Patch Tuesday : Microsoft bat un nouveau record avec 1 411 failles corrigées Pas le temps d'attendre Illustration : Flock Vincent Hermann Le 14 octobre à 09h12 Pour le cinquième mois consécutif, Microsoft bat son record de failles de sécurité corrigées dans ses produits. Le Patch Tuesday d’octobre vient ainsi colmater le nombre impressionnant de 1 411 vulnérabilités. Parmi elles, trois sont de type 0-day, dont une déjà exploitée.

Une erreur ? Ce 13 octobre, Microsoft a publié des correctifs pour un nombre record de 1 411 failles, dont une activement exploitée et deux 0-day, c’est-à-dire dont les détails étaient déjà connus au moment de la publication de leur correctif. Parmi le lot global, 70 sont critiques : 57 exécutions de code à distance, 11 élévations de privilèges et 2 usurpations.

Ce chiffre de 1 411 failles est donné par Bleeping Computer. Il est d’autant plus impressionnant que nos confrères n’ont compté que les vulnérabilités effectivement corrigées par les mises à jour publiées mardi soir. Ils n’ont pas intégré les 348 failles corrigées plus tôt dans le mois, notamment dans Azure API Center, Azure App Service, Azure Event Grid, Azure SRE Agent, Mariner, Microsoft Bookings, Dataverse, Exchange Server et Partner Center.

Trois failles dangereuses, dont une déjà exploitée Dans le lot, trois failles ressortent particulièrement. La plus importante est CVE-2026-96951 car elle est activement exploitée. Critique (score CVSS de 8,8 sur 10), elle peut être exploitée par injection de commande dans le Shell Windows, permettant alors de contourner la fonction de sécurité « Mark of the Web », qui marque la provenance internet apposée aux fichiers téléchargés.

On ne sait pas qui a découvert la faille. Vient ensuite CVE-2026-108398, une vulnérabilité de contournement des fonctionnalités de sécurité du .NET Framework. « Un chemin de recherche non fiable dans .NET Framework permet à un attaquant autorisé de contourner localement une fonctionnalité de sécurité », explique Microsoft.

Plus précisément, l’exploitation permet le contournement du contrôle des applications de Windows Defender (WDAC) et donc de lancer des applications non autorisées, sans interaction utilisateur. La faille est critique, avec là aussi un score CVSS de 8,8, et a été découverte par James Forshaw du Project Zero de Google. Enfin, CVE-2026-92707 est de niveau plus modéré, avec un score de 5,3.

« Une allocation mémoire séquentielle mal contrôlée dans .NET permet à un attaquant non autorisé de refuser un service sur un réseau », indique Microsoft. L’éditeur ne précise pas en revanche qui l’a découverte. Le nombre de failles critiques, la vulnérabilité déjà exploitée et les deux autres failles 0-day rendent l’installation des correctifs urgente.

Il est chaudement recommandé de les appliquer aussi rapidement que possible, le processus réclamant un redémarrage de la machine. L’IA tourne à plein régime Comme les mois précédents, le déluge de correctifs est une conséquence directe de deux machineries lourdes mises en place par Microsoft plus tôt dans l’année. D’abord MDASH (Microsoft Security multi-model agentic scanning harness), son harnais multi-agents de détection et de remédiation de vulnérabilités, présenté en mai.

Puis en juillet, ce fut au tour du projet Perception, se servant de MDASH, du modèle MAI-Cyber-1-Flash et d’autres modèles, Microsoft affirmant depuis être le maître dans la détection de failles. L’éditeur revendique ainsi depuis plusieurs mois l’utilisation très intensive de l’IA pour détecter et corriger les failles, provoquant une explosion des correctifs chaque mois. Septembre avait déjà marqué les esprits, Microsoft frôlant le millier de correctifs, mais ce record est battu à plate couture en octobre, avec un écart d’environ 450 failles supplémentaires.

Ce mouvement n’est pas spécifique à Microsoft. On le retrouve également chez Apple et dans un nombre croissant de projets libres, à commencer par le noyau Linux lui-même. La gestation du noyau 7.3 est ainsi marquée par des Release Candidates plus volumineuses qu’habituellement, chacune corrigeant une longue liste de problèmes.

Linus Torvalds himself se sert couramment de l’IA (Claude en l’occurrence) pour des correctifs et autres améliorations. Cet article est en accès libre, mais il est le produit d'une rédaction qui ne travaille que pour ses lecteurs, sur un média sans pub et sans tracker. Soutenez le journalisme tech de qualité en vous abonnant.

Accédez en illimité aux articles d'un média expert Profitez d'au moins 1 To de stockage pour vos sauvegardes Intégrez la communauté et prenez part aux débats Partagez des articles premium à vos contacts Abonnez-vous nd89 Premium Il y a 56 minutes Message 1 Signaler Bloquer cet utilisateur en espérant que ce ne soit pas aussi catastrophique pour les prods comme en septembre avec le bug rds... Gilbert_Gosseyn Premium Il y a 47 minutes Message 2 Signaler Bloquer cet utilisateur Combien de failles créées ? C'est la question ...

Carpette Il y a 24 minutes Voir les réponses Message 3 Aller au commentaire enfant Signaler Bloquer cet utilisateur Je veux bien que la basecode soit gigantesque mais il se pose quand même la question de la qualité de l'architecture et du code en général, a forciori pour une entreprise qui a largement les moyens de s'offrir les bonnes compétences. fdorin Premium À l'instant En réponse à Message 3.1 Signaler Bloquer cet utilisateur Quand on regarde un peu plus en détail la liste des vulnérabilités corrigées, on se rend compte de plusieurs choses.Tout d'abord, cela ne concerne pas que Windows, mais les produits Microsoft en général (Office, Exchange, etc.).Ensuite, on trouve beaucoup de vulnérabilité sur des composants tiers et open source (Apache, OpenSSH, etc.). Très certainement du au fait que certains sont "inclus" directement dans Windows (comme OpenSSH), et d'autres via le support comme WSL.En bref, ce n'est pas simplement Windows, c'est tout l'écosystème autour de Windows. Avoir autant de vulnérabilités (dont la plupart "ne sont que des DOS"), n'ai vraiment pas choquant à mes yeux.Si on compare, en début d'année, c'était 2000 CVE par version du noyau linux (juste du noyau !!).

Et avant l'IA, c'était dans les 500. dylem29 Premium Il y a 16 minutes Message 4 Signaler Bloquer cet utilisateur COMBIEN ??!! sylvaing Premium Il y a 12 minutes Message 5 Signaler Bloquer cet utilisateur Bizarre... Il me semblait, il n'y a pas longtemps de ça, que Microsoft avait proclamé que Windows avait toutes ses failles corrigées, ou une connerie affirmation du genre... Après, comme dit dans un autre commentaire, il faut voir le nombre de failles nouvellement crées avec ces "correctifs"...

Signaler un commentaire Voulez-vous vraiment signaler ce commentaire ? Non Oui