Microsoft corrige 1 413 CVE, dont une faille Windows déjà exploitée

Un lot de 1 413 CVE Microsoft

Microsoft a publié son Patch Tuesday d’octobre 2026 le 13 octobre. Le chiffre de référence doit être celui du MSRC : 1 413 CVE Microsoft. La même note affiche 1 414 vulnérabilités dans sa ligne « Total », car elle ajoute une CVE non-Microsoft republiée, CVE-2026-21413, attribuée à Cisco Talos et liée à Raw Image Extension. Cette distinction évite de reprendre sans contexte le total de 1 411 avancé par BleepingComputer, dont la méthode exclut 348 failles corrigées plus tôt dans le mois. Pour un article, le titre le plus défendable est donc « 1 413 CVE Microsoft, plus une CVE tierce republiée ».

Le lot couvre très majoritairement Windows : 1 102 vulnérabilités et 39 mises à jour distinctes. Suivent Office avec 134 CVE, les outils de développement avec 61, SharePoint Server avec 36, la catégorie « Other » avec 32, SQL Server avec 22, Azure avec 15, Exchange Server avec 7 et Defender avec 4. Edge reçoit une mise à jour automatique, mais aucune CVE n’est comptée dans cette ligne. Au total, le MSRC recense 176 mises à jour distinctes. Les correctifs Windows, Office, SharePoint, SQL et Exchange sont généralement cumulatifs ; Azure et plusieurs produits divers reçoivent des correctifs individuels ; Defender et Edge sont servis automatiquement.

Windows Shell concentre l’urgence

Trois vulnérabilités répondent à la définition large du « zero-day » utilisée dans les récapitulatifs Patch Tuesday : une déjà exploitée et deux divulguées publiquement avant le correctif. Une seule est confirmée comme exploitée dans la nature. CVE-2026-96951 est une injection de commandes dans Windows Shell, classée « Important », CVSS 8,8. Elle permet à un attaquant non authentifié de contourner à distance une fonction de sécurité, mais exige une action de la victime. Microsoft décrit un fichier spécialement conçu envoyé par courriel ou messagerie instantanée ; l’attaquant doit convaincre l’utilisateur d’ouvrir le contenu ou de suivre un lien. Une exploitation réussie contourne les défenses Mark of the Web, ce qui réduit les avertissements et protections appliqués aux fichiers provenant d’Internet.

La CISA a ajouté CVE-2026-96951 à son catalogue KEV le 13 octobre sur la base de preuves d’exploitation active. La fiche KEV fixe au 16 octobre 2026 l’échéance d’action applicable selon la directive BOD 26-04, demande l’application des mesures du fournisseur et signale qu’un triage forensique est requis ; l’usage dans des campagnes de rançongiciel reste « Unknown ». Microsoft n’a publié ni identité du groupe exploitant la faille, ni détails techniques sur les attaques. Cette CVE doit donc passer avant le reste du lot, notamment sur les postes recevant des pièces jointes et sur les serveurs exposés aux flux d’utilisateurs.

Des correctifs répartis sur plusieurs générations de Windows

Les mises à jour cumulatives qui corrigent CVE-2026-96951 couvrent Windows 11 23H2 à 26H2, Windows 10 1607, 1809, 21H2 et 22H2, ainsi que Windows Server 2012 R2, 2016, 2019, 2022 et 2025. Parmi les principaux paquets figurent KB5126653, KB5127646, KB5127648, KB5126651, KB5126655, KB5126657, KB5126868, KB5126836 et KB5126646. La fiche MSRC marque les produits concernés comme corrigés et indique généralement qu’un redémarrage est requis. Outlook.com reçoit aussi un correctif côté service.

La première faille divulguée publiquement, CVE-2026-108398, touche .NET Framework. Elle est classée « Important », CVSS 8,8, mais Microsoft juge l’exploitation moins probable et ne constate aucune attaque. Un attaquant déjà authentifié peut placer un assembly .NET spécialement conçu sur la machine et l’enregistrer pour chargement par un processus protégé. Sans interaction utilisateur, il peut contourner Windows Defender Application Control et exécuter du code dans ce processus. Les correctifs .NET varient selon les versions de Windows et de .NET Framework, avec notamment les KB5127666 à KB5127694.

Deux divulgations publiques et des contraintes de déploiement

La seconde faille publiquement connue, CVE-2026-92707, concerne MessagePack-CSharp. Cette vulnérabilité de déni de service à distance, sans authentification ni interaction utilisateur, est notée 5,3 et « Moderate ». La CNA émettrice est GitHub, mais le MSRC l’intègre aux produits et composants Microsoft touchés : Visual Studio, SignalR et les dépendances MessagePack. Les versions corrigées répertoriées comprennent MessagePack 2.5.303, Visual Studio 2022 17.14.42, Visual Studio 2026 18.10.4 et des versions actualisées du paquet Microsoft.AspNetCore.SignalR.Protocols.MessagePack pour .NET 8 à 11.

Le déploiement n’est pas sans limites. Microsoft signale, pour KB5127648 sous Windows 11 et KB5126657 sous Windows 10, un problème connu pouvant empêcher certains périphériques USB Audio Class 1.0 de démarrer ou de produire du son. Pour les images Windows mises à jour dynamiquement, le fichier boot.stl correspondant à la version et à l’architecture doit être présent sur le média ; sinon, la machine peut ne pas démarrer et afficher l’erreur 0xc0430001. Windows 10 ESU requiert aussi la dernière mise à jour de la pile de maintenance, faute de quoi la mise à jour peut ne pas être proposée. Enfin, Windows 11 24H2 Home et Pro arrive en fin de mises à jour avec ce correctif d’octobre : une migration vers une version encore prise en charge est nécessaire.

Face au volume, Microsoft propose quinze « cohortes de risque » pour grouper les CVE par exposition, usage et frontière de confiance. Cette méthode peut accélérer le triage, mais elle est expérimentale : elle ne constitue ni une nouvelle classification officielle ni un substitut à l’analyse de chaque CVE. Microsoft avertit qu’une cohorte ne signifie pas qu’un seul correctif ou contournement couvre toutes les failles du groupe. La priorité opérationnelle reste donc claire : CVE-2026-96951 et les actifs exposés d’abord, puis les failles critiques ou sans interaction selon l’inventaire réel, avec tests de régression et surveillance des problèmes connus.