Mise à jour Windows d'octobre 2026 : une faille déjà exploitée ouvre les fichiers d'Internet sans avertissement sur les PC de vos équipes

Si votre entreprise travaille sous Windows, installez la mise à jour d'octobre 2026 cette semaine, sans attendre le cycle habituel. Le 13 octobre 2026, Microsoft a publié la plus grosse mise à jour de sécurité de son histoire : plus de 1 400 vulnérabilités corrigées, dont une que des attaquants exploitent déjà (CVE-2026-96951), notée 8,8 sur 10. Elle amène Windows à traiter un fichier reçu d'Internet ou par e-mail comme si votre collaborateur l'avait créé lui-même : l'avertissement qui précède normalement son ouverture n'apparaît pas. Le centre national saoudien de cybersécurité (Saudi CERT) a publié le jour même une alerte critique qui recommande de mettre à jour les produits concernés. Une seule parade : installer la mise à jour d'octobre, soit KB5127648 sur Windows 11 (24H2, 25H2 et 26H2).

Qu'est-ce qui change ce mois-ci ?

Microsoft publie ses correctifs de sécurité le deuxième mardi de chaque mois, le « Patch Tuesday ». La publication d'octobre sort de l'ordinaire par sa taille : la Zero Day Initiative y a compté 1 415 nouvelles CVE, le premier total mensuel à quatre chiffres qu'elle ait jamais vu, et davantage que toute la production de Microsoft en 2023 (914). Les décomptes varient légèrement : Tenable en recense 1 407, dont 69 jugées critiques. La raison, selon la Zero Day Initiative : les outils d'IA trouvent désormais les failles plus vite qu'avant, côté défense comme côté attaque.

Le chiffre compte moins que la seule faille exploitée en ce moment. Les autres demandent du temps avant d'être utilisées ; celle-ci l'était déjà avant la sortie du correctif.

Quelle gravité pour une PME ?

Quand un collaborateur télécharge un fichier ou ouvre une pièce jointe, Windows y appose une marque appelée « Mark of the Web », qui signale une origine externe. C'est grâce à elle qu'Office ouvre le fichier en mode protégé et que Windows avertit avant de lancer un programme téléchargé. La faille CVE-2026-96951 permet à un fichier piégé de perdre cette marque : Windows le traite comme un fichier local et il s'ouvre sans le moindre avertissement.

D'après Tenable, l'exploitation repose sur l'ingénierie sociale : un e-mail ou un message qui pousse la personne à ouvrir le fichier. Le scénario classique s'applique parfaitement : une « facture » ou un « devis » arrive au service comptable et s'ouvre sans aucune alerte. Tenable précise qu'il s'agit de la troisième faille de Windows Shell exploitée en 2026, après celles de février et d'avril.

L'agence américaine de cybersécurité CISA l'a ajoutée à son catalogue des vulnérabilités exploitées le 13 octobre et a imposé aux agences fédérales américaines de la corriger avant le 16 octobre 2026, soit en trois jours. Ce délai très court dit tout de sa gravité.

Quelles machines sont concernées, et quel numéro de mise à jour pour chacune ?

Selon la fiche de la faille dans le guide des mises à jour de sécurité de Microsoft, le correctif existe pour toutes les versions de Windows prises en charge :

• Windows 11 versions 24H2, 25H2 et 26H2 : KB5127648.
• Windows 11 version 23H2 : KB5126653.
• Windows Server 2025 : KB5126646 ; Windows Server 2022 : KB5126655 ; Windows Server 2019 : KB5126651.
• Windows Server 2016 : KB5126868 ; Windows Server 2012 R2 : KB5126836.

Une machine à qui la mise à jour n'est pas proposée est généralement sortie du support. Les PC Windows 11 24H2 en édition Pro ont perdu leur support le 13 octobre, comme nous l'expliquions dans la fin du support de Windows 11 24H2. S'il vous reste des postes sous Windows 10, consultez l'échéance de fin de support de Windows 10 pour les entreprises.

Que faire cette semaine : cinq étapes

1. Installez la mise à jour aujourd'hui : Paramètres, puis Windows Update, puis redémarrage. La mise à jour n'est terminée qu'après le redémarrage.
2. Commencez par les postes les plus exposés : comptabilité, achats et service client, ceux qui reçoivent chaque jour des pièces jointes de l'extérieur.
3. N'oubliez pas les serveurs : la Zero Day Initiative relève dans cette publication 59 failles capables de se propager sans connexion ni action de l'utilisateur, dans des composants comme le serveur DHCP et la passerelle Bureau à distance. La même publication corrige des failles critiques dans Outlook, Excel, Exchange, SharePoint et SQL Server.
4. Vérifiez que chaque machine l'a bien installée : ne vous contentez pas de « les mises à jour sont automatiques ». Demandez à votre responsable informatique la liste des machines où elle n'est pas terminée.
5. Prévenez vos équipes : un message court suffit : n'ouvrez pas une pièce jointe inattendue, même sans avertissement, et appelez l'expéditeur pour confirmer.

Les mises à jour automatiques suffisent-elles ?

Rarement. Beaucoup d'entreprises ont des PC qui n'ont pas redémarré depuis des semaines, des postes où les mises à jour ont été suspendues parce qu'un vieux logiciel a planté un jour, et des serveurs que personne ne met à jour parce qu'ils « tournent ». C'est pourquoi l'alerte du Saudi CERT demande de mettre à jour les produits concernés, pas seulement d'activer les mises à jour. Avec plus de 1 400 correctifs, une machine en retard d'un mois devient une porte ouverte sur tout votre réseau.

Le regard d'Origami

Cette publication marque une tendance durable : l'IA accélère la découverte des failles, les mises à jour mensuelles vont continuer de grossir et le délai entre l'annonce d'une faille et son exploitation va continuer de raccourcir. Une entreprise qui applique ses correctifs « quand quelqu'un y pense » aura toujours un temps de retard. Mieux vaut un calendrier fixe : correctifs critiques sous 72 heures, le reste sous deux semaines, et un rapport mensuel qui prouve que chaque poste et chaque serveur est à jour. Chez Origami, nous concevons dès le départ les systèmes et serveurs de nos clients avec ce suivi. Pour faire vérifier les postes ou les serveurs de votre entreprise, contactez-nous.

Sources

• Microsoft : CVE-2026-96951 dans le Security Update Guide
• Microsoft : notes de publication des mises à jour de sécurité d'octobre 2026
• Microsoft : KB5127648 du 13 octobre 2026
• National Cybersecurity Authority (Saudi CERT) : alerte Microsoft 2026-7930
• NVD : CVE-2026-96951 et son inscription au catalogue de la CISA
• Zero Day Initiative : The October 2026 Security Update Review
• Tenable : le Patch Tuesday d'octobre 2026 de Microsoft