Microsoft vient de publier son Patch Tuesday d’octobre 2026, et il est historique : plus de 1 400 vulnérabilités corrigées en une seule fois, soit davantage que sur toute l’année 2025. Parmi elles, une faille de Windows est déjà exploitée par des attaquants. Si vous utilisez Windows 11, la mise à jour est à faire sans attendre.
Dernière mise à jour : 14 octobre 2026.
Ce qu’il faut retenir
- Microsoft corrige 1 413 vulnérabilités ce mois-ci, un record absolu.
- Windows concentre l’essentiel des correctifs : 1 102 failles.
- Office (134), les outils de développement (61) et SharePoint Server (36) sont aussi concernés.
- Une faille Windows, CVE-2026-96951, est déjà exploitée.
- Elle permet de contourner les alertes de sécurité sur les fichiers téléchargés.
- L’explosion du nombre de failles s’explique en grande partie par l’usage de l’IA pour détecter les bugs.
Un Patch Tuesday jamais vu
Chaque deuxième mardi du mois, Microsoft publie ses correctifs de sécurité. Celui d’octobre bat tous les records.
Selon SecurityWeek, 1 413 vulnérabilités sont corrigées, dont 1 102 dans Windows. C’est plus que l’ensemble des failles corrigées par Microsoft sur toute l’année 2025.
Depuis le début de 2026, le cap des 4 000 failles corrigées est déjà franchi.
Les décomptes varient selon les sources, certains sites spécialisés dépassant même les 1 500 vulnérabilités en incluant d’autres produits. Le message reste le même : c’est une mise à jour massive.
Une faille déjà exploitée dans Windows
La faille la plus urgente porte la référence CVE-2026-96951. Elle touche le shell de Windows et obtient un score de gravité de 8,8 sur 10.
Il s’agit d’un contournement d’une protection appelée Mark of the Web. Normalement, Windows marque les fichiers téléchargés depuis Internet. Ce marquage déclenche les avertissements de Defender SmartScreen et ouvre les documents Office en mode protégé.
Avec cette faille, un fichier piégé peut échapper à ces alertes.
L’attaque passe par un fichier envoyé par e-mail ou par messagerie. Elle nécessite une action de l’utilisateur, comme ouvrir le fichier.
L’agence américaine de cybersécurité CISA l’a ajoutée à sa liste des failles activement exploitées et impose aux administrations américaines de la corriger avant le 16 octobre.
Fait notable : la faille a notamment été signalée par Fujitsu et par Anthropic, l’entreprise derrière l’IA Claude.
Deux autres failles déjà connues publiquement
Microsoft corrige aussi deux vulnérabilités rendues publiques avant la sortie du correctif :
- CVE-2026-108398 : un contournement de Windows Defender Application Control, l’outil qui limite les applications autorisées en entreprise. Microsoft juge une exploitation peu probable.
- CVE-2026-92707 : un déni de service dans un composant utilisé par Visual Studio et .NET.
Pourquoi autant de failles ?
La raison principale : l’intelligence artificielle.
Microsoft et d’autres éditeurs utilisent désormais des IA pour analyser leur propre code et y trouver des failles. Ces outils détectent bien plus de bugs qu’auparavant, ce qui fait grimper le nombre de correctifs.
Pour aider les entreprises à s’y retrouver, Microsoft introduit des « cohortes de risque », qui regroupent les failles demandant une évaluation similaire.
Comment mettre à jour votre PC
Pour un particulier, la procédure est simple :
- Ouvrez les Paramètres de Windows.
- Allez dans Windows Update.
- Cliquez sur Rechercher des mises à jour.
- Installez les mises à jour proposées, puis redémarrez le PC.
En attendant d’avoir installé le correctif, méfiez-vous des pièces jointes et des fichiers reçus de personnes inconnues.
Attention aussi à la version de Windows 11 que vous utilisez : certaines ne reçoivent plus de correctifs. Nous faisons le point dans notre article sur la fin du support de Windows 11 24H2.
Notre avis
Un Patch Tuesday de cette taille peut impressionner, mais il reflète surtout un changement d’époque : l’IA trouve désormais les failles plus vite que jamais.
La bonne pratique ne change pas : mettez à jour dès que possible, surtout avec une faille déjà exploitée dans la nature.
