Le Patch Tuesday d’octobre de Microsoft corrige plus de 1 400 vulnérabilités, dont une faille Windows déjà exploitée.
Publiées le 13 octobre, les mises à jour de sécurité concernent Windows, Office, .NET et d’autres produits Microsoft. Pour les équipes de sécurité, le défi immédiat consiste à déterminer quels systèmes concernés nécessitent une remédiation urgente, tout en testant les mises à jour pour détecter d’éventuels problèmes opérationnels.
Le communiqué dépasse le précédent pic de septembre, qui atteignait près de 1 000 failles corrigées. Selon l’ analyse d’octobre de Zero Day Initiative, il corrige également davantage de vulnérabilités que Microsoft n’en avait corrigé au cours de toute année précédente.
Microsoft étend ses recherches de vulnérabilités assistées par l’IA grâce à des outils tels que son banc d’analyse agentique mult modèle, baptisé MDASH. Cependant, la mise à jour des recherches de Microsoft identifie également la validation et la remédiation comme des contraintes : découvrir davantage de vulnérabilités potentielles ne produit pas automatiquement davantage de correctifs déployables.
« Des centaines de CVE dans une seule version constituaient autrefois une exception ; aujourd’hui, c’est la norme. L’IA est-elle à blâmer ? En partie. Elle accélère la recherche de failles des deux côtés, si bien que les éditeurs en découvrent — et en corrigent — davantage, tandis que les chercheurs les trouvent eux aussi plus rapidement », a déclaré Dustin Childs, responsable de la sensibilisation aux menaces chez Zero Day Initiative, à eSecurity Planet. « Le volume n’est plus le véritable sujet. Ce qui compte, c’est que la découverte évolue plus vite que l’exploitation : les équipes qui établissent leurs priorités en fonction du simple nombre de CVE plutôt que de leur exploitabilité consacrent leurs ressources aux mauvaises failles. »
Les vulnérabilités zero-day nécessitant un triage immédiat
Les équipes de sécurité doivent donner la priorité à la vulnérabilité de Windows Shell activement exploitée, puis examiner deux failles divulguées publiquement incluses dans cette version. La divulgation publique accroît la visibilité pour les attaquants, mais aucune de ces deux failles supplémentaires n’avait été signalée comme activement exploitée au moment de la publication.
Répertoriée sous le nom CVE-2026-96951 et affichant un score CVSS de 8,8, cette faille permet aux attaquants de contourner les protections Windows Mark of the Web (MotW).
« Les attaquants peuvent diffuser des fichiers spécialement conçus par le biais d’e-mails d’hameçonnage, de messages instantanés ou de sites web malveillants ; une simple interaction de l’utilisateur suffit à déclencher l’exploitation », a expliqué Jack Bicer, directeur de la recherche sur les vulnérabilités chez Action1. « La vulnérabilité peut servir de point d’entrée initial lors d’attaques plus vastes, en supprimant les avertissements de sécurité attendus et en permettant à des contenus potentiellement malveillants de contourner les contrôles de protection. »
La Cybersecurity and Infrastructure Security Agency (CISA) a déjà ajouté cette faille à son catalogue des vulnérabilités connues comme exploitées.
Deux vulnérabilités supplémentaires incluses dans cette version avaient été divulguées publiquement avant le 13 octobre :
- CVE-2026-108398 : un contournement de .NET Framework (CVSS 8,8) qui permet à des attaquants disposant de faibles privilèges d’échapper à Windows Defender Application Control (WDAC). Mike Walters, président d’Action1, a averti que cette faille était « particulièrement dangereuse comme technique d’attaque post-compromission, car elle permet à des attaquants disposant déjà d’un accès local de contourner les restrictions de sécurité sans interaction de l’utilisateur ».
- CVE-2026-92707 : une vulnérabilité de déni de service de MessagePack-CSharp divulguée publiquement qui peut épuiser la mémoire lorsque des applications désérialisent des données non fiables spécialement conçues. L’exposition à distance et les exigences d’authentification dépendent de la configuration de l’application. L’avis du fournisseur tiers a été publié le 17 septembre, et des correctifs sont disponibles dans les versions 2.5.303 et 3.1.9.
Risques critiques liés à Outlook et à l’exécution sur le réseau
Parmi les dizaines de vulnérabilités critiques corrigées, les failles des clients de messagerie représentent un danger opérationnel disproportionné. Les CVE-2026-70242 et CVE-2026-97016 affichent toutes deux des scores CVSS de 9,8. Selon l’analyse d’Action1, un attaquant non authentifié pourrait exécuter du code lorsqu’un e-mail spécialement conçu est traité par le volet de lecture d’Outlook, sans que le destinataire ait besoin d’ouvrir une pièce jointe ou de cliquer sur un lien.
« Le risque est simple : un employé n’a pas besoin de commettre une erreur pour que cette vulnérabilité soit exploitée. Un e-mail malveillant pourrait suffire », a souligné Walters à propos de CVE-2026-97016.
« Microsoft Outlook et Word restent des vecteurs d’attaque courants. Des e-mails ou documents spécialement conçus peuvent permettre aux attaquants de prendre totalement le contrôle de la machine d’une victime sans aucune interaction de l’utilisateur », a ajouté Amol Sarwate, responsable de la recherche en sécurité et de REDLab chez Cohesity.
Les services réseau sont également exposés à de graves menaces à distance, notamment CVE-2026-105016, un dépassement de tampon sur le tas dans Microsoft QUIC, noté 9,8, qui permet l’exécution de code à distance sans authentification sur Windows 11, Windows Server et .NET.
Comment les équipes de sécurité doivent hiérarchiser les mises à jour
Le nombre de vulnérabilités ne correspond pas directement au nombre de mises à jour qu’une organisation doit déployer. Plusieurs CVE peuvent être corrigées par la même mise à jour cumulative, et l’exposition dépend des produits installés, de leurs versions et des services activés. Les équipes de sécurité doivent mettre cette version en regard de leurs propres systèmes avant de définir les priorités de déploiement.
Commencez par les systèmes Windows concernés exposés à CVE-2026-96951, dont l’exploitation est déjà confirmée. Évaluez ensuite les vulnérabilités critiques d’Outlook et des services réseau au regard des chemins d’attaque réels : quels clients de messagerie traitent des messages non fiables, quels services sont accessibles et quels systèmes prennent en charge des données sensibles ou des opérations métier essentielles.
Le contournement de .NET Framework divulgué publiquement mérite également une attention particulière, notamment lorsque Windows Defender Application Control restreint l’exécution des logiciels. Pour MessagePack-CSharp, les responsables des applications doivent vérifier les dépendances et les chemins de désérialisation ; il ne faut pas considérer qu’une simple mise à jour Windows suffit à corriger une application concernée.
Microsoft a également proposé à titre exploratoire des groupes de risque, regroupant les CVE qui nécessitent des évaluations similaires du déploiement et de l’exposition. Ces regroupements provisoires peuvent réduire les analyses répétées, mais ils ne remplacent ni l’évaluation individuelle des vulnérabilités ni les recommandations de mise à jour de Microsoft.
Pour les défenseurs des entreprises, le déploiement doit inclure des tests ciblés, un plan de récupération et la vérification que les systèmes concernés ont bien reçu les correctifs. Confirmez les versions installées, vérifiez les installations échouées et relancez une analyse lorsque cela est approprié. Toute mise à jour reportée doit avoir un responsable, une raison documentée et une échéance de remédiation.
L’objectif pratique est de réduire l’exposition exploitable tout en maintenant les services essentiels en fonctionnement. Une version record rend la hiérarchisation encore plus utile, mais l’évaluation des risques doit déboucher sur une remédiation effectuée et vérifiée.
Pour en savoir plus : étendez votre revue des correctifs au-delà de Microsoft avec les correctifs critiques de Cisco pour Smart Software Manager On-Prem et les vérifications que les administrateurs doivent effectuer avant la mise à niveau.