Patch Tuesday d'octobre 2026 : Microsoft corrige 1 411 failles et 3 zero-days

Le 13 octobre 2026, Microsoft a publié ses correctifs de sécurité mensuels, soit 1 411 failles corrigées et 3 zero-days, un total présenté comme un record par BleepingComputer, qui exclut les 348 failles corrigées plus tôt dans le mois (Azure, Exchange, Dataverse).

Quelles sont les trois zero-days du Patch Tuesday ?

Selon BleepingComputer, une seule est activement exploitée : CVE-2026-96951, un contournement de fonctionnalité de sécurité dans Windows Shell, qui permet de passer outre la protection Mark of the Web. La cause est une injection de commandes exploitable à distance sans authentification. Les détails de l'exploitation ne sont pas donnés.

Deux autres étaient publiques avant le correctif. CVE-2026-108398, dans .NET Framework, contourne WDAC (Windows Defender Application Control) et permet d'exécuter des applications non autorisées : l'attaquant doit être authentifié localement et poser un assembly .NET spécialement conçu. Elle a été trouvée par James Forshaw, de Google Project Zero. CVE-2026-92707, dans MessagePack-CSharp, est un déni de service à gravité « Moderate ». L'article annonce trois zero-days mais titre l'une de ses sections « 2 zero-days » : l'incohérence est dans la source.

Combien de failles et de quel type ?

Les chiffres, approximatifs, comptent environ 677 élévations de privilèges, 317 exécutions de code à distance, 254 divulgations d'informations, 73 dénis de service, 40 contournements de protections et 28 usurpations. Soixante-dix failles sont jugées « Critical » : 57 d'exécution de code à distance, 11 d'élévation de privilèges et 2 d'usurpation. Parmi elles figurent CVE-2026-70229 (Active Directory Domain Services) et CVE-2026-77900 (Azure App Service). Le tableau complet n'est pas reproduit ici.

Microsoft introduit aussi 15 « cohortes de risque » pour prioriser les correctifs, par exemple 136 failles sur les systèmes de fichiers et la sauvegarde, ou 135 sur les documents Office et les clients de messagerie. L'éditeur précise que ces groupes ne désignent pas forcément les failles les plus dangereuses et que la méthode est expérimentale.

Qui perd sa prise en charge ?

La mise à jour d'octobre est la dernière pour Windows 11 24H2 Famille et Pro, ainsi que pour Windows 10 Enterprise LTSB 2016. Windows 11 23H2 Enterprise, Education et IoT Enterprise cesseront de recevoir des correctifs de sécurité le mois suivant. Les utilisateurs de 24H2 doivent donc passer à une version plus récente de Windows 11 pour rester protégés. Des mises à jour non liées à la sécurité (KB5127648, KB5126653, et KB5126657 pour Windows 10 ESU) sont sorties le même jour.

Les autres éditeurs

Le même mois, BleepingComputer cite des zero-days exploités chez Citrix (CVE-2026-88779, NetScaler SAML), Fortinet (CVE-2026-104286, FortiMail) et Ivanti, ainsi qu'une faille SonicWall SMA1000 exploitée en deux jours. Nous avons détaillé le cas d'Ivanti dans notre article sur la chaîne de zero-days d'Ivanti Connect Secure. Pour comparer l'ampleur, voir le Patch Tuesday précédent à 974 failles.

Que faire ?

Installer les mises à jour cumulatives dès que possible, en priorité sur les postes exposés à des documents ou fichiers téléchargés à cause de la faille Windows Shell exploitée. Vérifier la version de Windows 11 installée. Le tableau complet des CVE n'est pas repris ici : le bulletin de Microsoft reste la référence pour votre parc.

Source

BleepingComputer, Microsoft October 2026 Patch Tuesday fixes 1,411 flaws, 3 zero-days.