlée dans .NET permet à un attaquant non authentifié de mettre un service hors ligne via le réseau. Microsoft n'a pas indiqué qui l'a divulguée.

Des failles regroupées en "cohortes de risque"

Face à l'ampleur de cette mise à jour, Microsoft teste une nouvelle façon d'aider les administrateurs à décider quoi corriger en priorité. L'éditeur regroupe les vulnérabilités apparentées en "cohortes de risque" et en a publié 15 pour octobre.

Les plus importantes concernent les systèmes de fichiers, le stockage et la sauvegarde de Windows (136 failles), les documents Office et les clients de messagerie (135), le traitement graphique, multimédia et de contenus de Windows (131), le noyau de Windows et les frontières de privilèges du noyau (109), ainsi que les services d'installation, de déploiement et de mise à jour de Windows (103).

Microsoft souligne qu'une cohorte n'indique pas quelles failles sont les plus dangereuses. Le risque réel dépend toujours de l'exploitation active, de la gravité et de l'usage que fait chaque organisation du logiciel. L'éditeur qualifie l'approche d'expérimentale et précise qu'elle complète ses recommandations existantes, sans les remplacer.

Les autres éditeurs ce mois-ci

Microsoft n'était pas seul. Fortinet, Ivanti et SonicWall ont tous corrigé des failles exploitées par des attaquants, et Citrix a corrigé un zero-day dans NetScaler référencé CVE-2026-88779. Adobe, Atlassian, Cisco, Dell, Docker, GitLab, Kiteworks, Progress Software et SAP ont également publié des mises à jour de sécurité.

Notre analyse

Plus de 1 400 correctifs en une seule journée, c'est une lourde charge pour n'importe quelle équipe chargée des mises à jour, et le bond par rapport aux 966 failles de septembre laisse penser que la chasse aux bugs assistée par IA produit désormais des résultats à une échelle que les éditeurs peinent à absorber. L'expérimentation des cohortes de risque sonne comme un aveu : le nombre brut de failles et les niveaux de gravité ne suffisent plus vraiment à aider les défenseurs.

La priorité immédiate reste claire : le contournement de Mark of the Web est exploité, et des contournements similaires ont souvent été associés à des leurres d'hameçonnage. Les dates de fin de support méritent aussi l'attention, d'autant plus avec l'expiration du certificat de Windows Update qui touchera les machines plus anciennes. Reste à voir si les totaux mensuels vont continuer de grimper, et si les cohortes de Microsoft se révéleront assez utiles pour devenir un élément permanent de ses recommandations.