Des pirates exploitent une faille de Windows pour contourner la protection chargée de signaler les fichiers venus d’Internet. Microsoft l’a corrigée mardi 13 octobre, dans un Patch Tuesday record de 1 411 vulnérabilités. Pour en dénicher autant, l’éditeur fait travailler l’intelligence artificielle sur le code de ses logiciels.
Microsoft bat son record pour la troisième fois en quatre mois. Après 974 failles corrigées en septembre, l’éditeur a livré mardi des correctifs pour 1 411 vulnérabilités, dont 70 critiques, d’après le décompte de BleepingComputer. Le site a exclu de ce total 348 autres failles, corrigées plus tôt dans le mois dans Azure ou Exchange Server. Trois des 1 411 failles sont des zero-days, et des pirates exploitent l’une d’elles dans Windows Shell, sous la référence CVE-2026-96951. Un attaquant peut s’en servir pour contourner le Mark of the Web. Windows appose ce marqueur sur les fichiers récupérés en ligne, depuis un navigateur ou une messagerie, et affiche un avertissement avant leur ouverture.
Des failles débusquées par les outils d’IA de Microsoft
L’équipe Windows a prévenu ses clients le 9 juillet. Ses ingénieurs, aidés par l’IA, allaient trouver plus de failles et plus vite, et les utilisateurs verraient arriver « un volume plus élevé de mises à jour de sécurité dans chaque publication ». Cinq jours plus tard, Microsoft a signé le plus gros Patch Tuesday de son histoire, avec 622 failles. Ses équipes passent notamment le code de Windows au crible avec MDASH. Ce système est formé de plusieurs agents d’IA, avec des modèles de différents éditeurs, et Microsoft lui doit la découverte de 16 failles de Windows en mai, dont quatre critiques.
Dustin Childs, responsable de la veille sur les menaces à la Zero Day Initiative de TrendAI, voit dans l’IA une partie seulement de l’explication de cette envolée. « L’IA ne crée pas ces bugs à partir de rien », a-t-il nuancé. D’après lui, éditeurs et chercheurs repèrent une faille plus tôt après son apparition dans le code, et les défenseurs profitent de cette accélération autant que les attaquants.
Microsoft a regroupé les failles liées en quinze « cohortes de risque », afin d’aider les entreprises à trier cette masse. La plus fournie, avec 136 failles, est consacrée aux systèmes de fichiers et à la sauvegarde de Windows. Les documents Office et les clients de messagerie sont l’objet de la suivante, avec 135 failles. Les équipes de sécurité de Microsoft précisent que ces regroupements sont expérimentaux et que l’examen de chaque faille est toujours nécessaire. Avec la part croissante de l’IA dans la découverte de vulnérabilités, « ce type d’approche pourrait devenir plus utile », estiment-elles.
Le correctif du zero-day Windows Shell à installer en premier
Tyler Reguly, directeur adjoint de la R&D en sécurité chez Fortra, accorde peu de sens au nombre de failles d’un mois. D’après son calcul, moins de 1 % des vulnérabilités corrigées par Microsoft en 2026 ont été exploitées dans des attaques connues. Ce mois-ci, l’éditeur a confirmé l’exploitation d’une seule faille, celle de Windows Shell, et son correctif est le premier à installer. Microsoft évoque une injection de commande dans ce composant. Un attaquant non autorisé peut l’exploiter pour « contourner une fonction de sécurité via le réseau ».
James Forshaw, chercheur chez Google Project Zero, a découvert un autre zero-day dans .NET Framework, divulgué publiquement avant son correctif. Un attaquant authentifié peut l’exploiter pour faire exécuter du code par un processus protégé, en échappant aux restrictions de WDAC. Cet outil de Windows est chargé de bloquer les applications non approuvées par l’administrateur.
Dans une PME, les pirates peuvent exploiter la faille Windows Shell par un simple courriel. Windows marque normalement les pièces jointes et prévient le salarié avant leur ouverture. Grâce à cette faille, un pirate peut faire disparaître l’avertissement, et le salarié risque alors d’ouvrir un fichier piégé sans la moindre alerte.
Microsoft distribue la mise à jour KB5127648 par Windows Update, sur les PC sous Windows 11 24H2, 25H2 et 26H2. Un dirigeant peut vérifier son installation dans l’historique des mises à jour, au sein des paramètres de Windows Update. Le correctif porte la référence KB5126653 pour Windows 11 23H2, et KB5126657 pour Windows 10 avec les mises à jour de sécurité étendues. Sur un parc géré, Microsoft recommande depuis l’été de différer les mises à jour moins de trois jours, puis d’imposer le redémarrage au bout de deux jours de grâce au maximum.
Les administrateurs ont intérêt à tenir ce rythme pour Windows Shell. Chez Tenable, l’ingénieur de recherche Satnam Narang a recensé 26 failles de ce composant corrigées depuis janvier, contre trois sur toute l’année 2025. Celle d’octobre est la troisième exploitée par des pirates en 2026.
