Patch Tuesday d’octobre 2026 : 1 411 failles, 15 cohortes

Le 13 octobre 2026, le Patch Tuesday de Microsoft a corrigé 1 411 failles selon le décompte de BleepingComputer, dont une vulnérabilité Windows Shell déjà exploitée et deux autres divulguées avant la disponibilité de leur correctif. Ce total concerne les vulnérabilités publiées le jour même par Microsoft ; il exclut les corrections sorties plus tôt dans le mois. Pour les administrateurs, l’exploitation constatée donne un ordre de priorité plus utile que la taille de la livraison.

Le même 13 octobre 2026, le Microsoft Security Response Center présente 15 cohortes provisoires et précise : « Risk cohorts are a starting point, not a final decision. » Elles réunissent des CVE qui appellent une même question sur les systèmes exposés ; elles ne classent pas les organisations par niveau de risque. L’urgence se décide en croisant ce contexte avec les propriétés de chaque faille.

Windows Shell : l’exploitation constatée prime sur le total

Un poste Windows est retiré du parc pour traiter en priorité la faille Windows Shell déjà exploitée.

La vulnérabilité CVE-2026-96951 contourne une protection de Windows Shell liée au Mark of the Web, le marquage qui aide Windows à reconnaître les fichiers provenant d’une source externe. Son exploitation observée en fait le signal le plus net de ce cycle pour les postes concernés. Le scénario technique précis des attaques n’a pas été rendu public ; il serait donc abusif de déduire qu’un type particulier de pièce jointe ou de téléchargement est en cause.

Deux autres vulnérabilités étaient connues publiquement avant la publication des correctifs, ce qui appelle une vigilance différente. CVE-2026-108398 touche une mesure de protection de .NET Framework associée à Windows Defender Application Control : dans les conditions décrites, un attaquant déjà authentifié peut charger un assemblage .NET conçu pour contourner une restriction d’exécution. CVE-2026-92707 concerne un déni de service dans MessagePack-CSharp. Leur divulgation rend les informations techniques accessibles, sans établir qu’elles sont déjà exploitées dans des attaques.

La qualification « critique » renseigne sur la gravité potentielle d’une vulnérabilité, mais pas sur la présence de son composant dans un parc donné. Un service accessible sur un réseau peu fiable, une application recevant du contenu externe et une fonction désactivée n’offrent pas la même voie d’attaque. La priorité du mois part donc de la faille déjà exploitée, puis de l’exposition effective, des conditions d’exploitation et du produit touché ; le nombre de CVE corrigées dans une famille ne suffit pas à ordonner les machines.

Ce que les cohortes changent dans le tri des CVE

Les rôles de client, de passerelle et de serveur RDP présentent des chemins d’exposition différents.

Une cohorte regroupe des vulnérabilités parce qu’elles imposent une question commune à l’équipe de sécurité, même si leurs causes, leurs scores ou leurs correctifs diffèrent. Les ensembles proposés couvrent notamment les systèmes de fichiers et sauvegardes Windows, le traitement de contenu graphique, les clients Office, les frontières de privilèges du noyau et les accès distants. Répondre à la question d’exposition pour une famille évite de reprendre intégralement le même inventaire à chaque fiche CVE, sans effacer les exceptions propres à une faille.

Dans l’accès distant, la distinction décisive est le rôle de la machine. Un client RDP se connecte à un hôte ; une passerelle RD Gateway reçoit des connexions ; un hôte de session met une session à disposition. L’accès depuis Internet, l’usage d’un VPN, les identités autorisées et la possibilité pour un client de joindre un hôte non fiable modifient chacun la surface exposée. Une vulnérabilité côté serveur et une vulnérabilité côté client peuvent ainsi appartenir au même groupe tout en commandant des calendriers différents.

Ces regroupements restent expérimentaux. Ils ne figurent pas encore comme relations entre CVE dans le Security Update Guide et ne constituent ni une nouvelle classification officielle, ni une règle de déploiement imposée par Microsoft. Leur tableau couvre une partie des vulnérabilités du cycle, pas l’ensemble du décompte publié le mardi. L’intérêt tient à la question commune, tandis que l’exploitation active, le besoin d’authentification ou d’intervention de l’utilisateur et les consignes propres au produit peuvent faire passer une CVE devant le reste de sa cohorte.

Postes, serveurs et .NET : trois expositions à distinguer

Les correctifs destinés aux postes Windows, aux serveurs et à .NET Framework sont évalués selon le système concerné.

La matrice utile pour ce Patch Tuesday croise le rôle de l’actif avec la façon dont un attaquant pourrait atteindre le composant vulnérable. Elle sépare les postes qui traitent des contenus reçus, les serveurs qui exposent un service et les applications dépendant d’une version précise de .NET Framework. Cette lecture ne produit pas un score universel : elle indique quelles questions communes peuvent être résolues pour un groupe de machines et où une fiche de vulnérabilité doit reprendre le dessus.

Postes Windows. La correction de Windows Shell associée à CVE-2026-96951 est prioritaire sur les machines concernées parce que l’exploitation est déjà constatée. Les clients Office et les composants qui ouvrent des documents, courriels ou médias demandent ensuite une attention liée aux applications réellement installées et aux contenus qui leur parviennent. Un poste sur lequel le produit affecté est absent ne gagne pas en urgence parce que sa cohorte réunit beaucoup de CVE.
Serveurs et accès distant. La présence d’un rôle et son accessibilité priment sur l’étiquette générale « serveur ». Une passerelle RD Gateway joignable depuis l’extérieur, un hôte de session réservé au réseau interne et un service de partage désactivé présentent des conditions d’attaque différentes. Pour chacun, la version affectée, les privilèges nécessaires et la portée du correctif doivent être rapprochés de la CVE applicable ; la cohorte ne signifie pas qu’une seule mise à jour protège tous ses membres.
Applications .NET. Pour Windows 10 version 21H2, la fiche Microsoft KB5128924 du 13 octobre 2026 couvre .NET Framework 3.5, 4.8 et 4.8.1 et liste plusieurs corrections d’exécution de code à distance, notamment CVE-2026-70007 et CVE-2026-70174. Elle inclut aussi CVE-2026-108398, la faille de contournement divulguée publiquement. Le numéro KB et les versions mentionnées correspondent à un périmètre précis : une autre version de Windows exige de retrouver sa mise à jour applicable, même si le nom .NET Framework est identique.

Le calendrier de déploiement peut ainsi placer en tête les postes exposés à la faille Windows Shell déjà exploitée, puis les rôles serveur réellement accessibles et les produits .NET concernés par leurs propres bulletins. La proposition de cohortes reste ouverte aux retours des clients ; sa conséquence immédiate est plus modeste et plus concrète : l’inventaire d’une exposition commune peut être partagé, mais la décision finale appartient toujours à la CVE et au système où elle s’applique.