Ce mois-ci, Microsoft pulvérise son record en matière de correctifs de sécurité pour un Patch Tuesday. Le groupe s’occupe de combler un total de plus de 1 400 failles. Sur un seul mois, Tenable note que c’est davantage que le total de toute l’année 2020 à plus de 1 200 vulnérabilités comblées.
L’avalanche de correctifs concerne un large éventail de produits, avec plus de 1 100 failles pour Windows, plus d’une centaine pour Office et des dizaines d’autres pour des outils de développement. Le niveau de dangerosité critique concerne plus de 70 failles.
Une vulnérabilité zero-day activement exploitée
Parmi cette marée de correctifs, une vulnérabilité CVE-2026-96951 est zero-day et activement exploitée dans Windows Shell.
Elle permet à un attaquant de contourner la fonctionnalité de sécurité MoTW (Mark of the Web) via un fichier malveillant, par exemple une pièce jointe dans un e-mail. MotW est un drapeau de sécurité que Windows applique automatiquement à tout contenu provenant de la zone de sécurité Internet.
Tenable souligne que CVE-2026-96951 est la troisième faille affectant Windows Shell à avoir été exploitée dans des attaques réelles cette année, alors qu’un total de 26 vulnérabilités affectant Windows Shell ont été corrigées depuis le début de l’année.
Sans exploitation dans la nature signalée, deux autres vulnérabilités pour ce mois d’octobre, CVE-2026-108398 (.NET Framework) et CVE-2026-92707 (MessagePack-CSharp), ont fait l’objet d’une divulgation publique.
Sous l’influence de l’IA
L’augmentation spectaculaire du nombre de vulnérabilités découvertes est en partie attribuée à l’IA, sachant qu’elle accélère la recherche de bugs de sécurité des deux côtés de la barrière. Pour la défense et pour l’attaque.
Microsoft s’est déjà félicité de l’efficacité de l’IA pour identifier les failles plus rapidement, même si cela met mécaniquement sous pression les entreprises qui doivent mener des tests rigoureux pour éviter de mauvaises surprises dans leurs environnements de production.
Pour les équipes de sécurité, le défi n’est sans doute plus seulement de suivre le volume des correctifs, mais de se concentrer sur le risque réel d’exploitation.