1 411 CVE en un jour : comment trier le Patch Tuesday record d'octobre 2026
Le 13 octobre 2026, Microsoft a publié des correctifs pour 1 411 vulnérabilités, le plus gros Patch Tuesday de son histoire, en plus des 348 corrigées plus tôt dans le mois. La même semaine a apporté un zero-day activement exploité dans Cisco Secure Email Gateway, des attaques réelles sur une faille de sévérité maximale des SonicWall SMA 1000 corrigée la semaine précédente, et une nouvelle entrée Ivanti Connect Secure dans le catalogue des vulnérabilités exploitées (KEV) de la CISA. Aucune équipe ne peut lire 1 400 bulletins. Cet article donne les chiffres, la poignée de failles qui comptent cette semaine, et une règle de tri qui tient sur une page.
Les chiffres
Pourquoi autant ? Microsoft attribue cette croissance à la découverte de vulnérabilités assistée par IA dans ses propres produits, et la liste d'octobre traîne aussi une longue queue de composants tiers et open source (noyau Linux, GnuTLS, Apache Thrift) embarqués dans les produits Microsoft. Le record est le signe d'une meilleure détection, pas forcément d'un produit moins sûr.
L'élévation de privilèges représente près de la moitié du total. La plupart de ces failles supposent un attaquant qui exécute déjà du code sur la machine, c'est pourquoi elles passent après la liste bien plus courte des exécutions de code à distance et des contournements sur des systèmes exposés.
Les failles qui comptent cette semaine
| CVE | Produit | De quoi il s'agit | Statut |
|---|---|---|---|
| CVE-2026-96951 | Shell Windows | Injection de commande contournant Mark of the Web ; un fichier piégé saute l'avertissement de téléchargement | Exploitée |
| CVE-2026-76519 | Cisco Secure Email Gateway | Traversée de chemin dans Advanced Malware Protection ; à distance, sans authentification, root. Suppose File Reputation activé et Content Scanner Tools antérieur à 25.3.0.5525 | Exploitée ; Cisco a trouvé des clients cloud compromis |
| CVE-2026-102255 | SonicWall SMA 1000 (6210, 7210, 8200v) | SSRF pré-authentification, CVSS 10.0, corrigée le 6 octobre | Tentatives d'exploitation depuis le 8 octobre (chercheurs) |
| Ivanti Connect Secure | Passerelle VPN | Ajoutée au KEV de la CISA le 13 octobre | Exploitée ; délai fédéral américain |
| CVE-2026-108398 | .NET Framework | Chemin de recherche non fiable contournant Windows Defender Application Control (Project Zero) | Publique, pas encore exploitée |
| CVE-2026-70242 | Outlook | Exécution de code via le volet de lecture, CVSS 9.8 : aucun clic nécessaire | Pas encore exploitée, critique la plus haute |
| CVE-2026-70229 | Active Directory Domain Services | Exécution de code à distance sur les contrôleurs de domaine | Pas encore exploitée |
Trois observations. D'abord, les trois failles exploitées partagent un motif : les équipements de bordure et le chemin du courrier, ce qui fait face à Internet par conception. Ensuite, le bulletin Cisco est inhabituellement direct : Cisco a déjà contacté les clients dont les instances cloud montrent des signes de compromission ; là, le correctif seul ne suffit pas, il faut chercher des indicateurs et renouveler les secrets. Enfin, le zero-day du Shell Windows demande une interaction de l'utilisateur, ce qui fait de la sensibilisation au hameçonnage et du filtrage des pièces jointes une partie du remède.
Une règle de tri qui tient sur une page
La question pour chaque CVE n'est jamais « quel est le score CVSS ? » mais « est-elle exploitée, et un attaquant peut-il l'atteindre ? ». Quatre conditions fixent le délai :
Appliquée à ce mois, la règle R1 attrape quatre éléments (Shell Windows, Cisco SEG, SonicWall SMA, Ivanti), la règle R2 attrape Outlook, AD DS, les failles des services Azure si vous les exposez, et les usurpations ADFS. Tout le reste, environ 1 400 CVE, passe par le cycle normal. C'est tout l'intérêt : une règle de tri transforme un mois record en semaine normale pour l'essentiel du parc.
Ce qu'il faut vérifier sur les failles exploitées
Au-delà du correctif
tadataAu-delà du correctif
- MUST Cisco SEG : lancer contentscannerstatus, vérifier File Reputation dans les politiques de messagerie, lire le journal des analyses si Cisco vous a contacté, considérez l'équipement comme compromis
- MUST SonicWall SMA 1000 : passer à la version du 6 octobre, puis relire les journaux de l'interface WorkPlace depuis le 8 octobre
- MUST Ivanti Connect Secure : corriger, lancer l'outil de vérification d'intégrité, renouveler les secrets VPN
- MUST Shell Windows : déployer la mise à jour, vérifier que Mark of the Web est encore appliqué par vos filtres de courrier et de téléchargement
- SHOULD Outlook volet de lecture : corriger avant la preuve de concept, aucun clic nécessaire
- COULD Inscrire la règle de délai dans votre procédure de gestion des vulnérabilités (ISO 27001 A.8.8, NIS2 article 21)
En résumé
Un mois à 1 411 CVE se gère si l'on refuse de le lire comme 1 411 problèmes. Une douzaine de vulnérabilités sont exploitées ou exploitables depuis Internet aujourd'hui, et elles se trouvent là où les attaquants regardent toujours : passerelles de messagerie, boîtiers VPN, chemin de téléchargement. Corrigez-les cette semaine, laissez le reste suivre le cycle mensuel, et écrivez la règle pour que le prochain mois record soit ennuyeux. Notre pile open source d'analyse de vulnérabilités et le plan d'hygiène ANSSI couvrent l'outillage et la procédure.
Sources : notes de publication du Microsoft Security Response Center ; couverture du Patch Tuesday par BleepingComputer et Security Affairs ; bulletin Cisco PSIRT pour CVE-2026-76519 ; bulletin SonicWall et article de The Hacker News sur CVE-2026-102255 ; alertes KEV de la CISA des 4 et 13 octobre 2026. Lus le 14 octobre 2026 ; les totaux varient d'une ou deux unités selon les médias et ce qu'ils comptent.