Le lot Microsoft du 13 octobre 2026 dépasse 1 400 correctifs, pas autant d’urgences équivalentes. Une faille Windows Shell nouvellement corrigée était déjà exploitée. C’est la distinction la plus claire.
Les décomptes vont de 1 407 à 1 415 selon produits, corrections antérieures et instant. Septembre approchait mille. Les sources associent une part à l’automatisation et l’IA, sans mesurer sa contribution précise.
Inventaires, compatibilité, fenêtres et vérification décident encore quand une découverte protège. Leurs capacités ne suivent pas la même courbe.
Des chiffres différents, une même ampleur
ZDI compte 1 415 nouveaux CVE, Rapid7 1 413 dont 1 102 Windows. D’autres 1 407, 1 409 ou 1 411. Cloud, composants et correctifs anticipés changent les règles : le nombre précis exige une méthode.
Windows domine, avec Office, SharePoint, Exchange, .NET, SQL Server, développement et Azure. CrowdStrike indique 75 Critical et trois zero-day. Zero-day n’est pas exploitation active : une des nouvelles corrections est liée à des attaques.
Les risk cohorts regroupent les défauts, sans remplacer examen individuel ou consignes. Ils ne connaissent ni installation, ni accès, ni criticité de l’entreprise.
Même sans attaque il faut tester identité, réseau, accès et applications. Les problèmes de septembre avec Remote Desktop, audio et partages virtualisés justifient la prudence, pas l’ignorance d’une exploitation connue.
Windows Shell porte une urgence différente
CVE-2026-96951 est un contournement noté 8,8 pour clients et serveurs supportés, dont Windows 10 et 11. Les chercheurs décrivent Mark of the Web, métadonnée d’origine externe déclenchant avertissements et vérifications.
Retirer cette barrière aide pièces jointes et téléchargements malveillants, sans compromettre automatiquement à elle seule. Acteur, ampleur et charges suivantes n’étaient pas entièrement décrits au lancement.
L’exploitation prouvée compte autrement qu’un 9,8 théorique. CVSS décrit la technique, pas outils adverses, accès réel ou valeur du poste. Fichiers et pièces jointes atteignent les terminaux sans service public.
Administrateurs, développeurs, finance et dirigeants détiennent parfois des droits importants. Protections de poste, pièces jointes et applications aident pendant l’attente, sans prouver le correctif inutile ou l’absence d’activité antérieure.
KEV suit les attaques observées. Les échéances fédérales concernent les organismes couverts, pas automatiquement les sociétés. Tyler Reguly de Fortra citait 26 entrées Microsoft en 2026 comme principe de priorité, non une absence d’importance du reste.
La découverte automatique dépasse la remédiation
Analyse statique, fuzzing et variantes étendent les recherches. Le fuzzing soumet des entrées anormales, les variantes cherchent des défauts apparentés. Les LLM aident revue, test et correction avec validation humaine.
Krebs relie la hausse aux LLM Microsoft. Les comptes ne séparent pas anciens défauts trouvés plus vite, couverture, numérotation et divulgation. Un motif peut donner plusieurs identifiants.
ZDI annonce 15 zero-day jusqu’à octobre 2026 contre 17 à la même période 2023, et 914 CVE sur tout 2023. Un mois dépasse une année sans hausse proportionnelle des zero-day observés.
C’est de la visibilité, pas une victoire garantie. L’adversaire compare binaires, reconstruit et adapte. Le tri accru peut prolonger l’écart publication-installation ; une voie exposée suffit.
Critical dépend du contexte
ZDI identifie 59 cas potentiellement propagatifs sans authentification ou interaction. Ce n’est pas la prévision de 59 vers mondiaux. Le service peut être désactivé ou interne.
DHCP, NPS, Remote Desktop Gateway, DNS, TCP/IP et IIS sont concernés. Message Queuing a une exécution distante 9,8 mais n’est pas actif par défaut. Présence et accès non fiable changent l’importance.
SharePoint CVE-2026-102866 est une élévation Critical par vérification de signature, exigeant apparemment un proof token valide de l’utilisateur cible. C’est différent de l’accès anonyme, tout en touchant des données utiles.
Exchange, Office, AD, .NET et réseau dépendent de l’architecture. Tout-cloud et ancien serveur mail diffèrent. Certains défauts cloud étaient déjà corrigés par Microsoft sans action client.
Retirer les cas non applicables n’est pas négliger. Il faut distinguer produit, accès, authentification, interaction et effet. Les contrôles compensatoires donnent du temps, pas une immunité.
Exposition protégée plutôt que tickets clos
Postes, serveurs, industrie et cloud ont propriétaires et cycles différents. Scanners doublonnent ou associent mal, faisant perdre du temps.
Des anneaux testent des systèmes représentatifs, avec accélération des risques élevés. Échec et attente doivent être séparés : réparation ou application n’est pas une fenêtre. Une exception nécessite responsable et expiration.
Un bon taux peut cacher un serveur ouvert ou poste privilégié. Rapports doivent séparer exploitation, Critical accessibles, actifs obsolètes, échecs et exceptions dépassées. Les moyennes cachent la traîne.
Prochains signaux : nouvelles attaques, code utilisable et fiabilité. Le code public ne prouve pas une campagne, mais baisse le seuil. Avis, KEV, scans et télémétrie modifient la vue du premier jour.
Windows n’est pas devenu 1 400 fois moins sûr, ni les autres défauts inoffensifs. La découverte dépasse le déploiement fiable. La preuve est une protection effective et des raisons documentées, avec surveillance, pour les retards.