Le Patch Tuesday d’octobre 2026, publié par Microsoft le mardi 13 octobre, est le plus volumineux jamais vu : plus de 1 400 vulnérabilités corrigées, dont une faille de Windows Shell déjà exploitée par des attaquants. Pour un parc de postes et de serveurs Windows, la priorité est simple : déployer les mises à jour cumulatives sans attendre le cycle habituel.
- Correctifs publiés le 13 octobre 2026, plus de 1 400 failles traitées selon les décomptes.
- Trois zero-days, dont CVE-2026-96951 (Windows Shell) activement exploitée.
- Outlook, serveur DHCP et Active Directory concentrent les failles critiques.
- Dernière mise à jour pour Windows 11 24H2 Famille et Professionnel.
Les points :
Pourquoi ce mois d’octobre bat tous les records #
Les compteurs varient légèrement d’une source à l’autre. BleepingComputer recense 1 411 failles publiées le jour même, sans compter les 348 vulnérabilités corrigées plus tôt dans le mois. Le site français IT-Connect arrive à 1 407, contre 973 en septembre. Dans les deux cas, l’ordre de grandeur est inédit.
À lire OpenSSH 10.6 : compression bridée, signature post-quantique et versions plus fréquentes
BleepingComputer attribue cette inflation à l’usage d’outils d’intelligence artificielle par Microsoft pour détecter et corriger les vulnérabilités dans ses produits. Plus de failles trouvées en amont, c’est une bonne nouvelle sur le fond. Mais pour les équipes d’exploitation, cela veut dire des mises à jour plus lourdes et une phase de test plus longue.
La répartition donne une idée du risque. BleepingComputer compte environ 677 élévations de privilèges et 317 exécutions de code à distance, avec 70 failles classées critiques. Windows à lui seul concentre plus de 1 100 correctifs selon IT-Connect, devant Office, SharePoint Server, SQL Server et Exchange Server.
La faille Windows Shell, celle qu’il faut fermer en premier #
La seule vulnérabilité confirmée comme exploitée est CVE-2026-96951, notée 8,8 sur l’échelle CVSS. Elle touche Windows Shell et permet de contourner Mark of the Web, le marquage que Windows applique aux fichiers venus d’Internet. C’est ce marquage qui déclenche les avertissements de SmartScreen et le mode protégé d’Office.
Concrètement, un fichier piégé peut arriver par mail ou par téléchargement sans que l’utilisateur voie le moindre avertissement. L’exploitation demande une action de sa part, comme ouvrir le fichier. Microsoft n’a donné aucun détail sur les attaques observées ni sur l’auteur du signalement.
À lire Python 3.15 est disponible : imports paresseux, UTF-8 par défaut et un JIT plus rapide
Les deux autres zero-days
Deux failles avaient été rendues publiques avant le correctif, sans exploitation connue. CVE-2026-108398 concerne .NET Framework et permet de contourner Windows Defender Application Control, l’outil qui limite les applications autorisées à s’exécuter. Elle a été découverte par James Forshaw, de Google Project Zero, et demande un accès local authentifié.
La troisième, CVE-2026-92707, est un déni de service dans la bibliothèque MessagePack-CSharp, de gravité modérée. Elle mérite surtout l’attention des développeurs : la bibliothèque tourne aussi sous Linux et macOS, donc la mise à jour passe par les dépendances des projets .NET, pas par Windows Update.
Outlook, DHCP, Active Directory : les failles critiques à surveiller #
Côté messagerie, IT-Connect liste cinq failles Outlook notées 9,8. Il suffit qu’un message piégé s’affiche dans le volet de lecture pour déclencher l’exécution de code, sans même ouvrir de pièce jointe. Exchange Server reçoit aussi un correctif contre l’exécution de code via un mail conçu pour déclencher une conversion de contenu.
Sur l’infrastructure, deux failles sont à traiter vite. Le serveur DHCP de Windows corrige une faille use-after-free (CVE-2026-96934), notée 9,8 et exploitable à distance sans authentification. Active Directory Domain Services corrige une exécution de code à distance (CVE-2026-70229), elle aussi sans authentification ni interaction. Microsoft précise qu’une configuration favorable peut être nécessaire pour l’exploiter de façon fiable.
À lire Comprendre le CIM Informatique : Définition, Applications et Perspectives
Un ordre de déploiement raisonnable
Sur un parc de PME, on peut commencer par les postes de travail, à cause de la faille Windows Shell exploitée et des failles Outlook. On passe ensuite aux contrôleurs de domaine et aux serveurs DHCP, après un test sur une machine non critique. Exchange et SharePoint Server Subscription Edition suivent, puisqu’ils exposent directement des services vers l’extérieur.
Une mise à jour aussi lourde justifie une sauvegarde vérifiée avant le déploiement sur les serveurs. Il faut aussi garder un œil sur les remontées des premiers jours, par exemple les forums d’administrateurs, qui signalent souvent les effets de bord avant la documentation officielle.
Fin de support : Windows 11 24H2 bascule #
Ce Patch Tuesday a une autre conséquence, moins visible. Selon Microsoft, cité par IT-Connect, la mise à jour d’octobre 2026 est la dernière disponible pour Windows 11 24H2 dans ses éditions Famille et Professionnel, ainsi que pour Windows 10 Entreprise LTSB 2016.
Les machines restées sur ces versions ne recevront plus de correctif de sécurité à partir de novembre. Il faut donc les passer vers une version plus récente de Windows 11, ce qui suppose de vérifier la compatibilité des logiciels métier. C’est souvent le moment de faire l’inventaire des postes oubliés : un poste de salle de réunion, une machine de production, un portable rarement connecté.
À lire Comprendre le CPM Informatique : Stratégies et Avantages pour Votre Entreprise
Questions fréquentes #
Faut-il installer les correctifs d’octobre tout de suite ?
Pour les postes de travail, oui : la faille Windows Shell est déjà exploitée. Pour les serveurs critiques, un test rapide sur une machine non critique reste prudent, sans laisser passer plusieurs semaines.
Combien de failles ont été corrigées exactement ?
Les décomptes diffèrent selon la méthode : 1 411 pour BleepingComputer, 1 407 pour IT-Connect. Dans tous les cas, c’est le Patch Tuesday le plus volumineux à ce jour.
Mon PC sous Windows 11 24H2 est-il encore protégé ?
Il reçoit le correctif d’octobre, mais c’est le dernier pour les éditions Famille et Professionnel. Il faut prévoir la mise à niveau vers une version plus récente avant le prochain Patch Tuesday, prévu le 10 novembre.
