Patch Tuesday record : par où commencer pour une PME

Le mardi 13 octobre 2026, Microsoft a publié ses correctifs mensuels avec un volume jamais vu : entre 1 407 et 1 413 failles corrigées selon la source qui compte, contre environ 973 en septembre et 206 en juin. Parmi elles, une faille de Windows Shell est déjà exploitée par des attaquants, et des dizaines sont jugées critiques. Pour une PME des Hauts-de-France qui gère ses postes avec une personne à temps partiel, ou un prestataire, la vraie question n'est pas « faut-il tout installer ? » mais « par quoi commencer, et comment éviter de casser la production ? ». Cet article répond à cette question, en distinguant ce que les sources établissent de ce qu'elles ne disent pas.

L'essentiel au 16 octobre 2026

Le volume : 1 411 failles (Next, d'après BleepingComputer), 1 407 (IT-Connect), 1 413 (Malwarebytes). Les décomptes diffèrent selon ce qu'ils incluent ; l'ordre de grandeur, lui, ne fait pas débat.
L'urgence : CVE-2026-96951, un contournement de la protection « Mark of the Web » dans Windows Shell, est exploitée activement (CVSS 8,8). Elle demande qu'un utilisateur ouvre un fichier piégé.
La cause : en partie l'IA, qui accélère la découverte de failles. Le goulot d'étranglement se déplace vers la validation et le déploiement des correctifs.
L'angle PME : prioriser (exposé à Internet d'abord, exploité ensuite), tester sur un petit groupe, vérifier les fins de support. Nous n'avons aucun chiffre sur le parc informatique des PME des Hauts-de-France et n'en inventons pas.

Ce que contiennent les correctifs d'octobre 2026

Le récit de Next, publié le 14 octobre, reprend le total de BleepingComputer : 1 411 failles corrigées, dont 70 critiques (57 d'exécution de code à distance, 11 d'élévation de privilèges, 2 d'usurpation). Ce total exclut 348 failles corrigées plus tôt dans le mois, notamment sur Azure et Exchange Server. IT-Connect compte 1 407 failles et 69 critiques, avec 672 élévations de privilèges et 314 exécutions de code à distance, et la répartition suivante par produit : Windows 1 115, Office 138, SharePoint Server 36, SQL Server 22, Exchange Server 6.

Source	Total annoncé	Critiques	Ce qui explique l'écart
Next (d'après BleepingComputer)	1 411	70	Exclut 348 failles corrigées plus tôt dans le mois
IT-Connect	1 407	69	Méthode de comptage non détaillée dans l'article
Malwarebytes (version française)	1 413	non précisé	Méthode de comptage non détaillée dans l'article
eSecurityPlanet (version française)	« plus de 1 400 »	« des dizaines »	Pas de chiffre exact

Sources : articles cités, lus le 16 octobre 2026. Nous ne tranchons pas entre ces décomptes ; Microsoft publie le sien dans ses notes de version du Security Update Guide.

La tendance se lit dans les titres des comptes rendus mensuels : 206 failles en juin (présentées alors comme le Patch Tuesday le plus volumineux jamais publié), 421 en août, 973 en septembre selon IT-Connect, puis plus de 1 400 en octobre. Zero Day Initiative, cité par eSecurityPlanet, souligne que cette seule livraison corrige plus de failles que Microsoft n'en a corrigé sur une année entière précédente.

Les trois zero-days : une exploitée, deux publiques

CVE-2026-96951 (Windows Shell, CVSS 8,8) : exploitée activement. Elle contourne le marquage « Mark of the Web », censé signaler les fichiers téléchargés ou reçus par messagerie. L'attaque nécessite une action de l'utilisateur, par exemple l'ouverture d'un fichier piégé reçu par courriel. Elle figure déjà dans le catalogue des vulnérabilités exploitées de la CISA américaine, selon eSecurityPlanet.
CVE-2026-108398 (.NET Framework, CVSS 8,8) : contournement de WDAC (Windows Defender Application Control), rendue publique avant le correctif. Next indique qu'elle a été découverte par James Forshaw, de Google Project Zero. Elle concerne les environnements où WDAC restreint l'exécution d'applications.
CVE-2026-92707 (MessagePack-CSharp, CVSS 5,3) : déni de service à distance, publique avant correctif. eSecurityPlanet précise que le correctif se trouve dans les versions 2.5.303 et 3.1.9 de la bibliothèque : si vos développeurs l'ont intégrée à une application maison, Windows Update ne la mettra pas à jour.

Parmi les failles critiques, IT-Connect recommande de traiter d'abord celles qui s'exploitent à distance sans authentification : Active Directory (CVE-2026-70229), des failles Outlook notées 9,8 dont l'affichage dans le volet de lecture suffit à déclencher l'attaque, le serveur DHCP (CVE-2026-96934, 9,8), Exchange (CVE-2026-70571) et SharePoint Subscription Edition (CVE-2026-102866). eSecurityPlanet cite deux failles Outlook à 9,8 (CVE-2026-70242 et CVE-2026-97016) et une faille du protocole QUIC (CVE-2026-105016) ; les deux articles ne comptent pas les mêmes failles Outlook (deux d'un côté, cinq de l'autre), et nous ne les départageons pas.

Vidéo de Hfrance Informatique (titre : « Patch Tuesday octobre 2026 : 1 411 failles corrigées, un record (et une déjà exploitée) »). Nous n'en reprenons que le titre ; les chiffres de cet article viennent des sources écrites ci-dessus.

Pourquoi autant de failles : l'IA, en partie

Next attribue l'explosion au recours massif de Microsoft à l'IA pour détecter et corriger les failles : le harnais multi-agents MDASH, présenté en mai, puis le projet Perception lancé en juillet, qui combine MDASH et le modèle MAI-Cyber-1-Flash. Nous avions décrit ce dispositif dans notre article sur MAI-Cyber-1-Flash et Project Perception. Dustin Childs, de Zero Day Initiative, répond à la question « l'IA est-elle à blâmer ? » par « en partie » : elle accélère la découverte de failles chez les éditeurs comme chez les chercheurs, d'après eSecurityPlanet. Le point utile pour une PME vient du propre billet de Microsoft, tel que résumé par eSecurityPlanet : trouver plus de failles ne produit pas automatiquement plus de correctifs déployables, et la validation et la remédiation restent des contraintes. Le phénomène dépasse Microsoft : Next signale qu'il touche aussi Apple et des projets libres, dont le noyau Linux, et la veille DCOD du 14 octobre relève, en reprenant BleepingComputer et Security Affairs, que Google a suspendu son programme de primes aux bogues open source face à l'afflux de signalements générés par IA, et qu'Anthropic propose un scanner gratuit qui a relevé plus de 29 000 vulnérabilités potentielles en six mois, dont environ 6 000 vérifiées. Ces deux derniers éléments sont des reprises de sources secondaires que nous n'avons pas relues à la source.

L'angle Hauts-de-France : une charge qui retombe sur de petites équipes

Aucune source lue ne chiffre combien de PME des Hauts-de-France appliquent leurs correctifs, ni avec quel délai. Nous ne présentons donc aucun décompte régional. Le raisonnement, lui, est direct : le volume mensuel est le même pour un groupe industriel et pour un cabinet de dix personnes de Lille, d'Amiens ou de Saint-Quentin ; seule la capacité à le traiter diffère. Les précédents de ce site montrent où cela coince : des composants oubliés (l'alerte Metabase du CERT-FR, l'ANSSI piratée via Metabase) et des équipements connectés que personne n'inventorie (la cyberattaque des frigos de supermarchés, avec des magasins de l'Oise et de la Somme). Côté appui, trois ressources existent dans la région ou à l'échelle nationale. Le Campus Cyber Hauts-de-France publie un kit conseil cyber pour PME et collectivités. Cybermalveillance.gouv.fr oriente les victimes. Et le Pass Cyber Conseil de la Région, décrit sur cette fiche d'aides publiques, subventionne à 50 % des prestations de conseil en cybersécurité (audits, tests d'intrusion, accompagnement à une politique de sécurité) dans la limite de 10 000 € HT de prestations, pour les entreprises de moins de 250 salariés, une demande tous les deux ans. La fiche date du 31 août 2025 et ne dit pas si le dispositif est ouvert aujourd'hui : renseignez-vous auprès du guichet unique de la Région (03 74 27 00 27, entreprises@hautsdefrance.fr).

Vidéo de Denis Talbot (titre : « Microsoft Corrige 1000 Failles avec l'IA : Patch Tuesday Énorme »). Nous n'en reprenons que le titre ; le contenu n'a pas été vérifié.

Sept réflexes pour traiter un Patch Tuesday de cette taille

Commencer par ce qui est exposé à Internet. Serveur de messagerie (Exchange), SharePoint, passerelles : c'est là qu'une faille critique sans authentification fait le plus de dégâts. Si vous n'avez aucun serveur exposé, passez au point suivant.
Traiter la faille déjà exploitée sans attendre. CVE-2026-96951 touche les postes Windows ; le correctif est dans la mise à jour cumulative d'octobre. Rappelez aussi à vos équipes de ne pas ouvrir de fichiers inattendus, puisque l'attaque dépend de cette action.
Déployer par vagues. Un petit groupe de postes pilotes d'abord (24 à 72 heures), puis tout le parc. Un lecteur d'IT-Connect signale que la mise à jour KB5127648 casserait l'authentification Wi-Fi 802.1X/PEAP sur Windows 11 ; ce témoignage n'est pas vérifié par l'article, mais c'est exactement le type de régression qu'un groupe pilote détecte.
Vérifier les fins de support. Selon IT-Connect, Windows 11 24H2 Famille et Professionnel et Windows 10 Enterprise LTSB 2016 ne reçoivent plus de mises à jour après celle d'octobre ; les ESU de Windows Server 2012/2012 R2 et d'Exchange 2016/2019 se terminent aussi ce mois-ci. Un poste sans correctif ne se « sécurise » pas autrement qu'en le remplaçant.
Ne pas oublier les bibliothèques de vos applications. La faille MessagePack-CSharp se corrige dans votre code (versions 2.5.303 ou 3.1.9), pas par Windows Update. Demandez à votre prestataire de développement s'il l'utilise.
Documenter chaque report. eSecurityPlanet recommande de noter tout correctif différé avec un responsable et une échéance. Si vous ne pouvez pas installer un correctif cette semaine, la décision doit au moins être écrite.
Faire le point sur qui s'en occupe. Si la réponse est « personne, ou un prestataire que nous n'avons pas relancé », demandez-lui un compte rendu écrit de ce qui a été appliqué et de ce qui reste ouvert.

Pour une vue d'ensemble de la protection d'une PME, voir notre guide sur les ransomwares. Les alertes et avis officiels sont publiés par le CERT-FR.

Ce qu'on ne sait pas encore

Le décompte exact : les chiffres varient de 1 407 à 1 413 selon les sources ; nous ne tranchons pas.
L'ampleur de l'exploitation de la faille Windows Shell : les articles lus indiquent qu'elle est exploitée, sans préciser par qui, ni contre quelles cibles.
La fiabilité des correctifs : le signalement de KB5127648 (Wi-Fi 802.1X) est un témoignage de lecteur, non confirmé.
L'état réel du parc des PME de la région : aucun décompte lu sur les délais d'application des correctifs dans les Hauts-de-France.
Le rythme des prochains mois : Microsoft prévoit davantage de correctifs à mesure qu'il étend ses recherches assistées par IA, selon Malwarebytes.

Nous complétons cet article si Microsoft publie un décompte officiel stabilisé, si des exploitations supplémentaires sont rapportées ou si une régression de la mise à jour d'octobre est confirmée. Les pages citées ont été lues le vendredi 16 octobre 2026.

FAQ : Patch Tuesday d'octobre 2026

Combien de failles Microsoft a-t-il corrigées en octobre 2026 ?

Environ 1 400, avec des décomptes qui varient selon les sources : 1 411 pour Next (d'après BleepingComputer, hors 348 failles corrigées plus tôt dans le mois), 1 407 pour IT-Connect, 1 413 pour Malwarebytes. Le mois précédent, IT-Connect en compte 973.

Quelle faille est déjà exploitée par des attaquants ?

CVE-2026-96951, une faille du shell de Windows (CVSS 8,8) qui contourne la protection Mark of the Web. Elle nécessite qu'un utilisateur ouvre un fichier piégé, par exemple reçu par courriel. Deux autres zero-days (CVE-2026-108398 et CVE-2026-92707) étaient publiques avant le correctif mais non exploitées à la date des articles lus.

Pourquoi y a-t-il autant de failles corrigées d'un coup ?

En partie à cause de l'IA, qui accélère la découverte de failles : Microsoft utilise des outils comme MDASH et le projet Perception. Dustin Childs, de Zero Day Initiative, répond « en partie » à la question de savoir si l'IA est à blâmer. Le volume ne signifie pas que chaque faille est exploitable en pratique.

Dois-je tout installer immédiatement dans ma PME ?

Non, mais il faut prioriser : d'abord la faille exploitée (CVE-2026-96951) et les serveurs exposés à Internet (messagerie, SharePoint), puis un déploiement progressif sur un petit groupe de postes avant le parc entier. Notez tout report avec un responsable et une échéance, comme le recommande eSecurityPlanet.

Existe-t-il une aide en Hauts-de-France pour être accompagné ?

Le Pass Cyber Conseil de la Région subventionne à 50 % des prestations de conseil en cybersécurité, dans la limite de 10 000 € HT, pour les entreprises de moins de 250 salariés. La fiche que nous avons lue date d'août 2025 et n'indique pas si le dispositif est ouvert : contactez le guichet unique de la Région pour le savoir.