Windows : installez la mise à jour d’octobre, une faille qui désarme l’alerte des fichiers téléchargés est déjà exploitée

Un fichier téléchargé depuis internet porte une marque invisible. C’est elle qui déclenche l’avertissement de Windows avant l’ouverture, et le contrôle SmartScreen. Une faille permet de la faire sauter, et des attaquants s’en servent déjà, confirme Microsoft. Elle fait partie des plus de 1 400 vulnérabilités corrigées par la mise à jour du mardi 13 octobre 2026.

Un fichier piégé qui passe sous le radar

La faille, référencée CVE-2026-96951, est une injection de commande dans le shell de Windows, la couche qui gère les fichiers et le bureau. L’attaque passe par un fichier envoyé par courriel ou messagerie, ou par un lien vers un site piégé. Il faut que la victime ouvre la pièce jointe ou clique : Microsoft précise que l’attaquant ne peut pas l’y forcer, seulement l’y inciter. Une fois la marque contournée, les avertissements qui en dépendent ne se déclenchent plus.

Microsoft ne dit rien des attaques observées. L’agence américaine de cybersécurité CISA a ajouté la faille à sa liste des vulnérabilités exploitées le 13 octobre, et donné aux administrations fédérales jusqu’au 16 octobre pour corriger : trois jours.

Sont concernés Windows 10, Windows 11 de 23H2 à 26H2 et Windows Server depuis 2012 R2, selon IT-Connect. Détail d’époque dans les remerciements de Microsoft : parmi les découvreurs figure un chercheur d’Anthropic qui a utilisé Claude, le modèle maison.

Un record pour le cinquième mois d’affilée

Le volume donne le vertige. IT-Connect compte 1 407 failles corrigées le 13 octobre, BleepingComputer 1 411, selon Next. En ajoutant les 348 failles corrigées plus tôt dans le mois, notamment dans des services Azure, le guide de Microsoft recense 1 760 entrées pour octobre. En septembre, le total était de 973. C’est le cinquième record mensuel consécutif, rappelle Next, qui l’attribue aux systèmes d’IA que Microsoft a mis à chercher les failles de ses propres produits.

Dans la masse, les administrateurs retiendront cinq failles d’Outlook notées 9,8 sur 10, exploitables par le seul affichage d’un message piégé dans le volet de lecture, et des failles critiques dans Active Directory, le serveur DHCP et Exchange, détaille IT-Connect.

Le dernier correctif pour certaines versions

Ce Patch Tuesday est aussi le dernier pour plusieurs éditions. Microsoft l’indique pour Windows 11 24H2 Famille et Professionnel, et pour Windows 10 Entreprise LTSB 2016. Les mises à jour étendues de Windows Server 2012 et 2012 R2, et celles d’Exchange Server 2016 et 2019, s’arrêtent aussi ce mois-ci, selon IT-Connect. Sur un PC personnel en 24H2, passer à 25H2 ou 26H2 devient indispensable pour continuer à recevoir des correctifs. Un PC laissé à l’abandon finira même par perdre l’accès à Windows Update en 2027 (on en a parlé ICI).

Le geste à faire

• Ouvrir Paramètres, puis Windows Update, et installer la mise à jour proposée ; un redémarrage est nécessaire.
• Vérifier dans l’historique des mises à jour que le numéro correspond à celui du repère.
• Se méfier des pièces jointes et des liens inattendus : la faille exige un clic de la victime.

En bref

• La mise à jour de Windows du 13 octobre 2026 corrige plus de 1 400 failles, un record.
• L’une d’elles, CVE-2026-96951, est déjà exploitée : elle permet à un fichier piégé d’échapper aux avertissements de Windows.
• La CISA américaine impose à ses administrations de corriger avant le 16 octobre.
• Windows 11 24H2 Famille et Professionnel reçoit sa dernière mise à jour : passer à une version plus récente.

Sources : Microsoft, fiche CVE-2026-96951 ; CISA, catalogue des vulnérabilités exploitées ; IT-Connect, 14 octobre 2026 ; Next, 14 octobre 2026.

Le Bien Heureux · Rédaction Capibara · Mercredi 14 octobre 2026