Une faille Windows exploitée, des équipements réseau ciblés et des logiciels en fin de support : le Patch Tuesday d’octobre impose de hiérarchiser les interventions de sécurité.
Depuis les mises à jour de septembre, les alertes se multiplient autour des équipements réseau et des environnements Microsoft. Selon le bilan d’Ivanti, octobre totalise 1 407 vulnérabilités corrigées chez Microsoft, dont 78 critiques. Une faille Windows Shell déjà exploitée appelle une intervention prioritaire. Adobe et Mozilla publient également des correctifs importants, tandis que plusieurs produits atteignent leurs échéances de support. Pour datasecuritybreach.fr, ce récapitulatif distingue trois enjeux : corriger les vulnérabilités utilisées dans des attaques, protéger les services exposés et anticiper le retrait des logiciels vieillissants. Le nombre de failles constitue un indicateur, mais leur exploitation doit guider les premières décisions.
Des équipements réseau aux postes Windows, les urgences
Les chiffres communiqués par Ivanti illustrent l’augmentation des vulnérabilités recensées. Sa base dépasse désormais 406 000 CVE, dont plus de 78 000 divulguées en 2026. Ce dernier volume excède les quelque 70 000 références publiées entre 1999 et 2015 inclus.
Au 12 octobre, les divulgations dépassaient de 64 % le total annuel de 2025. Le nombre de vulnérabilités exploitées progressait, lui, de 33 % par rapport à l’ensemble de l’année précédente. Le catalogue de correctifs atteignait 94 % du volume de 2025. Ivanti anticipait un dépassement d’environ 20 % à la clôture de 2026, une projection qui reste distincte du bilan observé.
Les semaines précédant cette publication ont surtout exposé les équipements placés en périphérie du réseau. Chez Citrix, CVE-2026-88779 touche NetScaler lorsque l’appliance fonctionne comme fournisseur de services SAML ou fournisseur d’identité. Cette vulnérabilité zero-day ciblée reçoit un score CVSS de 8,7.
FortiMail est concerné par CVE-2026-104286, une écriture de fichier sans authentification notée 9,8 et signalée comme activement exploitée par la CISA. SonicWall a, de son côté, diffusé le 6 octobre un correctif d’urgence pour CVE-2026-102255. Cette faille SSRF avant authentification affecte SMA1000 et atteint 10 sur l’échelle CVSS. Une activité d’attaque a été observée le 9 octobre, sans compromission confirmée dans le bilan transmis.
Les anciennes vulnérabilités restent également pertinentes pour les attaquants. Le 8 octobre, cinq failles concernant ProFTPD, ONLYOFFICE, Strapi, Struts et BIND ont rejoint le catalogue KEV de la CISA, après leur exploitation attribuée à Flax Typhoon, acteur lié à la Chine.
Chez Microsoft, les 1 407 CVE corrigées se répartissent entre 78 critiques et 1 329 importantes, soit environ 44 % de plus que le précédent record de septembre. La priorité concerne CVE-2026-96951, un contournement de sécurité de Windows Shell déjà exploité. Windows 10, Windows 11 et plusieurs générations de Windows Server sont concernés.
Autre point de vigilance, CVE-2026-108398 affecte .NET Framework 3.5 et les versions 4.6.2 à 4.8.1. Sa divulgation publique ne signifie pas qu’une exploitation est constatée, mais justifie une correction rapide.
Parmi les failles critiques, 65 permettent une exécution de code à distance. Office en concentre 34, dont 19 dans Excel. DHCP Server, Message Queuing, Remote Desktop Services et QUIC figurent aussi parmi les services touchés.
Les fins de support compliquent la maintenance
Corriger suppose encore de disposer de mises à jour. Office 2021, Office LTSC 2021, Windows 10 2016 LTSB et IoT LTSB 2016 atteignent leur fin de support en octobre. Windows 11 24H2 Home et Pro arrivent également au terme de leur maintenance.
Une correction s’impose concernant Windows Server 2012 et 2012 R2 : leur dernière année de mises à jour de sécurité étendues ne commence pas en octobre 2026. Le programme ESU s’est terminé le 13 octobre 2026, selon Microsoft. Cette échéance impose de revoir les systèmes encore dépendants de ces versions.
Exchange Server 2016 et 2019 cumulent deux contraintes dans le bilan fourni : une vulnérabilité critique d’exécution de code à distance, CVE-2026-70571, et une échéance ESU annoncée au 31 octobre. La gestion des correctifs doit donc accompagner celle du remplacement des produits concernés.
Adobe publie dix bulletins couvrant 141 CVE, dont quinze critiques, sans exploitation connue signalée. ColdFusion et Commerce concentrent ces dernières.
Pour ColdFusion, le bulletin APSB26-144 traite dix vulnérabilités critiques. Trois sont accessibles à distance sans authentification : CVE-2026-105899 et CVE-2026-106622, notées 10, ainsi que CVE-2026-106624, évaluée à 9,8. Les versions corrigées sont 2025.0.14 et 2023.0.26.
Commerce compte cinq failles critiques. CVE-2026-103849 et CVE-2026-92909, respectivement notées 10 et 9,8, ne nécessitent aucune authentification. Le correctif d’urgence associé à CVE-2026-75650, publié en septembre, reste également à appliquer. Les huit autres bulletins Adobe relèvent de la priorité 3.
Mozilla corrige, selon le récapitulatif transmis, 79 CVE distinctes avec Firefox 158, ESR 153.5 et ESR 115.43. Trente présentent une sévérité élevée. Plusieurs permettent de sortir du bac à sable, mécanisme destiné à isoler les traitements du navigateur. Aucune exploitation active n’est mentionnée. L’attribution désormais individuelle des CVE contribue aussi à augmenter leur nombre.
Pour datasecuritybreach.fr, les priorités opérationnelles ressortent clairement : traiter Windows Shell, examiner les équipements exposés, puis organiser les migrations et la maintenance restante. Le renseignement sur les menaces devient utile lorsqu’il permet de relier une vulnérabilité exploitée aux systèmes effectivement présents dans l’entreprise.