Microsoft corrige un record de 1 411 failles et une zero-day déjà exploitée dans Windows Shell
Le 13 octobre 2026, Microsoft publie un Patch Tuesday d’octobre à 1 411 failles — un record — dont une zero-day déjà exploitée dans Windows Shell et un paquet d’exécutions de code à CVSS 9,8 sur des services réseau. Voici l’ordre de patching qui protège réellement un parc, de la surface exposée vers l’intérieur.
13 octobre 2026. Microsoft publie son Patch Tuesday d’octobre : 1 411 failles corrigées, un record selon BleepingComputer. 13 octobre 2026. Parmi elles, trois zero-day, dont une déjà exploitée : CVE-2026-96951, un contournement de fonction de sécurité dans Windows Shell. 13 octobre 2026. Talos dénombre 85 failles critiques, dont 67 exécutions de code à distance. Pourquoi c’est important : le danger ne se répartit pas également — il se concentre sur une grappe de RCE à CVSS 9,8 qui frappe les services Windows exposés au réseau, exactement là où un attaquant entre.
La zero-day déjà exploitée, et ce qu’elle dit
CVE-2026-96951 est un contournement de fonction de sécurité (security feature bypass) dans Windows Shell, noté CVSS 8,8. Sa faiblesse CWE est une injection de commandes — l’attaquant insère des éléments non neutralisés qui sont ensuite exécutés. C’est la seule faille du lot que Microsoft confirme exploitée dans la nature, et c’est la première à patcher : une faille exploitée est une faille dont le mode d’emploi circule déjà.
Le fait qu’elle touche Windows Shell plutôt qu’un service exotique compte. Le Shell est le chemin d’exécution commun à une large part de l’interaction utilisateur sous Windows. Un contournement à cet endroit ne se limite pas à un composant isolé : il ouvre la porte à des chaînes d’exploitation où l’attaquant enchaîne un contournement du Shell avec une élévation de privilèges pour passer du poste au domaine.
BleepingComputer recense deux autres zero-day divulguées publiquement avant le correctif, portant le total à trois. Une zero-day « divulguée publiquement » n’est pas encore exploitée à grande échelle — mais elle en donne le plan à qui sait le lire. La distinction importe pour le tri : exploitée = corriger maintenant ; divulguée = corriger dans les jours ; le reste suit le cycle normal.
La grappe de RCE à 9,8 sur les services réseau
Sous la surface du record, le signal le plus net est une concentration de failles d’exécution de code à distance notées CVSS 9,8 sur des services Windows accessibles par le réseau. Trois exemples confirmés par l’analyse de Talos suffisent à dessiner la carte.
CVE-2026-100202 frappe le gestionnaire de file d’attente de messages (MSMQ), une use-after-free à 9,8. CVE-2026-100219 et CVE-2026-105016 frappent Microsoft QUIC, respectivement une use-after-free et un débordement de tampon dans le tas, chacun à 9,8. CVE-2026-97814 frappe le moteur de mise en forme du texte de Windows, un débordement de tampon dans le tas à 9,8.
Ce qui relie ces failles, c’est leur placement. MSMQ, QUIC et les services DHCP/FTP/RDP que le même lot corrige ont en commun d’écouter sur le réseau, souvent sans authentification préalable. Un 9,8 sur un service exposé n’est pas une faille théorique : c’est un accès initial. La leçon de ce mois-ci n’est pas « il y a beaucoup de failles », mais « les pires d’entre elles sont celles qui regardent vers l’extérieur ».
Les deux failles « les plus susceptibles d’être exploitées »
Microsoft, via ses notes d’exploitabilité, distingue les failles qu’il juge plus susceptibles d’être exploitées des autres. Deux retiennent l’attention, et aucune des deux n’est un 9,8 — preuve que la criticité brute n’est pas le seul critère.
CVE-2026-70229 est une RCE dans les services de domaine Active Directory (AD DS), notée CVSS 8,1, liée à une autorisation incorrecte. CVE-2026-70571 est une RCE dans Exchange Server, notée CVSS 8,1, un débordement de tampon dans la pile. Toutes deux sont classées « exploitation plus probable ».
La raison de ce classement est instructive pour un RSSI. AD DS est le magasin d’identité : le compromettre, c’est compromettre l’authentification de tout le domaine. Exchange est la boîte aux lettres : le compromettre, c’est accéder aux courriels et aux chaînes de réinitialisation de mots de passe. Une faille qui touche l’identité ou la messagerie vaut, en pratique, davantage qu’un score CVSS isolé — c’est pourquoi Microsoft les hisse au-dessus de leur note brute.
L’ordre de patching qui protège réellement
Le volume — 1 411 failles — est un problème de tri, pas un problème de vitesse. Personne ne patche 1 411 failles en une nuit, et essayer revient à ne rien patcher correctement. La séquence utile suit la surface d’exposition, de l’extérieur vers l’intérieur.
Premier lot : la zero-day exploitée et les RCE réseau. Déployez le correctif de CVE-2026-96951 et des 9,8 réseau (MSMQ, QUIC, DHCP, FTP, RDP) sur tout système joignable depuis l’extérieur ou démilitarisé. Ce sont les seules failles qui donnent un accès initial sans prérequis.
Deuxième lot : l’identité et la messagerie. CVE-2026-70229 (AD DS) et CVE-2026-70571 (Exchange) viennent ensuite : elles transforment un accès initial en contrôle du domaine ou en exfiltration de courriels. Les contrôleurs de domaine et les serveurs Exchange ne sont pas toujours exposés à Internet, mais ils sont la cible de tout ce qui entre.
Troisième lot : le reste, en cycle normal. Les failles locales — élévations de privilèges Win32k, registre, composition graphique — attendent le cycle mensuel habituel, sauf si un accès initial a déjà été constaté sur le parc. Le critère qui sépare le premier lot du troisième est simple : « cette faille donne-t-elle un accès initial, ou seulement une progression après accès ? ».
Verdict
Si vous gérez un parc Windows exposé, corrigez ce soir CVE-2026-96951 et les RCE réseau à 9,8 — une zero-day déjà exploitée et un service MSMQ/QUIC/DHCP accessible sont la combinaison exacte qu’un rançongiciel attend pour entrer. Si vous administrez de l’Active Directory ou Exchange, placez CVE-2026-70229 et CVE-2026-70571 dans la même fenêtre : ces deux failles convertissent un accès initial en compromission du domaine, et Microsoft les juge déjà « plus susceptibles d’être exploitées ». Et si vous n’avez qu’une heure, ne la passez pas sur le volume — passez-la sur la surface : triez par exposition réseau d’abord, par CVSS ensuite, et le record de 1 411 failles cesse d’être un mur pour devenir une liste triée.