Microsoft a publié ses mises à jour de sécurité d’octobre 2026 afin de corriger 1 411 vulnérabilités, soit le plus important bilan mensuel jamais annoncé par l’entreprise, selon un rapport de BleepingComputer. Le lot comprend 70 vulnérabilités classées comme « critiques », dont 57 vulnérabilités permettant l’exécution de code à distance, 11 vulnérabilités d’élévation de privilèges et deux vulnérabilités de contournement des mécanismes de protection.
Les vulnérabilités corrigées dans les mises à jour du Patch Tuesday se répartissent entre 677 vulnérabilités d’élévation de privilèges, 317 vulnérabilités d’exécution de code à distance, 254 vulnérabilités de divulgation d’informations, 73 vulnérabilités de déni de service, 40 vulnérabilités de contournement des fonctions de sécurité et 28 vulnérabilités d’usurpation d’identité.
Trois vulnérabilités zero-day
Le lot comprend trois vulnérabilités que Microsoft a classées parmi les vulnérabilités zero-day. La vulnérabilité CVE-2026-96951 dans Windows Shell était activement exploitée et permet de contourner la fonction Mark of the Web par injection de commandes. Microsoft n’a pas publié de détails sur les acteurs qui l’ont exploitée ni sur la manière dont les attaques ont été menées.
La vulnérabilité CVE-2026-108398 dans .NET Framework avait quant à elle été divulguée publiquement et permet à un attaquant authentifié de contourner les restrictions de Windows Defender Application Control et d’exécuter du code au sein d’un processus protégé, sans nécessiter d’interaction de l’utilisateur. La vulnérabilité a été découverte par James Forshaw de Google Project Zero.
Microsoft corrige également la vulnérabilité CVE-2026-92707 dans MessagePack-CSharp, une vulnérabilité de déni de service divulguée publiquement qui peut être exploitée via le réseau.
Fin de la prise en charge de certaines versions de Windows
Microsoft a annoncé le même jour la fin de la prise en charge de Windows 11 version 24H2 pour les éditions Home et Pro, ainsi que de Windows 10 Enterprise LTSB 2016. La mise à jour d’octobre 2026 constitue la dernière mise à jour de sécurité pour ces éditions, ce qui fait de la migration vers des versions prises en charge une question de sécurité immédiate pour les entreprises et les utilisateurs concernés.
L’entreprise avait précédemment indiqué que les éditions Windows 11 23H2 Enterprise, Education et IoT Enterprise cesseraient de recevoir des mises à jour de sécurité à partir du mois suivant.
Quels changements concrets pour les équipes de sécurité ?
Avec ce lot, Microsoft a proposé une méthode expérimentale pour établir les priorités de correction, en regroupant les vulnérabilités similaires au sein de « groupes de risques ». L’entreprise a publié 15 groupes pour le mois d’octobre, dont 136 vulnérabilités liées aux systèmes de fichiers, au stockage et aux sauvegardes Windows, 135 vulnérabilités concernant les documents Office et les clients de messagerie, 131 vulnérabilités dans les graphiques, les médias et le traitement des contenus, 109 vulnérabilités touchant les limites de privilèges dans le noyau Windows et 103 vulnérabilités liées à l’installation, au déploiement et aux services de mise à jour.
Microsoft précise que ces groupes ne signifient pas automatiquement que les vulnérabilités qu’ils contiennent sont les plus dangereuses : le risque réel dépend de l’exploitation dans les attaques, du niveau de gravité et de la manière dont l’entreprise utilise le produit. Le dispositif reste donc expérimental et vient compléter les recommandations de correction actuelles, sans les remplacer.
Portée des chiffres
Le chiffre de 1 411 se limite aux vulnérabilités pour lesquelles Microsoft a publié des correctifs le même jour, lors du Patch Tuesday. Il n’inclut pas 348 autres vulnérabilités corrigées par l’entreprise plus tôt en octobre dans des produits et services tels qu’Azure API Center, Azure App Service, Azure Event Grid, Microsoft Exchange Server et Microsoft Partner Center.
La hausse du nombre de vulnérabilités ne supprime pas la nécessité de définir des priorités : la vulnérabilité activement exploitée et les vulnérabilités qui affectent des systèmes exposés ou dotés de privilèges élevés doivent être traitées en urgence, avant toute tentative de traiter l’énorme liste en une seule fois. Toutefois, l’article ne fournit pas tous les détails sur l’ensemble des produits concernés ni sur les calendriers internes de déploiement, ce qui rend indispensable la consultation des bulletins de Microsoft et l’évaluation de l’environnement de chaque entreprise avant de déterminer l’ordre d’exécution.