Microsoft corrige 1 411 failles, dont une exploitée

Le 13 octobre 2026, Microsoft a publié des correctifs pour 1 411 vulnérabilités. Le volume mensuel établit un record pour le cinquième mois consécutif. Trois failles sont des zero-day et l’une d’elles fait déjà l’objet d’une exploitation active. Soixante-dix vulnérabilités sont critiques. Cinquante-sept permettent une exécution de code à distance. Onze entraînent une élévation de privilèges. Deux concernent une usurpation.

Le décompte de Bleeping Computer porte uniquement sur les failles corrigées par les mises à jour diffusées mardi soir. Il exclut 348 vulnérabilités corrigées plus tôt en octobre. Ces correctifs concernaient notamment Azure API Center, Azure App Service, Azure Event Grid, Azure SRE Agent, Mariner, Microsoft Bookings, Dataverse, Exchange Server et Partner Center.

CVE-2026-96951 est la faille la plus urgente. Son score CVSS atteint 8,8. Une injection de commandes dans Windows Shell permet de contourner Mark of the Web, l’étiquette de sécurité associée aux fichiers téléchargés depuis Internet. Microsoft n’a pas indiqué qui l’avait découverte.

CVE-2026-108398 concerne des fonctions de sécurité du .NET Framework. Un attaquant autorisé peut exploiter un chemin de recherche non fiable pour contourner Windows Defender Application Control, ou WDAC, puis lancer des applications non autorisées sans interaction de l’utilisateur. La faille affiche elle aussi un score CVSS de 8,8. James Forshaw, membre de Google Project Zero, en est le découvreur.

CVE-2026-92707 est classée avec un score CVSS de 5,3. Une allocation séquentielle de mémoire mal contrôlée dans .NET permet à un attaquant non autorisé de provoquer un déni de service sur un réseau. Microsoft n’a pas précisé l’identité du découvreur. La présence de failles critiques et d’une vulnérabilité exploitée rend l’installation rapide des correctifs nécessaire. Un redémarrage est requis.

Microsoft relie en partie cette hausse à ses outils de sécurité fondés sur l’IA. L’éditeur a présenté MDASH, pour Microsoft Security multi-model agentic scanning harness, en mai. En juillet, le projet Perception a commencé à utiliser MDASH, le modèle MAI-Cyber-1-Flash et d’autres modèles. Microsoft affirme depuis disposer de capacités de premier plan pour détecter les vulnérabilités.

La livraison de septembre approchait déjà le millier de correctifs. Celle d’octobre en ajoute environ 450. Le mouvement touche aussi Apple et plusieurs projets open source. Les Release Candidates de Linux kernel 7.3 sont plus volumineuses que d’habitude et corrigent de nombreux problèmes. Linus Torvalds utilise régulièrement Claude pour des correctifs et d’autres améliorations.