Microsoft a publié le 13 octobre 2026 des correctifs de sécurité couvrant 1 413 vulnérabilités à travers son portefeuille logiciel, battant son record de mises à jour mensuelles. Cette série de correctifs comprend une faille zero-day activement exploitée dans Windows Shell et touche des composants majeurs tels que Windows, Office et SharePoint.
Un volume record de correctifs pour 1 413 vulnérabilités
Microsoft a pulvérisé son précédent record de mises à jour mensuelles en déployant des correctifs pour 1 413 vulnérabilités réparties dans l’ensemble de son écosystème logiciel. Ce volume dépasse largement le précédent record établi en septembre, qui s’approchait de près d’un millier de correctifs.
La grande majorité de ces failles se concentre dans le système d’exploitation Windows, qui totalise 1 102 CVE, représentant environ 80 % du total. Le reste des correctifs se répartit entre Office avec 134 failles, les outils de développement avec 61 signalements, SharePoint Server avec 36 correctifs, et SQL Server avec 22 failles corrigées. D’autres composants, notamment Azure, Exchange Server, Defender, font également l’objet de mises à jour spécifiques, tandis qu’Edge n’affiche aucune CVE pour cette échéance.
Plus de 300 failles permettent l’exécution de code à distance, environ 250 vulnérabilités entraînent des divulgations d’informations, et plus de 70 failles distinctes affichent un niveau de criticité élevé.
La faille zero-day de Windows Shell et les menaces en cours
Parmi l’ensemble des failles corrigées ce mois-ci, une vulnérabilité critique se distingue par son exploitation active sur le terrain. Répertoriée sous la désignation CVE-2026-96951 avec un score CVSS de 8.8, cette faille de type injection de commande touche Windows Shell et permet à un attaquant non authentifié de contourner les protections par le réseau.
Ce mécanisme d’attaque neutralise les défenses du dispositif Mark of the Web, le système d’avertissement qui signale les fichiers téléchargés depuis des sources non fiables. Les attaquants peuvent ainsi propager un fichier piégé par courrier électronique ou via des applications de messagerie instantanée.
Microsoft a attribué la découverte de la vulnérabilité CVE-2026-96951 à Riku Bamba et Yuya Chudo de l’entreprise Fujitsu, ainsi qu’à Benoit Sevens d’Anthropic et à un chercheur nommé yhw. Par ailleurs, la société a corrigé la CVE-2026-92707, une vulnérabilité de déni de service dans MessagePack-CSharp signalée par un chercheur anonyme, ainsi que la CVE-2026-21413, une faille d’exécution de code à distance dans l’extension Raw Image sous la référence CVE-2026-21413.
Les agences fédérales américaines, sous l’égide de la Cybersecurity and Infrastructure Security Agency, disposent d’un délai strict pour appliquer ces correctifs, l’agence ayant intégré cette faille à son catalogue de vulnérabilités connues et exploitées.
La complexité de la gestion des correctifs pour les équipes de sécurité
Face à une telle profusion de correctifs mensuels, les experts en cybersécurité soulignent l’impératif de hiérarchiser les interventions en fonction de l’exploitabilité réelle des failles plutôt que par le simple volume brut de CVE.
Microsoft attribue en partie l’accélération de la découverte des bogues à l’utilisation croissante de l’intelligence artificielle par les chercheurs et les éditeurs. L’entreprise a d’ailleurs introduit une nouvelle méthode de priorisation baptisée risk cohorts
, qui regroupe les failles apparentées afin de faciliter l’évaluation initiale par les administrateurs systèmes.
Outre la faille Windows Shell, la mise à jour traite une vulnérabilité publique dans le .NET Framework sous la référence CVE-2026-108398. Cette faille de chemin de recherche non sécurisé permet à un attaquant authentifié de contourner les restrictions de Windows Defender Application Control et d’exécuter du code non autorisé au sein d’un processus protégé. Microsoft a également attribué la découverte de la CVE-2026-92707 à James Forshaw de Google Project Zero, tout en créditant un chercheur anonyme pour le signalement.
Pour aller plus loin