Microsoft corrige un record de 1 411 failles lors du Patch Tuesday d’octobre 2026, dont un zero-day Windows Shell activement exploité

Microsoft a publié le 13 octobre 2026 ses mises à jour de sécurité Patch Tuesday d’octobre, corrigeant un nombre record de 1 411 vulnérabilités dans Windows, Azure et .NET — la plus grande publication mensuelle de correctifs de sécurité que la société ait jamais réalisée. La mise à jour inclut trois vulnérabilités zero-day, dont une est déjà activement exploitée dans la nature.

L’ampleur de cette publication reflète un changement délibéré dans la façon dont Microsoft détecte les failles. La société attribue cette augmentation à son recours élargi à des outils de scan de vulnérabilités assistés par l’IA, qui permettent d’identifier un nombre beaucoup plus élevé de failles avant que les attaquants ne les trouvent.

La zero-day activement exploitée, référencée CVE-2026-96951, est un contournement de sécurité dans Windows Shell qui permet aux attaquants de court-circuiter la protection Mark of the Web (MotW). MotW est le mécanisme utilisé par Windows pour signaler les fichiers téléchargés depuis internet comme potentiellement dangereux. En exploitant ce bypass, les attaquants peuvent exécuter des fichiers téléchargés sans déclencher d’avertissements, ce qui en fait un outil efficace dans les campagnes de phishing et de distribution de malwares. Microsoft n’a pas divulgué comment la vulnérabilité est exploitée ni qui l’a découverte.

Les deux autres zero-day ont été divulguées publiquement avant que des correctifs soient disponibles, sans qu’aucune exploitation n’ait été observée. La CVE-2026-108398, découverte par le chercheur de Google Project Zero James Forshaw, permet à un attaquant de contourner Windows Defender Application Control (WDAC) et d’exécuter du code non autorisé dans un processus protégé. La troisième, CVE-2026-92707, est une faille de denial-of-service de sévérité modérée dans MessagePack-CSharp, une bibliothèque de sérialisation .NET très répandue.

Parmi les 70 vulnérabilités critiques corrigées ce mois-ci, les plus notables sont : une faille de remote code execution dans Windows Active Directory Domain Services (CVE-2026-70229), deux vulnérabilités de spoofing dans Active Directory Federation Services, un bug RCE dans Azure App Service (CVE-2026-77900) et une faille d’elevation of privilege dans le Linux Kernel sous Azure (CVE-2026-62840).

Les équipes de sécurité doivent prioriser le déploiement du correctif pour CVE-2026-96951 en raison de son exploitation active. Les organisations utilisant WDAC comme périmètre de sécurité doivent traiter CVE-2026-108398 en urgence. Les charges de travail hébergées sur Azure doivent évaluer les correctifs App Service et Event Grid pour tout service exposé à internet.

Comme le rapporte BleepingComputer, le décompte d’octobre exclut 348 vulnérabilités que Microsoft a corrigées en dehors du Patch Tuesday en début de mois, portant le total réel de failles résolues en octobre à environ 1 759.