Publié le 14 octobre 2026 · L'équipe mitza.es
Microsoft a publié son bulletin de sécurité mensuel le 13 octobre 2026 et a de nouveau battu son propre record, cette fois avec une marge énorme : plus de 1 400 vulnérabilités corrigées en un seul mois. Le plus gros bulletin jusqu'ici était celui de septembre, avec 966 failles, et selon Security Affairs, c'est la première fois que Microsoft dépasse le millier sur un même mois. Parmi tous ces correctifs, l'un d'eux est déjà utilisé contre des systèmes réels.
Combien de vulnérabilités exactement
Cela dépend de qui compte. BleepingComputer chiffre le bulletin à 1 411 failles, sans compter 348 autres corrigées en début de mois. SecurityWeek reprend le chiffre de Microsoft, 1 413 CVE, dont 1 102 touchent Windows, 134 Office, 61 les outils de développement et 36 SharePoint Server. Et Security Affairs, citant Zero Day Initiative, parle de 1 415. Chaque média compte de façon légèrement différente, mais aucune différence ne change la conclusion : il s'agit d'un volume sans précédent. SecurityWeek calcule que ce seul mois dépasse le total de toute l'année 2025 et porte le cumul de 2026 au-delà de 4 000.
Parmi elles, 70 sont classées critiques selon BleepingComputer (57 d'exécution de code à distance, 11 d'élévation de privilèges et 2 d'usurpation), même si d'autres médias en comptent jusqu'à 80. Par type, les élévations de privilèges prédominent (environ 677), suivies des exécutions de code à distance (environ 317).
Le zero-day actif : un raccourci pour contourner Mark of the Web
Il s'agit de CVE-2026-96951, un contournement de fonctions de sécurité dans le Shell Windows, noté CVSS 8,8, que Microsoft confirme comme exploité. Il permet de contourner Mark of the Web, la marque que Windows ajoute aux fichiers téléchargés depuis Internet ou reçus par e-mail pour qu'ils avertissent avant de s'exécuter. Avec la faille, un fichier piégé peut s'ouvrir sans ces avertissements.
Pour l'exploiter, il faut convaincre l'utilisateur d'ouvrir le fichier, par exemple en le lui envoyant par e-mail ou par messagerie. Microsoft n'a pas expliqué comment la faille est exploitée ; SecurityWeek indique qu'elle a été signalée par Fujitsu, Anthropic et un chercheur indépendant. CISA l'a ajoutée à son catalogue des vulnérabilités exploitées et a donné aux agences fédérales américaines jusqu'au 16 octobre pour la corriger. C'est le type de faille qui s'accorde avec la fraude par e-mail : un PDF ou une archive qui aurait auparavant déclenché un avertissement de Windows et n'en déclenche plus.
Deux autres zero-days et des failles à surveiller
Outre celui qui est exploité, Microsoft compte comme zero-days deux autres failles divulguées publiquement avant le correctif, sans exploitation confirmée :
- CVE-2026-108398 : contournement de sécurité dans .NET Framework qui permet de contourner Windows Defender Application Control (WDAC), le système qui décide quelles applications peuvent s'exécuter. Selon BleepingComputer, elle a été découverte par James Forshaw, de Google Project Zero, et Microsoft juge son exploitation peu probable.
- CVE-2026-92707 : déni de service dans MessagePack-CSharp, un composant utilisé par Visual Studio et .NET. Sa gravité est modérée.
Parmi les autres, les listes de BleepingComputer et de Security Affairs mettent en avant une exécution de code à distance critique dans Active Directory Domain Services (CVE-2026-70229), une élévation de privilèges sans authentification dans SharePoint Server (CVE-2026-102866, CVSS 8,1), une exécution à distance dans SQL Server (CVE-2026-65674, CVSS 8,8) et 59 failles potentiellement « wormables », c'est-à-dire capables de se propager d'elles-mêmes, dans des services réseau comme DHCP, Remote Desktop Gateway et DNS. Si vous ne gérez pas de serveurs en propre, la plupart ne vous touchent pas directement ; si vous en avez, ce sont celles à planifier en premier.
Pourquoi autant de correctifs d'un coup
BleepingComputer et SecurityWeek attribuent une bonne partie du record à l'utilisation de l'intelligence artificielle pour découvrir des vulnérabilités, même si aucune des deux sources ne fournit de détail qui le démontre. Microsoft a aussi introduit 15 « cohortes de risque » pour aider à prioriser l'installation, tout en précisant que ces groupes n'indiquent pas quelles failles sont les plus dangereuses. Pour une PME, la conséquence pratique est claire : avec un tel volume mensuel, vérifier à la main ce qui a été installé et ce qui ne l'a pas été n'est plus réaliste.
Le même bulletin met fin au support de Windows 11 24H2
La mise à jour d'octobre est aussi la dernière pour Windows 11 24H2 Home et Pro et pour Windows 10 Enterprise LTSB 2016, selon BleepingComputer. Windows 11 23H2 Enterprise, Education et IoT Enterprise cesseront de recevoir des mises à jour de sécurité en novembre 2026. Nous avons déjà expliqué qui est concerné et que faire dans notre article sur la fin du support de Windows 11 24H2 et d'Office 2021 ; et si vous conservez encore des postes sous Windows 10, consultez aussi les options qui s'offrent à vous avec les mises à jour ESU.
Que faire dans votre entreprise cette semaine
- Installez les mises à jour cumulatives d'octobre sur tous les postes, en commençant par ceux de l'administration et de la facturation, qui sont ceux qui ouvrent le plus de fichiers externes.
- Méfiez-vous des fichiers inattendus même si Windows n'affiche aucun avertissement : avec cette faille, l'absence d'avertissement n'est plus un signe que le fichier est sûr.
- Si vous utilisez des serveurs Windows (DNS, DHCP, Bureau à distance, Active Directory) ou SharePoint et SQL Server en local, planifiez-leur une fenêtre de maintenance dès cette semaine.
- Vérifiez la version de Windows 11 de chaque poste : ceux qui restent sous 24H2 Home ou Pro ne reçoivent plus de correctifs de sécurité.
Si vous n'avez personne pour assurer ce suivi, notre service de maintenance informatique inclut la vérification des mises à jour, à distance et avec un support sur place à Madrid et dans ses environs ; si votre entreprise est à Valdemoro, vous trouverez les détails dans maintenance informatique à Valdemoro. Pour un diagnostic plus complet de votre exposition, vous pouvez demander un audit sur mesure.