Pas le temps d'attendre
Pour le cinquième mois consécutif, Microsoft bat son record de failles de sécurité corrigées dans ses produits. Le Patch Tuesday d’octobre vient ainsi colmater le nombre impressionnant de 1 411 vulnérabilités. Parmi elles, trois sont de type 0-day, dont une déjà exploitée.
Ce 13 octobre, Microsoft a publié des correctifs pour un nombre record de 1 411 failles, dont une activement exploitée et deux 0-day, c’est-à-dire dont les détails étaient déjà connus au moment de la publication de leur correctif. Parmi le lot global, 70 sont critiques : 57 exécutions de code à distance, 11 élévations de privilèges et 2 usurpations.
Ce chiffre de 1 411 failles est donné par Bleeping Computer. Il est d’autant plus impressionnant que nos confrères n’ont compté que les vulnérabilités effectivement corrigées par les mises à jour publiées mardi soir. Ils n’ont pas intégré les 348 failles corrigées plus tôt dans le mois, notamment dans Azure API Center, Azure App Service, Azure Event Grid, Azure SRE Agent, Mariner, Microsoft Bookings, Dataverse, Exchange Server et Partner Center.
Trois failles dangereuses, dont une déjà exploitée
Dans le lot, trois failles ressortent particulièrement. La plus importante est CVE-2026-96951 car elle est activement exploitée. Critique (score CVSS de 8,8 sur 10), elle peut être exploitée par injection de commande dans le Shell Windows, permettant alors de contourner la fonction de sécurité « Mark of the Web », qui marque la provenance internet apposée aux fichiers téléchargés. On ne sait pas qui a découvert la faille.
Vient ensuite CVE-2026-108398, une vulnérabilité de contournement des fonctionnalités de sécurité du .NET Framework. « Un chemin de recherche non fiable dans .NET Framework permet à un attaquant autorisé de contourner localement une fonctionnalité de sécurité », explique Microsoft. Plus précisément, l’exploitation permet le contournement du contrôle des applications de Windows Defender (WDAC) et donc de lancer des applications non autorisées, sans interaction utilisateur. La faille est critique, avec là aussi un score CVSS de 8,8, et a été découverte par James Forshaw du Project Zero de Google.
Enfin, CVE-2026-92707 est de niveau plus modéré, avec un score de 5,3. « Une allocation mémoire séquentielle mal contrôlée dans .NET permet à un attaquant non autorisé de refuser un service sur un réseau », indique Microsoft. L’éditeur ne précise pas en revanche qui l’a découverte.
Le nombre de failles critiques, la vulnérabilité déjà exploitée et les deux autres failles 0-day rendent l’installation des correctifs urgente. Il est chaudement recommandé de les appliquer aussi rapidement que possible, le processus réclamant un redémarrage de la machine.
L’IA tourne à plein régime
Comme les mois précédents, le déluge de correctifs est une conséquence directe de deux machineries lourdes mises en place par Microsoft plus tôt dans l’année. D’abord MDASH (Microsoft Security multi-model agentic scanning harness), son harnais multi-agents de détection et de remédiation de vulnérabilités, présenté en mai. Puis en juillet, ce fut au tour du projet Perception, se servant de MDASH, du modèle MAI-Cyber-1-Flash et d’autres modèles, Microsoft affirmant depuis être le maître dans la détection de failles.
L’éditeur revendique ainsi depuis plusieurs mois l’utilisation très intensive de l’IA pour détecter et corriger les failles, provoquant une explosion des correctifs chaque mois. Septembre avait déjà marqué les esprits, Microsoft frôlant le millier de correctifs, mais ce record est battu à plate couture en octobre, avec un écart d’environ 450 failles supplémentaires.
Ce mouvement n’est pas spécifique à Microsoft. On le retrouve également chez Apple et dans un nombre croissant de projets libres, à commencer par le noyau Linux lui-même. La gestation du noyau 7.3 est ainsi marquée par des Release Candidates plus volumineuses qu’habituellement, chacune corrigeant une longue liste de problèmes. Linus Torvalds himself se sert couramment de l’IA (Claude en l’occurrence) pour des correctifs et autres améliorations.
