Chaque deuxième mardi du mois, Microsoft publie ses correctifs de sécurité. D'habitude, le volume tourne autour d'une centaine de failles. Le Patch Tuesday d'octobre 2026 en a corrigé 1 413 : 1 102 dans Windows, 134 dans Office, 36 dans SharePoint, le reste dans Exchange, Azure et les outils de développement. C'est le deuxième record consécutif, et la barre des 4 000 failles corrigées depuis janvier est franchie.
Microsoft attribue cette hausse à l'usage de l'intelligence artificielle pour rechercher les défauts dans son propre code, et prévient que les mois suivants seront du même ordre. Pour une PME, la question n'est pas de lire la liste, mais de s'assurer que chaque poste reçoit le correctif dans un délai raisonnable.
La faille déjà exploitée
Sur les 1 413 failles, une seule était exploitée avant la publication du correctif : CVE-2026-96951, notée 8,8 sur 10. Elle permet de contourner la « marque du Web », l'étiquette que Windows appose sur tout fichier venu d'Internet.
Cette étiquette paraît anodine ; elle est au cœur de la protection du poste. C'est elle qui déclenche l'avertissement avant l'ouverture d'un exécutable téléchargé, qui fait ouvrir un document Office en mode protégé et qui alimente le filtre SmartScreen. Un fichier qui échappe à l'étiquette s'ouvre comme s'il avait été créé sur le poste, sans aucun avertissement.
Le scénario d'attaque décrit par Microsoft est le plus classique qui soit : un fichier piégé envoyé par courriel ou par messagerie instantanée, ou un lien vers un site contrôlé par l'attaquant. Il faut encore que l'utilisateur ouvre le fichier, mais il ne verra plus le message qui l'aurait fait hésiter. C'est la troisième faille de ce type exploitée en 2026 dans le shell de Windows, après celles de février et d'avril.
L'agence américaine CISA a ajouté la faille à son catalogue des vulnérabilités exploitées le jour même, avec trois jours pour corriger. C'est un délai que nous jugeons pertinent aussi pour une PME, en commençant par les postes qui reçoivent le plus de courriels externes : accueil, comptabilité, direction.
Les deux autres failles à surveiller
Deux failles étaient publiques avant le correctif sans être exploitées. La première, CVE-2026-108398, touche le .NET Framework et permet de contourner le contrôle des applications de Windows Defender, la fonction qui n'autorise que les logiciels approuvés. Elle concerne surtout les parcs qui ont mis en place ce contrôle. La seconde, CVE-2026-92707, est un déni de service dans une bibliothèque .NET, à traiter dans les applications métier qui l'embarquent.
Hors Microsoft, le même mois a vu des correctifs pour une faille FortiMail exploitée et une faille Ivanti Connect Secure exploitée. Si votre messagerie ou votre accès distant passent par l'un de ces équipements, le sujet est au moins aussi urgent que Windows, comme nous l'expliquions dans accès distant : quand le correctif ne suffit plus.
Pourquoi « Windows Update est activé » ne suffit pas
Sur la plupart des postes, Windows Update télécharge et installe les correctifs tout seul. Le problème est ce qui se passe ensuite. Le correctif n'est effectif qu'après redémarrage, et un portable que l'on met en veille tous les soirs peut rester des semaines sans redémarrer. Le poste affiche alors « redémarrage requis » dans un coin de l'écran, et reste vulnérable.
Trois autres situations reviennent dans nos audits. Les postes sous Windows 11 24H2 en édition Famille ou Professionnel, dont le support a pris fin le 13 octobre : le correctif d'octobre est le dernier qu'ils recevront. Les postes encore sous Windows 10 sans inscription au programme de mises à jour étendues, qui ne reçoivent plus rien, sujet de notre article sur la deuxième année de l'ESU. Enfin, les serveurs, que personne n'ose redémarrer en journée et que personne ne redémarre le soir.
La méthode pour une PME
- Inventorier. Savoir quels postes existent, quelle version de Windows ils exécutent et quand ils ont redémarré pour la dernière fois.
- Tester sur des postes témoins. Deux ou trois machines représentatives reçoivent le correctif le premier jour, ce qui permet de détecter un conflit avec un logiciel métier avant qu'il touche tout le monde.
- Déployer par lots avec une échéance de redémarrage imposée, en dehors des heures d'ouverture.
- Relancer les retardataires. Chaque mois, quelques postes échappent au déploiement : un portable en congé, une machine éteinte. Ce sont eux qu'il faut suivre nommément.
Cette méthode repose sur un outil de gestion du parc, Intune pour un parc Microsoft 365, ou une console de supervision. Sans outil, elle repose sur la bonne volonté de chacun, et l'expérience montre qu'elle ne tient pas.
Ce que couvre le contrat
Dans le cadre de l'infogérance, nous déployons les correctifs mensuels par lots, nous suivons les postes qui n'ont pas redémarré et nous signalons ceux qui sortent du support. En octobre, la faille CVE-2026-96951 a été traitée en priorité sur les postes exposés au courriel externe.
L'infogérance démarre à 120 HT / mois dans le Bassin Genevois. La liste complète des correctifs figure dans le récapitulatif de BleepingComputer.
À retenir
Le Patch Tuesday d'octobre a corrigé un nombre record de failles, et les mois suivants seront comparables. La seule faille exploitée, CVE-2026-96951, supprime l'avertissement qui précède l'ouverture d'un fichier venu d'Internet. Un correctif installé mais en attente de redémarrage ne protège pas. Inventoriez, testez sur quelques postes, déployez par lots et suivez nommément les retardataires.
Vous ne savez pas combien de postes de votre entreprise sont à jour ? Demandez-nous un état des lieux.