Ces correctifs concernent un large éventail de produits Microsoft. Outre Windows et Office, cela concerne notamment Exchange Server, SQL Server, Hyper-V, Microsoft Defender, le .NET Framework, Visual Studio et divers services cloud. Deux vulnérabilités étaient déjà connues du public avant que Microsoft ne publie les correctifs. Le prochain « Patch Tuesday » est prévu pour le 10 novembre 2026.
Une faille de sécurité Windows est déjà exploitée activement
Plus d’un millier des vulnérabilités corrigées concernent différentes versions de Windows, notamment Windows 10, Windows 11 et Windows Server. Microsoft a classé 42 failles de Windows comme critiques. Parmi celles-ci, 30 permettent l’exécution de code à distance, dans certains cas sans que la victime ait besoin d’ouvrir au préalable un fichier ou d’effectuer une autre action.
Une attention particulière est accordée à la vulnérabilité CVE-2026-96951, une faille dans le Shell Windows qui fait déjà l’objet d’exploits actifs. Les pirates peuvent masquer l’origine d’un fichier exécutable provenant d’Internet et contourner ainsi les mesures de sécurité destinées à alerter les utilisateurs en cas de téléchargements potentiellement dangereux. Cette protection est connue sous le nom de « Mark of the Web ».
SharePoint bénéficie également d’importants correctifs de sécurité. L’une des failles, CVE-2026-102866, permet aux attaquants d’élever leurs privilèges et a été classée comme critique par Microsoft. D’après les informations disponibles, il s’agit de la seule vulnérabilité SharePoint de ce mois-ci pouvant être exploitée sans connexion utilisateur. Pour ce faire, l’attaquant doit toutefois disposer d’un jeton utilisateur valide et le modifier afin de se faire passer pour cet utilisateur sur le serveur.
Office et d’autres produits Microsoft bénéficient également de correctifs
Microsoft a également corrigé 194 vulnérabilités dans différents produits Office. Parmi celles-ci, 25 sont des failles critiques permettant à des pirates d’exécuter du code à distance. Dans ce type de situation, la fenêtre d’aperçu d’Office peut constituer un vecteur d’attaque : dans certains cas, il n’est même pas nécessaire qu’un utilisateur ouvre un fichier infecté pour être exposé à un risque. Le simple fait de consulter un aperçu peut alors suffire.
Sept vulnérabilités ont été corrigées pour Exchange Server. Six d’entre elles sont classées dans la catégorie « risque élevé », dont cinq failles permettant aux attaquants d’élever leurs privilèges d’accès. La septième vulnérabilité, CVE-2026-70571, est une vulnérabilité critique permettant l’exécution de code à distance.
Microsoft Edge bénéficie également d’améliorations en matière de sécurité. La mise à jour vers la version 155.0.4283.45, publiée le 8 octobre, contient des correctifs pour 247 vulnérabilités issues de Chromium. Celles-ci ne sont pas incluses dans le total de 1 416 failles que Microsoft a corrigées avec la mise à jour d’octobre.
Les utilisateurs qui utilisent encore Windows 11 24H2 doivent par ailleurs tenir compte de la fin du support de cette version. Selon Microsoft, Windows 11 24H2 Home et Pro ne recevront plus de mises à jour de sécurité régulières à partir du mois d’octobre. Il est donc recommandé de passer à Windows 11 25H2 ou 26H2. Les utilisateurs de Windows 10 peuvent, sous certaines conditions, continuer à recevoir des mises à jour de sécurité via le programme « Extended Security Updates », qui court jusqu’au 12 octobre 2027.
L’ampleur de la mise à jour d’octobre souligne à quel point il est important de ne pas reporter les mises à jour de sécurité. D’autant plus qu’une faille de Windows fait déjà l’objet d’attaques, il est recommandé de vérifier via Windows Update si les derniers correctifs ont bien été installés.
