Patch Tuesday d’octobre 2026 : Microsoft corrige un record de 1 411 failles, dont trois zero-days
Une faille de Windows Shell qui contourne Mark of the Web est déjà exploitée, tandis que Windows 11 24H2 Home et Pro et Windows 10 Enterprise LTSB 2016 reçoivent leur ultime correctif.
Par
Romain Ferrand
En bref
- Microsoft corrige 1 411 failles le 13 octobre 2026, un record qui exclut 348 failles traitées plus tôt dans le mois.
- Les élévations de privilèges représentent près de la moitié du total, avec 677 failles.
- La faille .NET Framework CVE-2026-108398 a été découverte par James Forshaw, de Google Project Zero.
- Windows 11 23H2 Enterprise, Education et IoT Enterprise ne recevront plus de correctifs de sécurité à partir de novembre.
Microsoft a publié le mardi 13 octobre 2026 les correctifs de sécurité de son Patch Tuesday mensuel. Le décompte de BleepingComputer atteint 1 411 vulnérabilités, un record, dont 70 classées critiques. Trois d’entre elles sont des failles « zero-day » : l’une a déjà servi dans des attaques, les deux autres avaient été divulguées publiquement. Microsoft range une faille dans cette catégorie lorsqu’elle est rendue publique ou exploitée alors qu’aucun correctif officiel n’est disponible.
Un record mesuré sur le seul jour du Patch Tuesday
Le total de 1 411 ne retient que les vulnérabilités que Microsoft a publiées le jour même. Le site spécialisé laisse de côté 348 failles corrigées plus tôt en octobre, entre autres dans Azure API Center, Azure App Service, Azure Event Grid, Azure SRE Agent, Mariner, Microsoft Bookings, Microsoft Dataverse, Microsoft Exchange Server et Microsoft Partner Center.
Selon BleepingComputer, ce volume inédit intervient alors que Microsoft continue de s’appuyer sur des plateformes d’intelligence artificielle pour repérer et corriger les vulnérabilités de ses produits.
Les élévations de privilèges, près de la moitié du lot
Le décompte approximatif par catégorie publié par BleepingComputer place nettement en tête les élévations de privilèges : avec 677 failles, elles pèsent à elles seules près de la moitié du total, loin devant les exécutions de code à distance.
| Catégorie | Nombre approximatif de failles |
|---|---|
| Élévation de privilèges | 677 |
| Exécution de code à distance | 317 |
| Divulgation d’informations | 254 |
| Contournement de fonction de sécurité | 40 |
La hiérarchie change parmi les 70 failles critiques : 57 permettent une exécution de code à distance, 11 une élévation de privilèges et 2 une usurpation.
Trois zero-days aux profils très différents
Windows Shell, la faille déjà exploitée
La plus urgente, CVE-2026-96951, touche Windows Shell. Microsoft la décrit comme une injection de commande qui permet à un attaquant non autorisé de contourner une fonction de sécurité à travers le réseau, en l’occurrence la protection Mark of the Web. Aucun détail n’a été communiqué sur la manière dont les attaquants l’ont exploitée, ni sur l’identité de la personne qui l’a signalée.
.NET Framework et le contrôle des applications
Divulguée publiquement avant sa correction, CVE-2026-108398 concerne .NET Framework. Microsoft la rattache à un chemin de recherche non fiable, qui permet à un attaquant autorisé de contourner localement une fonction de sécurité. L’enjeu est Windows Defender Application Control (WDAC) : la faille peut servir à échapper à ses restrictions et à lancer des applications non autorisées.
Le scénario décrit par l’éditeur suppose un attaquant déjà authentifié. Celui-ci dépose sur le système visé un assembly .NET spécialement conçu, puis l’enregistre pour qu’un processus protégé le charge ; il peut alors exécuter du code à l’intérieur de ce processus. Microsoft précise qu’aucune interaction de l’utilisateur n’est nécessaire. La faille a été découverte par James Forshaw, chercheur de Google Project Zero.
Les deux contournements diffèrent donc nettement : celui de Windows Shell peut être déclenché par le réseau sans autorisation, alors que celui de .NET Framework exige un accès local et un compte authentifié.
MessagePack-CSharp, un déni de service à distance
Le troisième zero-day, CVE-2026-92707, touche la bibliothèque MessagePack-CSharp. Selon Microsoft, une allocation de mémoire séquentielle mal contrôlée dans .NET permet à un attaquant non autorisé de rendre un service indisponible par le réseau. L’éditeur n’a pas indiqué qui avait révélé la vulnérabilité.
Fin des mises à jour pour plusieurs éditions de Windows
Cette livraison est aussi la dernière pour trois éditions du système. Microsoft l’a annoncé en ces termes, cités en anglais par BleepingComputer :
« Aujourd’hui, 13 octobre 2026, Windows 11 version 24H2 Home et Pro ainsi que Windows 10 Enterprise LTSB 2016 ont atteint la fin des mises à jour. La mise à jour de sécurité mensuelle d’octobre 2026 est la dernière disponible pour ces éditions. »
Une autre échéance approche pour des éditions destinées aux organisations. Plus tôt dans le mois, Microsoft a demandé aux organisations équipées de Windows 11 23H2 Enterprise, Education ou IoT Enterprise de passer à une version plus récente, car ces éditions ne recevront plus de correctifs de sécurité à partir de novembre.
Photo à la une. Source : Pexels. Photographe : Lukas Blazek. Licence Pexels.
