Microsoft vient de publier son dernier patch Tuesday. Que retenir en quelques points clés ?
Analyse Patch Tuesday Octobre 2026
Satnam Narang, Senior Staff Research Engineer chez Tenable partage son analyse sur la mise à jour du Patch Tuesday de Microsoft de ce mois-ci. Nouveau record avec 1 407 vulnérabilités corrigées, dépassant le nombre total de CVE sur l’ensemble de l’année. Attention portée aussi sur la multiplication des failles exploitées dans Windows Shell.
1 407 CVE corrigées ce mois-ci
Le Patch Tuesday 2026 continue de marquer l’histoire. Non seulement le record du nombre total de correctifs publiés en un mois a été battu à trois reprises cette année, mais ce mois-ci, le précédent record établi le mois dernier (964) a été largement dépassé. Avec 1 407 CVE corrigées ce mois-ci, ce chiffre dépasse même le total enregistré sur l’ensemble de l’année 2020, qui détenait jusqu’alors le record annuel avec 1 261 CVE corrigées par Microsoft. Nous avons désormais franchi le seuil des 4 000 CVE, alors qu’il reste encore deux mois avant la fin de l’année.
Deux vulnérabilités zero-day
Ce mois-ci, deux vulnérabilités zero-day ont été corrigées, dont une qui a été exploitée.
CVE-2026-96951 est une vulnérabilité permettant de contourner une fonctionnalité de sécurité dans Windows Shell. Il s’agit de la troisième faille affectant Windows Shell à avoir été exploitée dans des attaques réelles cette année. Les deux autres sont CVE-2026-21510, associée au groupe de menaces persistantes avancées APT28 (également connu sous le nom de Fancy Bear), et CVE-2026-32202, dont le correctif visait à remédier à une correction incomplète de CVE-2026-21510.
L’exploitation de CVE-2026-32202 n’a pas encore été attribuée à un acteur identifié. Par ailleurs, il n’est pas établi si CVE-2026-96951 vise à corriger une autre correction incomplète ou si son exploitation est liée à APT28.
26 vulnérabilités affectant Windows Shell depuis début 2026
Au total, 26 vulnérabilités affectant Windows Shell ont été corrigées depuis le début de l’année 2026, jusqu’au mois d’octobre inclus, un chiffre particulièrement élevé par rapport aux années précédentes : seules trois CVE affectant Windows Shell avaient été corrigées en 2025, contre une seule en 2024 et en 2022.
Dossiers complémentaires sur le sujet avec les experts du site iTPro.fr
Téléchargez cette ressource
Sécuriser Microsoft 365 avec une approche Zero-Trust
Découvrez comment renforcer la cyber-résilience de Microsoft 365 grâce à une approche Zero-Trust, une administration granulaire et une automatisation avancée. La technologie Virtual Tenant de CoreView permet de sécuriser et simplifier la gestion des environnements complexes, tout en complétant vos stratégies IAM, y compris dans les secteurs réglementés.
Les articles les plus consultés
A travers cette chaîne
A travers ITPro
- Dark Web : où sont vos données dérobées ?
- Intelligence Artificielle : DeepKube sécurise en profondeur les données des entreprises
- 10 grandes tendances Business Intelligence
- ActiveViam fait travailler les data scientists et les décideurs métiers ensemble
- Stockage autonome, Evolutivité & Gestion intelligente, Pure Storage offre de nouvelles perspectives aux entreprises
Les plus consultés sur iTPro.fr
- IA souveraine : l’Europe avance, mais son interconnexion prend du retard
- Cloud public : la sécurité des données s’impose comme premier critère pour les agents publics
- Le champ de bataille des fournisseurs de services n’est plus l’IA, mais la confiance
- Continuer avec Exchange Server : quelles conséquences ?
Articles les + lus
IA et cybersécurité : les entreprises françaises acceptent plus de risques qu’elles ne savent les contrôler
Veeam passe à la vitesse supérieure avec iResOps pour Microsoft 365
Visibilité, réputation, clients : ce que les petites entreprises ne pourront plus déléguer en 2027
Le champ de bataille des fournisseurs de services n’est plus l’IA, mais la confiance
Réforme de la facturation électronique 2026 : de la contrainte réglementaire à un véritable enjeu différenciant
À la une de la chaîne Data
- IA et cybersécurité : les entreprises françaises acceptent plus de risques qu’elles ne savent les contrôler
- Veeam passe à la vitesse supérieure avec iResOps pour Microsoft 365
- Visibilité, réputation, clients : ce que les petites entreprises ne pourront plus déléguer en 2027
- Le champ de bataille des fournisseurs de services n’est plus l’IA, mais la confiance
- Réforme de la facturation électronique 2026 : de la contrainte réglementaire à un véritable enjeu différenciant
