Microsoft a publié un lot étendu de mises à jour conçu pour remédier à plus de 1 400 vulnérabilités de sécurité au sein de ses systèmes d'exploitation Windows et des logiciels associés. Cette publication représente une escalade significative du volume de correctifs, éclipsant le record établi aussi récemment que le mois dernier en septembre, qui comprenait près de 1 000 corrections. Le chiffre de septembre était déjà environ dix fois supérieur à la charge mensuelle typique provenant de Redmond, rendant cette mise à jour d'octobre un événement sans précédent en termes d'échelle.
Parmi les milliers de failles traitées, une vulnérabilité est classée comme « zero-day », indiquant qu'elle a déjà été exploitée dans la nature. Identifiée sous le nom CVE-2026-96951, cette contournement de fonctionnalité de sécurité affecte les systèmes Windows 10 et 11, ainsi que certaines versions Server. De plus, au moins 78 des failles corrigées ce mois-ci sont classées comme « critiques ». Ces vulnérabilités critiques peuvent être exploitées avec peu ou pas d'interaction utilisateur, permettant souvent aux attaquants d'exécuter du code arbitraire sur des systèmes vulnérables.
Un autre problème notable concerne un contournement de fonctionnalité de sécurité dans le .NET Framework (CVE-2026-108398). Bien que Microsoft ait déclaré qu'il n'y avait actuellement aucun signe d'exploitation active, cette vulnérabilité a été divulguée publiquement avant la publication d'aujourd'hui. Cette divulgation précoce a potentiellement fourni aux attaquants un temps d'avance pour développer des méthodes d'exploitation du bug avant que le correctif ne soit disponible.
Le volume considérable de corrections a attiré l'attention des experts en sécurité. Satnam Narang de Tenable a noté que le décompte de ce mois dépasse largement le record précédent établi en 2020, lorsque Microsoft avait corrigé 1 261 CVE. Narang a souligné qu'avec deux mois restants dans l'année, le nombre total de vulnérabilités traitées a déjà dépassé la barre des 4 000. Microsoft attribue ce volume élevé de découverte de bogues à l'utilisation de grands modèles de langage, qui sont également présumés avoir aidé à générer de nombreux correctifs.
Malgré l'ampleur de la mise à jour, les experts avertissent que ces salves de correctifs inhabituellement volumineuses exercent une pression significative sur les équipes de sécurité des entreprises. Les organisations doivent souvent tester les mises à jour individuelles avant de les déployer dans leurs réseaux pour s'assurer que les corrections ne perturbent pas d'autres logiciels. Tyler Reguly, directeur associé de la recherche et du développement en sécurité chez Fortra, a souligné que seules 26 vulnérabilités Microsoft sont apparues jusqu'à présent cette année dans le catalogue « Known Exploited Vulnerabilities » (Vulnérabilités connues exploitées) de l'Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA). Il a conseillé aux responsables de la sécurité de prioriser la correction de ces 26 vulnérabilités spécifiques en premier, en se concentrant sur le risque d'exploitation et en évaluant si leurs équipes disposent de la clarté et de la capacité nécessaires pour agir.
Pour les organisations cherchant à identifier quelles vulnérabilités nécessitent le plus d'attention, des ressources telles que Cisco Talos et le SANS Internet Storm Center ont publié des résumés indexant les failles par gravité, numéro CVE et logiciel affecté.
Sources: Krebs on Security.