1 407, 1 413, 1 415 ou 1 417 failles : même le record de Microsoft peine à se compter

Microsoft a publié mardi 13 octobre 2026 un lot de correctifs sans précédent : plus de 1 400 vulnérabilités corrigées dans Windows et ses autres logiciels. Le total exact varie selon les sources : 1 407 pour CSO, 1 413 selon un expert cité par ce même média, 1 415 pour Cisco Talos et 1 417 pour le SANS Internet Storm Center. Dans tous les cas, le précédent record de 2020, avec 1 261 CVE, est battu.

Un volume qui s'emballe

Selon Krebs on Security, ce lot écrase celui de septembre, qui comptait près de 1 000 correctifs et valait déjà environ dix fois la charge mensuelle habituelle. Satnam Narang, de Tenable, relève que le cap des 4 000 CVE est franchi sur l'année, « avec deux mois encore à venir » (traduction).

Le nombre de failles critiques diffère aussi selon les sources : au moins 78 pour Krebs, 76 pour le SANS, 85 pour Talos, dont 67 permettent l'exécution de code à distance. Selon CSO, la publication a pris plusieurs heures de retard sur l'horaire habituel, au grand dam des administrateurs.

Krebs indique que Microsoft attribue ce volume aux grands modèles de langage utilisés pour la découverte de bugs. Dustin Childs, de la Zero Day Initiative, nuance : « L'IA accélère la chasse aux bugs des deux côtés », mais elle ne crée pas les failles, elle « raccourcit le délai entre l'existence d'une vulnérabilité et sa découverte » (traduction, CSO). Il compte par ailleurs 55 failles « wormables », susceptibles de se propager seules, surtout dans DHCP Server, Remote Desktop Gateway et Network Policy Server.

Une faille exploitée, deux autres notables

Une seule vulnérabilité est exploitée activement : CVE-2026-96951, un contournement de la protection « Mark of the Web » dans Windows Shell. D'après le SANS, il facilite l'exécution de code via un fichier envoyé par e-mail ou messagerie, la victime devant tout de même l'ouvrir. Talos lui attribue un score CVSS de 8,8. Selon Narang, c'est la troisième faille Windows Shell exploitée cette année, sur 26 corrigées en 2026, contre trois en 2025.

Le décompte des « zero days » diverge : CSO en retient trois, Krebs et le SANS un seul exploité plus une divulguée publiquement. Celle-ci, CVE-2026-108398, touche .NET et permet de contourner le contrôle des applications ; Microsoft n'a pas détecté d'exploitation. CSO ajoute une faille SharePoint (CVE-2026-102866) qui permet de détourner des comptes sans authentification.

Des produits tiers sont aussi concernés : GitLab auto-hébergé, IBM i (CVSS 9,9), des produits Atlassian auto-hébergés avec des tentatives d'exploitation signalées dès le 6 octobre, SAP et Adobe, avec 141 CVE.

Trier plutôt que compter

Pour les équipes de sécurité, qui testent souvent chaque mise à jour avant de la déployer, la charge pèse. Tyler Reguly, de Fortra, juge le chiffre sans intérêt : « J'ai soutenu que les nombres de vulnérabilités ne veulent rien dire. Celui de ce mois-ci, 1 413, ne fait pas exception » (traduction, CSO). Le chiffre utile, dit-il, est 26 : le nombre de CVE Microsoft 2026 présentes dans le catalogue KEV de la CISA américaine, contre 30 l'an dernier et 32 l'année précédente, soit moins de 1 % des failles corrigées.

Childs recommande de corriger ce qui est « prouvé, priorisé et public ». Le SANS suggère de traiter vite les mises à jour Office, nombreuses ce mois-ci, et Nightwing insiste sur quatre correctifs Exchange Server sur site (CVSS 8,8).

Côté Windows 10, Krebs rappelle que Microsoft a prolongé discrètement les mises à jour de sécurité jusqu'en octobre 2027.