Windows Shell : une faille déjà exploitée fait sauter l’avertissement sur les fichiers venus d’Internet, corrigée par le Patch Tuesday d’octobre

Parmi les plus de 1 400 failles corrigées par Microsoft le 13 octobre, la CVE-2026-96951 (CVSS 8,8) est déjà exploitée : elle permet à un fichier piégé d’échapper à la protection Mark of the Web. Toutes les versions de Windows et Windows Server prises en charge sont touchées, et la CISA a laissé trois jours aux agences américaines pour corriger.

Ce qui s’est passé

Le Patch Tuesday d’octobre 2026, publié par Microsoft le 13 octobre, bat encore des records : 1 413 vulnérabilités selon The Hacker News, dont 70 critiques d’après 01net. Une seule est signalée par l’éditeur comme déjà exploitée : la CVE-2026-96951 (CVSS 8,8), une injection de commande dans le shell de Windows qui permet de contourner le Mark of the Web (MOTW). C’est ce marquage que Windows appose sur les fichiers téléchargés ou reçus par courriel, et c’est lui qui déclenche les alertes de SmartScreen et le mode protégé d’Office.

La CISA américaine a ajouté la faille à son catalogue des vulnérabilités exploitées le jour même et a donné aux agences fédérales jusqu’au 16 octobre pour la corriger. Microsoft signale aussi une faille de .NET Framework, la CVE-2026-108398 (CVSS 8,8), autre contournement de protection rendu public avant le correctif mais sans attaque connue.

Qui est concerné et comment les attaquants entrent

Toutes les versions prises en charge sont touchées : Windows 10, Windows 11 et Windows Server 2012 R2, 2016, 2019, 2022 et 2025, installations Server Core comprises. L’attaque n’est pas automatique : selon Microsoft, la victime doit ouvrir un fichier piégé reçu par courriel ou messagerie instantanée, ou suivre un lien vers un site malveillant. Privé de son marquage, le fichier s’ouvre sans l’avertissement habituel. Côté serveurs, le risque se concentre sur les serveurs de bureau à distance (RDS) et les serveurs de rebond d’administration, là où l’on consulte ses courriels et le Web.

Que faire maintenant

1. Déployez la mise à jour cumulative d’octobre, d’abord sur les postes et les serveurs RDS, puis partout : KB5126646 (Windows Server 2025), KB5126655 (2022), KB5126651 (2019), KB5126868 (2016), KB5126836 (2012 R2), KB5127648 (Windows 11 24H2 et 25H2), KB5126657 (Windows 10 21H2 et 22H2).
2. Vérifiez qu’elle est bien installée : en PowerShell, Get-HotFix -Id KB5126655 (avec le KB de votre version), ou lisez la révision du build avec (Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion').UBR. Minimums attendus : 20348.5761 pour Server 2022, 17763.9376 pour Server 2019, 26100.33650 pour Server 2025.
3. Filtrez les pièces jointes sur la passerelle de messagerie : raccourcis, scripts, images disque et archives protégées par mot de passe n’ont en général rien à faire dans la boîte de vos utilisateurs.
4. Passez en revue les alertes de votre EDR des derniers jours, à la recherche de processus inhabituels lancés par explorer.exe ou Outlook.

Notre analyse

Contourner le MOTW ne suffit pas à prendre la main sur un serveur, mais cela supprime le dernier avertissement entre une pièce jointe piégée et un clic. Avec plus de 1 400 correctifs en un mois, la seule règle tenable est de trier : les failles déjà exploitées se déploient en quelques jours, en commençant par les machines où l’on lit ses courriels.

Sources

• Microsoft — Security Update Guide, CVE-2026-96951
• CISA — Known Exploited Vulnerabilities Catalog, CVE-2026-96951
• 01net — Plus de 1 400 failles Windows : le nouveau record monstrueux du Patch Tuesday de Microsoft
• The Hacker News — Microsoft Patches Record 1,413 Flaws, Including Exploited Windows Shell Bug

Comment nous choisissons, vérifions et rédigeons nos analyses →