Microsoft a publié le 13 octobre 2026 des correctifs pour 1 411 vulnérabilités, un volume record pour un Patch Tuesday selon BleepingComputer, dont une faille de Windows déjà exploitée par des attaquants. Le site spécialisé relie cette inflation au recours de l’éditeur à l’intelligence artificielle pour trouver et corriger les failles de ses produits. Pour les équipes informatiques, la question n’est plus seulement de tout installer, mais de savoir par où commencer.
Un volume sans précédent
D’après BleepingComputer, la mise à jour se répartit approximativement en 677 élévations de privilèges, 317 exécutions de code à distance, 254 divulgations d’informations, 73 dénis de service, 40 contournements de fonctions de sécurité et 28 usurpations. Soixante-dix failles sont jugées critiques, dont 57 permettent d’exécuter du code à distance. Le site ne compte que les vulnérabilités publiées le jour même du Patch Tuesday : son total exclut donc 348 failles traitées plus tôt dans le mois, notamment dans des services Azure et dans Exchange Server.
Le CERT-FR a consacré le 14 octobre plusieurs avis aux produits de l’éditeur. Celui qui porte sur Windows vise notamment Windows 10 en versions 1607, 1809, 21H2 et 22H2, Windows 11 de la 23H2 à la 26H2 et Windows Server de 2012 à 2025. Celui consacré à .NET couvre .NET 8.0 à 11.0, ASP.NET Core et plusieurs versions du .NET Framework, sous Windows, Linux et macOS.
Trois failles zero-day, dont une exploitée
La priorité est la CVE-2026-96951, un contournement de sécurité dans le shell de Windows qui permet d’échapper à la protection Mark of the Web, le marquage que Windows associe aux fichiers provenant d’Internet. « Microsoft indique que la vulnérabilité CVE-2026-96951 est activement exploitée », note le CERT-FR. Ni le mode opératoire des attaquants ni l’auteur du signalement n’ont été rendus publics.
Deux autres failles avaient été divulguées avant leur correctif, sans exploitation connue. La CVE-2026-108398, classée importante, touche le .NET Framework et pourrait permettre de contourner Windows Defender Application Control pour exécuter du code non autorisé ; elle a été découverte par James Forshaw, chercheur de Google Project Zero. La CVE-2026-92707, de gravité modérée, permet un déni de service dans la bibliothèque MessagePack-CSharp.
L’intelligence artificielle change l’échelle
BleepingComputer rattache ce record à l’utilisation par Microsoft de plateformes d’intelligence artificielle pour détecter et corriger les vulnérabilités. Face à ce volume, l’éditeur expérimente des cohortes de risque, qui regroupent les failles apparentées pour aider les organisations à repérer celles qui menacent le plus leurs systèmes. Quinze ont été publiées pour octobre, dont une de 136 failles touchant les systèmes de fichiers, le stockage et la sauvegarde de Windows et une autre de 135 failles liées aux documents Office et aux clients de messagerie. Microsoft souligne que ces regroupements ne désignent pas forcément les failles les plus dangereuses, le risque réel dépendant de leur exploitation, de leur gravité et de l’usage des logiciels, et que cette méthode encore expérimentale ne remplace pas ses recommandations habituelles.
Parmi les autres cohortes figurent 131 failles liées au graphisme, aux médias et au traitement de contenus de Windows, 109 touchant le noyau et les frontières de privilèges, et 103 concernant l’installation, le déploiement et la mise à jour du système. Microsoft a publié un document qui rattache chacune des vulnérabilités d’octobre à sa cohorte.
Fins de support et autres urgences du mois
Ce Patch Tuesday est le dernier pour Windows 11 24H2 en éditions Famille et Professionnel, ainsi que pour Windows 10 Entreprise LTSB 2016, rappelle BleepingComputer. Les éditions Entreprise, Éducation et IoT Entreprise de Windows 11 23H2 cesseront à leur tour de recevoir des correctifs de sécurité à partir de novembre 2026.
Microsoft n’est pas seul à corriger : Adobe, Cisco, Citrix, Fortinet, Ivanti, SAP ou SonicWall ont aussi publié des mises à jour ou des avis en octobre, selon BleepingComputer. Le CERT-FR a notamment émis le 14 octobre une alerte sur Ivanti Connect Secure, dont la vulnérabilité CVE-2026-104935 est activement exploitée selon l’éditeur ; il recommande d’isoler l’équipement et de rechercher des traces de compromission. Sa liste des alertes comptait aussi, au 15 octobre 2026, une alerte toujours en cours, publiée le 28 septembre, sur Citrix NetScaler ADC et Gateway.
Questions fréquentes
Quelle faille corriger en priorité en octobre 2026 ?
La CVE-2026-96951 du shell de Windows, seule faille de ce Patch Tuesday signalée comme activement exploitée. Elle permet de contourner la protection Mark of the Web.
Pourquoi le nombre de failles corrigées par Microsoft explose-t-il ?
BleepingComputer l’attribue à l’usage par Microsoft de plateformes d’intelligence artificielle pour rechercher et corriger les vulnérabilités de ses produits. Le total d’octobre n’inclut même pas 348 failles corrigées plus tôt dans le mois.
Un PC sous Windows 11 24H2 est-il encore protégé ?
Les éditions Famille et Professionnel de Windows 11 24H2 reçoivent en octobre 2026 leur dernière mise à jour de sécurité. Il faut passer à une version plus récente pour continuer à recevoir des correctifs.
Sources
- Microsoft October 2026 Patch Tuesday fixes 1,411 flaws, 3 zero-days — BleepingComputer, 2026-10-13
- CERTFR-2026-AVI-1314 : Multiples vulnérabilités dans Microsoft Windows — CERT-FR, 2026-10-14
- CERTFR-2026-AVI-1313 : Multiples vulnérabilités dans Microsoft .Net — CERT-FR, 2026-10-14
- CERTFR-2026-ALE-013 : Vulnérabilité dans Ivanti Connect Secure (ICS) — CERT-FR, 2026-10-14
- Alertes de sécurité du CERT-FR — CERT-FR, 2026-10-14
- Macros from the internet are blocked by default in Office (Mark of the Web) — Microsoft Learn, 2026-07-17