Patch Tuesday d'octobre 2026 : une faille Windows exploitée

Le 13 octobre 2026, Microsoft a publié ses mises à jour de sécurité mensuelles. Le document d'octobre compte plus de 1 400 nouvelles entrées, toutes familles confondues. Une seule est marquée comme exploitée : une faille de Windows Shell qui permet de contourner une protection que beaucoup d'utilisateurs ne remarquent même plus.

Ce que disent les bulletins

Microsoft, CVE-2026-96951. La fiche du Security Response Center décrit une « Windows Shell Security Feature Bypass Vulnerability ». Le texte précise : « Improper neutralization of special elements used in a command ('command injection') in Windows Shell allows an unauthorized attacker to bypass a security feature over a network. » La faille est cotée 8,8 en CVSS 3.1, avec un vecteur réseau, sans privilège requis, mais avec une interaction de l'utilisateur. Microsoft lui attribue la sévérité « Important » et le statut « Exploitation Detected ».

Deux failles publiques avant le correctif. Le même lot marque comme divulguées publiquement CVE-2026-108398, un contournement de fonction de sécurité dans .NET Framework, et CVE-2026-92707, un déni de service dans MessagePack-CSharp. Aucune des deux n'est signalée comme exploitée.

La CISA. CVE-2026-96951 figure au catalogue KEV depuis le 13 octobre 2026, avec une échéance au 16 octobre pour les agences civiles fédérales américaines.

Pourquoi ça compte

Le volume d'un Patch Tuesday dit peu de chose sur le risque. Un mois à plus de 1 400 entrées pousse à tout traiter dans le même lot, au même rythme, et c'est précisément ce qu'il faut éviter : une seule ligne de ce lot est déjà utilisée par des attaquants.

Cette ligne vise un mécanisme discret. Mark of the Web est la marque que Windows pose sur un fichier venu d'Internet ; c'est elle qui déclenche l'avertissement avant l'ouverture, ou le mode protégé d'Office. Une faille qui la contourne ne donne pas à elle seule le contrôle d'un poste : elle retire le dernier signal qui aurait fait hésiter l'utilisateur devant une pièce jointe ou un téléchargement piégé. C'est pourquoi une note « Important » peut être plus urgente qu'une note « Critical ».

Enfin, l'interaction requise ne protège pas une organisation de taille moyenne. Il suffit d'un courriel bien construit et d'une personne pressée.

Ce que nous en pensons chez Sentrix

Un Patch Tuesday se traite en deux vitesses :

1. La file rapide : ce qui est exploité. CVE-2026-96951 en tête, sur tous les postes et serveurs Windows, avec la même cible que l'échéance KEV : quelques jours, pas le cycle mensuel. Notre article sur la priorisation avec le catalogue KEV détaille la méthode.
2. La file normale : le reste du lot, en commençant par ce qui est public (les deux failles .NET et MessagePack-CSharp), puis par ce qui est exposé à Internet.
3. La preuve, pas l'intention. Un correctif « déployé » dans la console n'est pas un correctif installé. Mesurez le taux réel d'installation par groupe de machines et la liste des machines en retard. C'est l'inventaire que le module CTEM d'exposition continue tient à jour.
4. Les défenses autour de la faille. Tant que tout le parc n'est pas corrigé, renforcez ce que la faille contourne : filtrage des pièces jointes, blocage des formats à risque, et une MFA résistante à l'hameçonnage pour que des identifiants volés ne suffisent pas (notre guide).

Pour un MSP ou un MSSP, l'enjeu est la mesure par client. La même faille touche chaque parc ; ce qui change, c'est le délai. Un tableau par client, avec le taux d'installation de CVE-2026-96951 et sa date, est la réponse que vos clients et leurs auditeurs attendent. Notre service de gestion des vulnérabilités et des correctifs applique la même logique.

La prochaine étape

Cette semaine, sortez la liste des machines Windows qui n'ont pas encore installé la mise à jour d'octobre, triée par exposition : postes des équipes qui reçoivent le plus de courriels externes d'abord. Fixez une date de fin à quelques jours et suivez-la. Si vous voulez faire l'exercice avec nous, contactez-nous.