Patch Tuesday d’octobre 2026 : 1 413 CVE, 1 faille zero-day exploitée

La publication du Patch Tuesday de Microsoft d’octobre 2026 corrige 1,413 CVE Microsoft, établissant un nouveau record seulement un mois après le précédent sommet de 974 en septembre. Cela représente environ 45 % d’augmentation d’un mois sur l’autre. La publication couvre Windows, les applications Microsoft 365 et Office, SharePoint Server, SQL Server, Exchange Server, Azure, Defender et les outils de développement. Microsoft republie également une CVE non Microsoft.

Une vulnérabilité est déjà activement exploitée : CVE-2026-96951, un contournement de fonctionnalité de sécurité dans Windows Shell. Une deuxième, CVE-2026-108398 dans le .NET Framework, a été divulguée publiquement ; des détails techniques sont donc déjà disponibles, même si Microsoft n’a pas encore observé d’attaques. Les deux sont classées Important, ce qui renforce le fait que le statut d’exploitation doit primer sur les seules étiquettes de sévérité.

Avec plus de 1 400 CVE Microsoft à évaluer, les équipes IT ont besoin d’un déploiement basé sur les risques qui commence par les vulnérabilités que les attaquants sont le plus susceptibles d’exploiter et les systèmes où une compromission causerait le plus de dégâts.

Analyse des correctifs Microsoft d’octobre 2026

Parmi les 1 408 CVE avec des niveaux de gravité, Microsoft en a classé 78 comme critiques, 1 329 comme importants et 1 comme modéré. Les 1 408 nécessitent une action du client sous la forme de l’installation d’une mise à jour.

L’élévation de privilèges et l’exécution de code à distance représentent environ 70 % de cette publication :

Les failles d’élévation de privilèges peuvent transformer un accès limité en contrôle total d’un système, et les failles d’exécution de code à distance peuvent fournir cet accès initial. Avec près de 1 000 vulnérabilités de ces deux types dans une seule publication, les équipes IT doivent savoir quels systèmes affectés sont exposés et lesquels disposent d’un accès privilégié.

Où les vulnérabilités sont concentrées

Windows représente plus des trois quarts des CVEs de ce mois-ci. Office et SharePoint Server ajoutent ensemble 170 de plus, et les outils de développement en représentent 61 répartis sur 60 mises à jour distinctes.

Les chiffres publiés par Microsoft pour cette version diffèrent légèrement : les notes de publication indiquent 1 413 CVE, le détail par famille de produits totalise 1 414, et la liste des CVE publiée en contient 1 411. Cet article utilise 1 413, le chiffre indiqué dans les notes de publication de Microsoft.

Une vulnérabilité zero-day exploitée et une vulnérabilité divulguée publiquement

Microsoft a signalé deux CVE avec des désignations spéciales d’exploitabilité ce mois-ci. Il s’agit dans les deux cas de vulnérabilités de contournement de fonctionnalités de sécurité classées comme importantes.

Les vulnérabilités de contournement des fonctionnalités de sécurité mènent rarement à une attaque complète à elles seules. Elles fonctionnent généralement avec une autre faille, comme l’exécution de code à distance ou l’élévation de privilèges, en supprimant une protection qui bloquerait ou signalerait autrement l’étape suivante. Les corriger ferme une étape que les attaquants utilisent peut-être déjà.

CVE-2026-96951 doit être corrigée en priorité sur tous les terminaux Windows, quelle que soit sa classification Important. Avec le contournement de Mark of the Web, un fichier malveillant envoyé par e-mail ou par chat peut s’ouvrir sans les avertissements que les utilisateurs voient normalement. L’utilisateur doit toujours ouvrir le fichier, donc cette faille se combine naturellement avec le phishing et avec les vulnérabilités basées sur les fichiers abordées plus loin dans cet article.

CVE-2026-108398 n’a pas été exploitée, mais comme elle a été divulguée publiquement, des détails techniques sont déjà disponibles. Cela augmente les chances d’exploitation. Un attaquant doit d’abord disposer d’un compte sur le système, donc cette mise à jour est particulièrement importante pour les organisations qui s’appuient sur Windows Defender Application Control ou un système similaire de liste d’autorisation pour contenir un intrus déjà présent dans l’environnement.

Aucune de ces deux CVE ne figure dans le catalogue Known Exploited Vulnerabilities de la CISA au moment de la publication. Des ajouts suivent souvent dans les jours qui suivent une désignation comme celle-ci, alors consultez le catalogue pendant la planification de votre déploiement.

Vulnérabilités critiques à prioriser ensuite

Microsoft a classé 78 vulnérabilités comme critiques ce mois-ci. Soixante-cinq sont des vulnérabilités d’exécution de code à distance, et les 13 restantes concernent une élévation de privilèges ou l’usurpation d’identité. Au lieu de les traiter comme un seul groupe, hiérarchisez-les selon l’infrastructure affectée, son niveau d’exposition et ce qu’une compromission mettrait en danger.

Services DHCP Windows et services exposés au réseau

Cinq vulnérabilités critiques d’exécution de code à distance affectent Windows DHCP Server :

• CVE-2026-96934

• CVE-2026-88117

• CVE-2026-88120

• CVE-2026-88119

• CVE-2026-88171

Le serveur DHCP est généralement accessible sur l’ensemble des segments du réseau interne, ce qui en fait un point de pivot fréquent pour compromettre l’ensemble du réseau. La publication inclut également une vulnérabilité critique d’exécution de code à distance dans le client DHCP (CVE-2026-70250).

Plusieurs autres services exposés au réseau présentent ce mois-ci des vulnérabilités critiques d’exécution de code à distance :

QUIC est à la base de HTTP/3 et d’autres transports réseau, donc ces failles importent surtout pour les charges de travail Windows Server exposées à Internet. Remote Desktop Gateway se trouve à la périphérie de nombreux déploiements d’accès à distance. Identifiez où ces services sont activés et faites passer les systèmes accessibles depuis l’extérieur en tête de liste.

Infrastructure d’identité et de certificats

Des vulnérabilités critiques affectent également les services qui contrôlent l’authentification, la fédération et l’inscription des certificats :

Chacun n’apparaît qu’une seule fois dans cette publication, mais chacun affecte une cible à forte valeur. Un contrôleur de domaine ou un service d’inscription de certificats compromis peut donner à un attaquant une portée sur l’ensemble de l’environnement. L’usurpation d’AD FS peut compromettre la confiance dans l’authentification unique fédérée dont dépendent de nombreuses organisations. Les contrôleurs de domaine, les serveurs AD FS et les serveurs NDES doivent figurer parmi les premiers serveurs évalués après le zero-day exploité.

Exchange Server et l’infrastructure de déploiement

Exchange Server (CVE-2026-70571) et Windows Deployment Services (CVE-2026-88174) présentent chacun une vulnérabilité critique d’exécution de code à distance. SharePoint Server présente une vulnérabilité critique d’élévation de privilèges (CVE-2026-102866).

Exchange et SharePoint contiennent souvent des données d’entreprise sensibles et se connectent à d’autres ressources internes. Deployment Services peut affecter chaque terminal qui en dépend pour l’imagerie ou le provisionnement. Donnez la priorité aux déploiements exposés à l’extérieur ou ayant accès à des données de grande valeur.

Hyper-V et enclave VBS

Les mises à jour de ce mois-ci incluent une exécution de code au niveau de l’hôte dans Hyper-V ainsi que des failles critiques d’élévation de privilèges dans Windows Virtualization-Based Security (VBS) Enclave et les composants principaux du noyau.

Les hôtes Hyper-V prennent souvent en charge des charges de travail de production avec des exigences strictes en matière de disponibilité. Utilisez des tests progressifs et des fenêtres de maintenance coordonnées lorsqu’un déploiement immédiat risque de perturber les services, mais ne laissez pas ces fenêtres retarder trop longtemps l’application des correctifs au niveau des hôtes.

Applications Microsoft 365 et Office

Les applications Office représentent 34 des vulnérabilités critiques d’exécution de code à distance de ce mois-ci :

Excel se distingue, avec une concentration exceptionnellement élevée de failles critiques dans une seule application. Les documents malveillants restent l’un des vecteurs les plus courants, pilotés par le phishing, pour pénétrer dans les environnements utilisateurs. Ce risque est plus élevé ce mois-ci, car le contournement exploité de Mark of the Web peut supprimer les avertissements que les utilisateurs verraient normalement sur les fichiers téléchargés. Visio est souvent moins prioritaire dans les listes de correctifs que Word, Excel ou Outlook, mais il présente le même risque lié aux documents.

Pilotes de médias, de graphiques et d’imprimantes

Dix vulnérabilités critiques d’exécution de code à distance affectent les composants de rendu multimédia, graphique et documentaire, notamment Media Foundation, GDI+, Codecs, Windows PDF, Text Shaping et Raw Image Extension (CVE-2026-96202 and CVE-2026-96943). Celles-ci peuvent être déclenchées par l’ouverture d’une image, d’une vidéo, d’une police ou d’un PDF piégé, sans macros ni scripts.

Le pilote d’imprimante PostScript présente également trois vulnérabilités critiques d’exécution de code à distance : CVE-2026-70153, CVE-2026-70147 et CVE-2026-108467. Les pilotes d’imprimante sont largement déployés et faciles à oublier dans les cycles de correctifs. Assurez-vous donc qu’ils sont inclus dans le même déploiement que le reste de la publication.

Comment prioriser les correctifs d’octobre 2026

Il n’existe pas de calendrier fixe adapté à tous les environnements. Utilisez ces niveaux comme point de départ, puis ajustez en fonction de l’exposition, de l’impact métier et des exigences de test.

Appliquer le correctif sous 72 heures

• CVE-2026-96951 (shell Windows) sur chaque terminal Windows, suivi de CVE-2026-108398 (.NET Framework)

• Serveur DHCP Windows et client DHCP Windows

• Passerelle Bureau à distance, NDES et Services de domaine Active Directory

• Microsoft QUIC sur les charges de travail Windows Server exposées à Internet

• Exchange Server et SQL Server, en commençant par les systèmes accessibles depuis l’extérieur ou les systèmes contenant des données sensibles

• Hôtes Hyper-V

• Toute CVE ajoutée ultérieurement au catalogue KEV de la CISA ou signalée comme présentant une probabilité d’exploitation plus élevée

Appliquez le correctif sous 1 à 2 semaines

• Applications Office, en commençant par Excel, puis Outlook, PowerPoint, Word et Visio

• Vulnérabilités d’élévation de privilèges du noyau et de VBS Enclave

• Les composants multimédias, graphiques et de rendu de documents, ainsi que le PostScript Printer Driver

• Visual Studio, Visual Studio Code et .NET sur les postes de travail des développeurs

• Vulnérabilités d’élévation de privilèges dans Azure et Entra

L’exposition doit néanmoins primer sur le calendrier par défaut. Les utilisateurs qui ouvrent régulièrement des documents externes peuvent avoir besoin des mises à jour Office plus tôt.

Cycle de correctifs régulier

• Vulnérabilités importantes d’élévation de privilèges et de divulgation d’informations dans des composants à exposition limitée

• Problèmes liés à l’accès local uniquement et aux pilotes de périphériques sur les systèmes à accès physique restreint

• Systèmes non exposés à Internet avec des contrôles compensatoires en place

Mises à jour importantes de tiers

Microsoft republie seulement une CVE non-Microsoft ce mois-ci, contre 25 en septembre : CVE-2026-21413, une vulnérabilité d’exécution de code à distance de Raw Image Extension attribuée à Cisco Talos. Elle affecte le même composant que les deux failles critiques Raw Image Extension détenues par Microsoft mentionnées ci-dessus (CVE-2026-96202 et CVE-2026-96943), de sorte que les trois peuvent être traitées dans le cadre d’un seul effort de remédiation.

Microsoft Edge n’a livré aucune nouvelle CVE dans cette version. Les équipes doivent néanmoins vérifier les mises à jour du navigateur, des outils de développement et des applications tierces selon leurs propres calendriers, et les conserver dans le même workflow de gestion des vulnérabilités que les mises à jour du système d’exploitation. Des processus distincts peuvent créer des angles morts même lorsque les correctifs Windows sont à jour.

Pourquoi le Patch Tuesday d’octobre est important pour les équipes IT

La publication d’octobre soulève deux problèmes opérationnels qui vont au-delà de toute CVE individuelle.

1. Le volume des enregistrements rend le tri manuel irréaliste

Il s’agit de la deuxième publication record d’affilée, et le bond de 974 à 1 413 CVEs en un mois laisse peu de place à une vérification manuelle. Les équipes doivent rapidement savoir quels appareils exécutent les logiciels concernés, quelles vulnérabilités sont exploitées et quels systèmes prennent en charge l’identité, l’accès à distance ou les charges de travail critiques. Cela dépend d’un inventaire précis du matériel et des logiciels.

Microsoft réagit également à ce volume. Avec cette version, l’entreprise a introduit des cohortes de risque, une manière expérimentale de regrouper des CVE liées autour de questions d’exposition communes, comme l’identification des systèmes qui traitent des fichiers non fiables. Microsoft note que les cohortes ne classent pas le niveau de danger, donc le statut d’exploitation et l’exposition doivent toujours déterminer l’ordre des priorités.

2. Certains systèmes viennent de recevoir leur dernière mise à jour de sécurité

La mise à jour d’octobre est la dernière mise à jour de sécurité pour Windows 11 version 24H2 Home et Pro ainsi que pour Windows 10 Enterprise LTSB 2016. Windows 11 version 23H2 Enterprise, Education et IoT Enterprise arrivent en fin de mises à jour en novembre. Les appareils exécutant ces éditions cessent de recevoir des correctifs après leur date de fin, quelle que soit la rapidité avec laquelle une équipe applique les correctifs. Identifiez-les dès maintenant et planifiez les mises à niveau, car le correctif zero-day de ce mois-ci pourrait être la dernière protection dont ils bénéficient.

Comment Splashtop AEM peut aider à prioriser et déployer les correctifs

Une publication de 1 413 CVE avec un zero-day exploité donne aux équipes IT deux tâches à accomplir : identifier ce qui compte dans leur environnement et déployer rapidement les bonnes mises à jour. Splashtop AEM (Autonomous Endpoint Management) prend en charge les deux depuis une console centralisée.

• Repérez les appareils exposés : Splashtop AEM analyse en continu les terminaux Windows et macOS à la recherche de CVE, y compris les vulnérabilités du catalogue Known Exploited Vulnerabilities de la CISA, ainsi que le statut des correctifs et l’inventaire matériel et logiciel.

• Donnez la priorité à ce que les attaquants exploitent : Les résumés de CVE alimentés par l’IA et les signaux de risque aident les équipes à faire passer des vulnérabilités comme CVE-2026-96951 avant le reste de la version.

• Déployez et vérifiez plus rapidement : le correctif en temps réel de l’OS et des applications tierces, les politiques automatisées, les fenêtres de maintenance et les anneaux de mise à jour permettent aux équipes de tester d’abord les mises à jour Office ou serveur sur un groupe plus restreint d’appareils. Les équipes peuvent ensuite étendre le déploiement et suivre les installations qui ont réussi ou échoué.

• Renforcez les workflows existants : Splashtop AEM peut renforcer Microsoft Intune en ajoutant l’application de correctifs en temps réel, la visibilité sur les CVE et la remédiation. Les équipes qui utilisent un RMM peuvent s’en servir pour combler les lacunes en matière de visibilité sur les correctifs et d’automatisation.

Gardez une longueur d’avance sur le volume record du Patch Tuesday avec Splashtop AEM

La version d’octobre montre à quelle vitesse la gestion des correctifs devient un problème de triage. Avec 1 413 CVE et un zero-day exploité dans l’équation, les équipes IT doivent identifier les appareils exposés, déployer d’abord les mises à jour les plus urgentes et confirmer que chaque endpoint est couvert.

Démarrez un essai gratuit de Splashtop AEM pour voir quels endpoints sont vulnérables, prioriser les mises à jour à haut risque et déployer les correctifs plus rapidement.