Le Patch Tuesday d'octobre 2026 de Microsoft établit un record avec 1 407 correctifs

Les mises à jour de sécurité d'octobre 2026 de Microsoft sont arrivées le 13 octobre avec le plus grand lot de correctifs que l'entreprise ait jamais livré en un seul mois. Tenable a recensé 1 407 CVE : 69 classées critiques, 1 337 importantes et une faible. CrowdStrike a porté le total à 1 413, dont 75 critiques. C'est le deuxième mois consécutif à établir ce record, et le deuxième d'affilée à donner aux défenseurs plus de travail qu'un cycle mensuel n'était conçu pour en absorber.

À lire aussi: Le Patch Tuesday record de Microsoft : 974 failles, deux déjà exploitées · Le Patch Tuesday d'août de Microsoft a corrigé environ 400 failles, et un vrai incendie.

Le chiffre qui compte le plus est bien plus petit. Une faille de cette livraison a été exploitée dans la nature avant qu'un correctif n'existe : CVE-2026-96951, un contournement de fonction de sécurité de Windows Shell au score CVSSv3 de 8,8. Une seconde, CVE-2026-108398, un contournement de fonction de sécurité du .NET Framework, a été divulguée publiquement avant qu'un correctif ne soit prêt. Réglez ces deux-là, et le reste de la liste devient un exercice de tri plutôt qu'une urgence.

Ce que fait un contournement de fonction de sécurité

Windows marque les fichiers provenant d'internet avec une métadonnée appelée la marque du web (Mark of the Web). C'est cette marque qui fait qu'Outlook ouvre une pièce jointe téléchargée en mode Protégé au lieu de l'exécuter, et que Windows demande confirmation avant de lancer un programme d'installation téléchargé depuis le web. La marque est une fonction de sécurité, et elle agit en attachant une étiquette au fichier.

Un contournement n'abat pas un mur. Il retire l'étiquette qui aurait rendu Windows prudent face au fichier. Pour CVE-2026-96951, Microsoft indique qu'un attaquant recourt à l'ingénierie sociale, par courriel ou messagerie, pour convaincre une cible d'ouvrir un fichier malveillant. L'ouverture échappe au contrôle de la marque du web, si bien que Windows traite le fichier comme local et de confiance. Le clic de la victime constitue l'exploit ; le contournement ne compte que si quelqu'un ouvre le fichier.

C'est pourquoi les failles de ce type peuvent être plus dangereuses que leur score ne le laisse penser. Une faille d'exécution de code à distance peut être atteinte par un scanner qui ne demande jamais la permission. Un contournement attend une personne. CVE-2026-96951 est la troisième faille de Windows Shell exploitée dans la nature en 2026, après CVE-2026-21510, corrigée en février, et CVE-2026-32202, corrigée en avril. Trois en dix mois, c'est un rythme qui mérite d'être suivi.

Le second zero-day attaque une idée similaire dans une autre couche. CVE-2026-108398 est un contournement de fonction de sécurité du .NET Framework, également noté 8,8. Un attaquant enregistre un assembly .NET malveillant pour qu'un processus protégé le charge, ce qui met en échec Windows Defender Application Control, le mécanisme qui limite le code autorisé à s'exécuter. La faille a été divulguée publiquement avant qu'un correctif ne soit disponible, son statut diffère donc de celui de la faille de shell : une divulgation n'équivaut pas à une exploitation confirmée.

Pourquoi le décompte ne cesse de grimper

L'écart entre les 1 407 de Tenable et les 1 413 de CrowdStrike est un écart de classification, non un désaccord sur l'ampleur. Les sociétés tracent la frontière d'une livraison mensuelle à des endroits différents et regroupent les CVE liées de manières différentes. Rapid7 a chiffré la part concernant uniquement Windows à 1 102. Les mises à jour ont touché 301 produits et composants, ce qui constitue une mesure en soi de l'étendue de la livraison.

La composition en dit plus que le total. Par impact, les failles d'élévation de privilèges représentaient 47,9 % des CVE corrigées et l'exécution de code à distance 22,3 %. Les produits comptant le plus de CVE étaient Microsoft Office Excel avec 69, le rôle DNS Server avec 52 et le noyau Windows avec 46.

Les failles d'élévation de privilèges exigent en général qu'un attaquant se trouve déjà à l'intérieur du réseau pour être exploitées, c'est pourquoi elles fonctionnent souvent comme un second étage une fois qu'un accès est établi. Les failles d'exécution de code à distance sont celles qui ouvrent la porte, et octobre en compte plusieurs qui méritent attention. L'avis du CCB belge commence son résumé par les 69 correctifs critiques de la livraison. Parmi eux : CVE-2026-70229, une faille d'exécution de code à distance dans Windows Active Directory Domain Services avec un score CVSS de 8,1 que Microsoft signale comme « exploitation plus probable » (Exploitation More Likely) ; CVE-2026-70571, une faille d'exécution de code à distance dans Exchange Server au CVSS 8,1 ; et CVE-2026-70279, une faille d'usurpation dans Exchange Server notée 9,3.

La conséquence pratique est qu'une simple liste classée cesse d'être utile. Une équipe qui travaille de haut en bas par gravité passera sa semaine sur des correctifs symboliques tandis que le composant défectueux réellement atteignable reste intact. Le tri fondé sur l'exposition pose un ensemble de questions plus restreint : le service concerné est-il exposé à internet, l'organisation utilise-t-elle tout simplement le produit, et quelqu'un a-t-il vu la faille exploitée lors d'une attaque. Pour la plupart des 1 407, la réponse honnête est qu'elles ne sont pas atteignables dans un environnement donné. C'est pourquoi le décompte et la charge de travail ne sont pas le même chiffre.

« Trier à partir du seul nombre de CVE plutôt que de l'exploitabilité revient à brûler des cycles sur les mauvais bugs. Corrigez ce qui est prouvé, priorisé et public, et traitez tout le reste comme la nouvelle norme du mois. » — Zero Day Initiative, The October 2026 Security Update Review, 13 octobre 2026

L'expérience des « cohortes de risque » de Microsoft

Face au volume, Microsoft a introduit une nouvelle étiquette en octobre : les cohortes de risque. Les notes de version de l'entreprise les présentent comme un moyen exploratoire d'aider les clients à organiser leur propre analyse. Microsoft précise aussi qu'elles ne sont pas des catégories officielles de vulnérabilités, qu'elles ne changent pas les consignes de mise à jour de Microsoft et qu'elles ne remplacent pas l'évaluation de chaque CVE.

Prenez ce cadrage au pied de la lettre. Une cohorte est un point de départ pour le propre tri du défenseur, et non une note de gravité sur laquelle baser ses correctifs. Qualifier la fonctionnalité d'exploratoire est la manière qu'a Microsoft de dire que l'idée est à l'essai et que les consignes qui la sous-tendent n'ont pas bougé. Les équipes qui adoptent la fonctionnalité doivent la traiter comme un paramètre parmi d'autres, et ne pas supposer qu'elle a remplacé les notes d'exploitabilité que Microsoft attribue depuis des années.

Une échéance de cycle de vie le même jour

Tout ce qui s'est produit le 13 octobre ne concernait pas des vulnérabilités. La même date a marqué la fin de la dernière année de mises à jour de sécurité étendues pour Windows Server 2012 et 2012 R2, la fin du support grand public de Windows Server 2022, et la fin du support d'Office 2021 et de plusieurs autres produits.

Pour quiconque exécute encore Windows Server 2012 ou 2012 R2, la conséquence est directe. Ces systèmes ont été maintenus en vie par les mises à jour de sécurité étendues, et la dernière de ces années vient de s'achever. Les futurs Patch Tuesdays n'incluront plus de correctifs pour eux, si bien que chaque mois ajoute de l'exposition sans apporter de remède. Windows Server 2022 et Office 2021 se situent à un autre stade : la fin du support grand public change le type de support reçu, et leur maintenance de sécurité se poursuit selon son propre calendrier. Ce chevauchement est facile à manquer un jour dominé par un décompte de CVE à quatre chiffres, et il a la traîne la plus longue.

La réalité opérationnelle

Les notes de version de Microsoft restent le point de départ, mais une livraison de cette ampleur reporte le vrai tri sur l'analyse indépendante. Tenable, CrowdStrike, la Zero Day Initiative et des organismes nationaux comme le CCB belge publient tous leur propre lecture en une journée, et chacun met en avant une liste légèrement différente. Pour une petite équipe de sécurité, c'est dans le recoupement que se trouve le signal utile : quand plusieurs observateurs nomment la même poignée de failles, ce sont celles-là qu'il faut planifier en premier.

L'ampleur comporte aussi un coût qui n'apparaît jamais dans un total de CVE. Chaque produit corrigé est un composant de plus à tester et une occasion de plus qu'un changement casse quelque chose sans rapport. Les entreprises ne peuvent en général pas se contenter d'installer et de passer à autre chose ; elles testent et déploient les mises à jour par étapes avant le déploiement général. Un mois qui touche 301 produits et composants met cette chaîne sous tension, aussi bien soit-elle gérée.

Réserves

Citez tout chiffre d'octobre en précisant sa méthode de comptage. Tenable compte 1 407, CrowdStrike 1 413, et Rapid7 chiffre la part concernant uniquement Windows à 1 102. L'écart reflète des choix de classification différents, non un désaccord sur le caractère massif de la livraison. Les trois sociétés ont travaillé à partir des notes de Microsoft.

Deux autres limites s'appliquent. Chaque faille du lot ne peut pas être atteinte à distance, et le groupe de l'élévation de privilèges, près de la moitié de la livraison, exige en général un accès préalable. Et les deux zero-days ne sont pas des risques interchangeables. L'un a été exploité dans la nature ; l'autre était public avant qu'un correctif n'existe. Leur accorder la même urgence en surestime un.

Ce qu'il faut surveiller

Trois éléments décideront si octobre restera dans les mémoires comme une anomalie ou comme le nouveau plancher.

Si l'exploitation suit le décompte. Une seule faille ce mois-ci est un cas confirmé d'exploitation dans la nature, et une seconde est connue publiquement. Si davantage des 1 407 refont surface dans des attaques, l'argument en faveur de correctifs plus rapides devient bien plus difficile à contrer.

Si les cohortes de risque survivent au contact des défenseurs. Microsoft a été claire : la fonctionnalité est exploratoire et ne change rien à ses consignes. L'adoption au fil des prochaines livraisons montrera si l'idée aide les équipes à trier un flot mensuel ou ajoute simplement une étiquette de plus à interpréter.

Si le record tient. C'est le deuxième mois consécutif à atteindre un nouveau sommet. Si novembre le dépasse encore, la pression sur les fenêtres de correctifs, les chaînes de test et la planification du cycle de vie continuera de monter, et la question de ce à quoi ressemble une cadence mensuelle raisonnable se fera plus pressante.

Pour la plupart des gens, la consigne reste simple : laissez Windows Update s'exécuter, et redémarrez quand il le demande. Pour les équipes qui ne peuvent pas se le permettre, le vrai travail d'octobre tient en une courte liste. Corrigez d'abord le contournement de shell, évaluez les failles d'Exchange et d'Active Directory à l'aune de votre exposition, et placez le reste sur un calendrier que vous pouvez justifier.

Image de couverture : « Building92microsoft.jpg » par Coolcaesar, CC BY-SA 4.0, via Wikimedia Commons.