Patch Tuesday d’octobre :
plus de 1 400 correctifs, une faille déjà exploitée
Chaque deuxième mardi du mois, Microsoft publie ses correctifs de sécurité. D’habitude, l’événement passe inaperçu hors des services informatiques. Celui d’octobre 2026 a fait les titres par son ampleur : jamais Microsoft n’avait corrigé autant de failles en une seule fois, au point que la publication a pris plusieurs heures de retard. Pour une TPE ou une PME, le chiffre impressionne mais ne change pas grand-chose à la marche à suivre. Ce qui compte, c’est la faille déjà utilisée par des attaquants, et la vérification que les mises à jour sont réellement installées.
Que mesure le chiffre de 1 400 ?
Le nombre de failles corrigées ce mois-ci par Microsoft, tous produits confondus. Pas le nombre de trous dans un ordinateur.
Chaque faille corrigée porte un identifiant CVE, une référence internationale. En octobre 2026, les décomptes varient de quelques unités selon les médias spécialisés : 1 411 pour BleepingComputer, 1 413 pour SecurityWeek, qui cite Microsoft, 1 407 pour CSO Online. Les écarts tiennent à ce que l’on inclut ou non ; BleepingComputer précise par exemple avoir exclu 348 failles corrigées plus tôt dans le mois. L’ordre de grandeur, lui, ne fait pas débat : c’est un record, qui dépasse largement celui de 2020, 1 261 failles selon CSO Online.
Ces correctifs concernent toute la gamme Microsoft. D’après SecurityWeek, 1 102 portent sur Windows, 134 sur Office, 61 sur les outils de développement et 36 sur SharePoint Server, auxquels s’ajoutent Exchange, Azure, Defender et d’autres produits.
Un poste de travail qui n’utilise ni SharePoint ni les outils de développement n’est concerné que par les failles de sa version de Windows et des logiciels installés. Le chiffre de 1 400 décrit le travail de Microsoft, pas l’exposition d’un ordinateur donné.
Quelle faille traiter en premier ?
CVE-2026-96951, la seule déjà utilisée par des attaquants.
Il s’agit d’une faille de Windows Shell, le composant qui gère l’affichage et l’ouverture des fichiers. Elle permet de contourner le « Mark of the Web », la marque que Windows appose sur les fichiers téléchargés depuis internet ou reçus en pièce jointe, pour les traiter avec davantage de précautions et limiter leur exécution automatique. Contourner cette marque, c’est priver l’utilisateur d’un avertissement de sécurité au moment où il en a le plus besoin.
Selon SecurityWeek, la faille reçoit une note de gravité de 8,8 sur 10. Microsoft précise qu’un attaquant doit convaincre l’utilisateur d’agir, par exemple en ouvrant un fichier. Autrement dit, elle s’exploite typiquement par un courriel piégé ou un téléchargement. L’agence américaine de cybersécurité CISA l’a ajoutée à son catalogue des failles exploitées et demande aux administrations fédérales de la corriger avant le 16 octobre.
C’est la troisième faille de Windows Shell exploitée cette année, relève Satnam Narang, chercheur de Tenable, cité par CSO Online. Il compte 26 failles de ce composant corrigées en 2026 jusqu’en octobre, contre trois en 2025. Un volume inhabituel, sur un composant que tout le monde utilise pour ouvrir ses fichiers.
Quelles autres failles surveiller ?
Deux failles rendues publiques avant le correctif, et les 70 failles critiques.
Outre la faille exploitée, deux autres étaient connues publiquement avant la publication des correctifs, sans exploitation confirmée. CVE-2026-108398, découverte par un chercheur de Google Project Zero, permet de contourner Windows Defender Application Control, l’outil qui limite les applications autorisées sur un poste. Microsoft juge son exploitation peu probable ; elle suppose qu’un attaquant ait déjà accès à la machine. La troisième, CVE-2026-92707, est une faille de déni de service de gravité modérée dans une bibliothèque de développement.
BleepingComputer recense par ailleurs 70 failles critiques, dont 57 permettent d’exécuter du code à distance. Ce sont elles qui viennent juste après la faille exploitée dans l’ordre de priorité, notamment sur les serveurs exposés.
Pour aider les administrateurs à trier ce volume, Microsoft introduit ce mois-ci des « cohortes de risque », des groupes de failles qui appellent une évaluation similaire. L’éditeur précise lui-même qu’il s’agit d’un point de départ, pas d’une décision toute faite.
Pourquoi un tel record ?
Parce que l’on trouve plus de failles, en partie grâce à l’IA. Pas parce que Windows serait devenu inutilisable.
Selon SecurityWeek, Microsoft a corrigé en ce seul mois d’octobre plus de failles que pendant toute l’année 2025, et le total de 2026 dépasse déjà 4 000. Le média attribue largement cette hausse à l’intelligence artificielle, qui accélère la recherche de vulnérabilités. La faille exploitée ce mois-ci a d’ailleurs été signalée notamment par des chercheurs de Fujitsu et d’Anthropic.
Un record de correctifs n’est pas un record d’attaques en cours. C’est un record de failles découvertes et fermées. L’immense majorité n’est pas exploitée ; une l’est. S’alarmer du chiffre de 1 400 sans installer le correctif de cette faille-là serait se tromper d’ordre.
Le volume pose en revanche une vraie question pratique aux services informatiques : plus de correctifs signifie plus de tests, plus de redémarrages et plus de risques de conflit avec des logiciels métier. Raison de plus pour disposer d’un circuit de mise à jour clair, plutôt que de compter sur chaque utilisateur.
Quelles versions de Windows arrivent en fin de support ?
Plusieurs éditions reçoivent ce mois-ci leur toute dernière mise à jour de sécurité.
BleepingComputer rappelle que les correctifs d’octobre 2026 sont les derniers pour Windows 11 version 24H2 en éditions Famille et Pro, ainsi que pour Windows 10 Entreprise LTSB 2016. À partir de novembre, ces systèmes ne recevront plus aucune correction de sécurité.
Un poste dans ce cas n’est pas « encore bon pour quelques mois ». Chaque faille découverte après octobre y restera ouverte. Pour Windows 11 24H2, la solution consiste généralement à installer une version plus récente de Windows 11, ce qui se fait depuis Windows Update si le matériel est compatible. Pour les éditions plus anciennes, il faut planifier une migration ou un remplacement.
La vérification prend une minute : dans les paramètres de Windows, rubrique Système puis Informations système, la version et l’édition installées sont indiquées.
Que faire sur les postes de l’entreprise ?
Installer les mises à jour, en commençant par les postes qui reçoivent des fichiers d’internet.
Les postes exposés d’abord. Accueil, comptabilité, direction, commerciaux : tous ceux qui ouvrent des pièces jointes et des fichiers téléchargés sont les premiers concernés par la faille exploitée.
Vérifier, pas supposer. Un déploiement « prévu » n’est pas un déploiement fait. Un correctif téléchargé mais en attente de redémarrage ne protège pas encore.
Les serveurs. Les failles critiques touchent aussi Windows Server et des produits comme Exchange ou SharePoint. Un serveur exposé à internet ne se laisse pas pour la semaine suivante.
Les versions en fin de support. On repère les postes concernés et on planifie leur mise à niveau.
Le prestataire. Une proposition du type « nous gérons vos 1 400 failles » reprend un titre. La bonne question est plus précise : les correctifs du 13 octobre sont-ils déployés sur tous les postes, et la faille CVE-2026-96951 est-elle couverte ?
Sans informaticien, que faire aujourd’hui ?
Une recherche de mises à jour, un redémarrage, une vérification.
Sur chaque ordinateur, on ouvre Paramètres, puis Windows Update, et l’on clique sur « Rechercher des mises à jour ». Si des mises à jour d’octobre apparaissent, on les installe, puis on redémarre. On relance ensuite la recherche pour s’assurer qu’il n’en reste aucune en attente.
On commence par les postes qui reçoivent le plus de courriels et de fichiers extérieurs. On en profite pour vérifier la version de Windows et repérer ceux qui arrivent en fin de support.
Enfin, on se méfie des messages opportunistes. Un courriel qui propose d’« installer le correctif des 1 400 failles » via un lien est un piège classique les jours de forte actualité. Les correctifs de Microsoft arrivent par Windows Update ou par l’outil de gestion déjà en place, jamais par un lien reçu par courriel.
Questions fréquentes
Mon ordinateur a-t-il 1 400 failles ?
Non. C’est le total du mois pour tous les produits Microsoft. Un poste n’est concerné que par les failles de sa version de Windows et des logiciels installés.
Quelle faille corriger en priorité ?
CVE-2026-96951, une faille de Windows Shell qui contourne la protection des fichiers venus d’internet et qui est déjà exploitée. Viennent ensuite les 70 failles critiques.
Faut-il redémarrer après la mise à jour ?
Oui, dans la plupart des cas. Un correctif téléchargé mais en attente de redémarrage ne protège pas encore le poste.
Quelles versions de Windows ne seront plus mises à jour ?
Selon BleepingComputer, octobre 2026 est le dernier mois de correctifs pour Windows 11 24H2 Famille et Pro et pour Windows 10 Entreprise LTSB 2016.
Le total de 4 000 failles en 2026 est-il officiel ?
C’est un décompte publié par SecurityWeek, pas un bilan communiqué par Microsoft. Il illustre la forte hausse des découvertes cette année.
Un courriel propose d’installer le correctif : faut-il cliquer ?
Non. Les correctifs de Microsoft s’installent via Windows Update ou l’outil de gestion du parc, jamais par un lien reçu dans un courriel.
- BleepingComputer — Le Patch Tuesday d’octobre 2026 corrige 1 411 failles et 3 zero-days, 13 octobre 2026.
- SecurityWeek — Microsoft corrige un record de 1 413 failles, dont un zero-day Windows exploité, 14 octobre 2026.
- CSO Online — Le Patch Tuesday d’octobre : plus de 1 400 failles Microsoft, dont trois zero-days, 13 octobre 2026.
WY-Créations accompagne depuis 2018 les artisans, les TPE, les PME et les professions libérales dans leur référencement sur Google, leur présence dans les réponses des IA et leur e-réputation.
Un poste à jour vaut mieux qu’un titre alarmant.
Mises à jour, accès, sécurité des outils, e-réputation : WY-Créations aide les dirigeants à savoir où en est leur parc, et quoi faire en priorité.