Ce mardi 13 octobre 2026, Microsoft a déployé son traditionnel « Patch Tuesday ». Cette fois, la mise à jour corrige un total de 1 411 failles de sécurité, dans Windows, Office et les services cloud de l’éditeur. C’est un record absolu. C’est déjà la troisième fois cette année que Microsoft pulvérise son propre record. Le mois dernier, l’éditeur avait déjà publié près de 1 000 correctifs, soit environ dix fois le nombre de failles dénichées dans ses produits. Sur l’année, Microsoft a désormais « franchi la barre des 4 000 failles », souligne Satnam Narang, chercheur chez Tenable. À titre de comparaison, le précédent record annuel de Microsoft, qui remonte à 2020, était de 1 260 failles corrigées en un an. En d’autres termes, Microsoft corrige désormais autant de failles en un mois qu’en un an.
« Le Patch Tuesday 2026 continue de marquer l’histoire. Non seulement le record du nombre total de correctifs publiés en un mois a été battu à trois reprises cette année, mais ce mois-ci, le précédent record établi le mois dernier (964) a été largement dépassé », explique Satnam Narang.
Pour débusquer des failles dans le code de Windows, Microsoft se sert désormais de l’IA. De grands modèles de langage aident à présent les chercheurs à analyser du code informatique, ce qui leur fait gagner énormément de temps. Microsoft n’est pas un cas isolé. Claude Mythos, l’IA d’Anthropic taillée pour la cybersécurité, a ainsi débusqué au moins 129 000 failles de sécurité en quelques mois. De son côté, Google a dû suspendre son programme de récompenses pour les failles open source, submergé par les rapports générés par l’IA. Même son de cloche du côté de Linux, qui se dit noyé sous les découvertes de l’IA.
Une faille déjà exploitée par des pirates
Parmi cette montagne de correctifs, une faille a déjà été exploitée par des pirates. La vulnérabilité se trouve dans Windows Shell, l’interface qui gère les fichiers et les fenêtres. Elle touche Windows 10, Windows 11 ainsi que certaines versions de Windows Server. Concrètement, elle permet de contourner le « Mark of the Web », un mécanisme de sécurité du système d’exploitation. Celui-ci est programmé pour afficher un avertissement lorsque l’utilisateur s’apprête à ouvrir un fichier en provenance d’Internet. De facto, tous les programmes de l’ordinateur vont traiter le fichier avec prudence. En le désactivant, un attaquant peut pousser une victime à ouvrir un fichier piégé sans s’en rendre compte.
Deux autres failles corrigées par Microsoft ont été rendues publiques avant la sortie du correctif, mais rien n’indique que des pirates aient pu s’en servir dans des cyberattaques. Au total, Microsoft a corrigé 70 failles « critiques », dont 57 brèches qui permettent d’exécuter du code à distance sur un ordinateur.
À lire aussi : Une double authentification inutile : l’outil de piratage Kali365 fait des ravages sur les comptes Microsoft
Les entreprises sous pression
Ce déluge de correctifs n’est pas sans conséquence sur les entreprises. Avant d’installer un correctif sur tous leurs ordinateurs, celles-ci ont l’habitude de les tester sur quelques machines. Avec plus de 1 400 failles à traiter tous les mois, l’opération a pris énormément d’ampleur, et les administrateurs sont débordés. Pour aider ceux-ci, Microsoft teste un nouveau système de « cohortes de risque ». Les failles sont désormais regroupées en 15 grandes familles, comme le stockage de Windows, Office ou le noyau du système, afin d’être évaluées par lots.
Pour chaque faille, un analyste vérifie généralement sa gravité, les produits touchés, les conditions d’attaque et si elle est déjà exploitée. Avec plus de 1 000 failles en un mois, il refait souvent les mêmes vérifications, ce qui peut prendre énormément de temps. Microsoft regroupe donc les failles selon les évaluations à réaliser, ce qui évite aux équipes informatiques de refaire les mêmes vérifications. L’éditeur prévient toutefois que la méthode reste expérimentale pour le moment.
À lire aussi : Microsoft Defender : un ancien employé dévoile une faille qui bloque les mises à jour de l’antivirus Windows
Pour mettre votre PC à l’abri, installez dès maintenant la mise à jour de sécurité d’avril 2026. Ouvrez les Paramètres de Windows, allez dans Windows Update, puis cliquez sur « Rechercher des mises à jour ». Windows télécharge et installe le correctif tout seul. Il ne reste plus qu’à redémarrer l’ordinateur une fois. Attention, certaines versions ne sont plus prises en charge. Le correctif d’octobre est en effet le dernier prévu pour Windows 11 24H2. Si vous utilisez encore cette version, il est temps de passer à une édition plus récente de Windows 11 pour maintenir votre PC en sécurité.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
