Ep.779 – Patch Tuesday d’octobre 2026 du mardi 13 octobre 2026

📈 Le 13 octobre 2026, Microsoft publie 1409 CVE dans l’export par produit du Security Update Guide : 672 élévations de privilèges, 315 exécutions de code à distance, 251 divulgations d’informations, 72 dénis de service, 40 contournements de fonction de sécurité, 29 altérations et 27 usurpations. Windows en porte 1114, soit 79 %. Une faille est exploitée, la CVE-2026-96951, et deux sont divulguées publiquement, la CVE-2026-108398 et la CVE-2026-92707. Gravité critique : 79 failles dans les fiches de l’éditeur, 70 dans l’export par produit, où neuf failles d’Office figurent en gravité importante ; l’éditeur recense 1421 entrées publiées le même jour dans son guide en ligne.

🐛 CVE-2026-96951, contournement de fonction de sécurité dans le shell de Windows, CVSS 8,8, CWE-77, injection de commande : exploitée selon Microsoft, avec un exploit fonctionnel selon le vecteur CVSS, elle contourne le Mark of the Web par un fichier envoyé par email ou par messagerie instantanée, technique T1553.005. Gravité importante, aucun contournement publié. Correctifs : KB5126836 (Windows Server 2012 R2), KB5126868 (Windows 10 1607 et Server 2016), KB5126651 (Windows 10 1809 et Server 2019), KB5126657 (Windows 10 21H2 et 22H2), KB5126655 (Server 2022), KB5126653 (Windows 11 23H2), KB5127648 (Windows 11 24H2, 25H2 et 26H2), KB5127646 (Windows 11 26H1) et KB5126646 (Server 2025). Outlook.com figure aussi parmi les produits concernés.

🪟 Hyper-V : CVE-2026-102214, CVSS 8,8, CWE-416, use after free, évasion d’un invité peu privilégié vers l’hôte, technique T1611, et CVE-2026-105733, CWE-1419, en virtualisation imbriquée. Autres failles critiques : CVE-2026-108471 (enclave VBS, CWE-822, exécution de code dans l’enclave), CVE-2026-108130, CVE-2026-102211, CVE-2026-96914 et CVE-2026-88074 (enclaves VBS), CVE-2026-96913 (noyau, privilèges SYSTEM, technique T1068), CVE-2026-88073 (noyau graphique), CVE-2026-83917 (ALPC) et CVE-2026-108399 (Hyper-V). Aucune exploitation, exploitation jugée moins probable, correctif dans les mises à jour cumulatives d’octobre.

🖼️ Composant PDF de Windows : CVE-2026-108457, CVSS 8,1, CWE-787, écriture hors limites, exécution de code sans interaction par une pièce jointe traitée automatiquement. Autres failles critiques : CVE-2026-97814 et CVE-2026-102225 (mise en forme du texte), CVE-2026-83934 (GDI+), CVE-2026-100215 (composant graphique), CVE-2026-96952 (Media Foundation), CVE-2026-100220 (décodeur vidéo), CVE-2026-21413, CVE-2026-96202 et CVE-2026-96943 (Raw Image Extension, versions 2.4.36.0 et 2.5.35.0), CVE-2026-108400 (extensions HEVC, versions 2.4.85.0, 2.4.86.0 et 2.4.87.0). Pour la CVE-2026-21413, CVSS 9,8, dont l’identifiant vient de Cisco Talos, la génération de la miniature d’une image RAW piégée suffit.

🖥️ Active Directory Domain Services : CVE-2026-70229, CVSS 8,1, CWE-863, autorisation incorrecte, exécution de code à distance sans authentification, exploitation jugée plus probable. Autres failles critiques : CVE-2026-96934 (serveur DHCP, CVSS 9,8), CVE-2026-88117, CVE-2026-88119, CVE-2026-88120 et CVE-2026-88171 (serveur DHCP), CVE-2026-70250 (client DHCP), CVE-2026-100202 (MSMQ, CVSS 9,8) et CVE-2026-108460 (MSMQ), CVE-2026-105016 et CVE-2026-100219 (QUIC, CVSS 9,8), CVE-2026-70187 (passerelle RDS), CVE-2026-88174 (WDS), CVE-2026-69802 (NDES), CVE-2026-108131 et CVE-2026-96222 (AD FS), CVE-2026-70153, CVE-2026-70147 et CVE-2026-108467 (pilote d’impression PostScript), CVE-2026-69789 (RMCAST). Windows Server 2012 (KB5126835) et Windows Server 2012 R2 (KB5126836) atteignent le terme de leur troisième année d’ESU le 14 octobre 2026.

📄 Office : 138 failles, dont 100 exécutions de code à distance et 25 critiques dans l’export par produit. Failles déclenchées dans le volet de lecture ou de visualisation : CVE-2026-70242 (Outlook, CVSS 9,8, CWE-122, débordement de tampon dans le tas, technique T1203), CVE-2026-97749, CVE-2026-97016, CVE-2026-88156 et CVE-2026-70291 (Outlook, CVSS 9,8), CVE-2026-70300 (Word, document WordPerfect, CVSS 9,8) et CVE-2026-88178 (PowerPoint, CVSS 9,8). Versions corrigées : Office LTSC 2021 en 16.0.14334.20974, Office LTSC 2024 en 16.0.17932.21056 ; pour plusieurs failles, les correctifs d’Office LTSC pour Mac 2021 et 2024 ne sont pas encore disponibles.

📧 Exchange Server : CVE-2026-70571, CVSS 8,1, CWE-121, débordement de tampon dans la pile, exécution de code par un email piégé sans authentification, technique T1190, exploitation jugée plus probable. Autres failles : CVE-2026-70279 (CVSS 9,3, CWE-79, lien piégé, exploitation jugée plus probable), CVE-2026-77910 (empoisonnement de cache, complément malveillant), CVE-2026-87692 et CVE-2026-87695 (élévation locale vers SYSTEM), CVE-2026-87696 (élévation de privilèges) et CVE-2026-96940, publiée le 2 octobre (accès aux boîtes d’autres utilisateurs, Exchange Online corrigé côté service). Mises à jour KB5128895 à KB5128898 selon la version, de Exchange 2016 CU23 à Exchange Server Subscription Edition. Skype for Business Server : CVE-2026-70297, CVE-2026-83746 et CVE-2026-85873, corrigées par KB5132779 (2015 CU13), KB5131693 (2019 CU8) et KB5131692 (Subscription Edition CU1).

📁 SharePoint Server : CVE-2026-102866, CVSS 8,1, CWE-347, vérification incorrecte d’une signature cryptographique, ouverture de session sous l’identité d’un autre utilisateur à partir d’un jeton de preuve modifié. La CVE-2026-69943, CWE-22, traversée de répertoire, concerne aussi SharePoint 2016 et 2019, listés sans article de correctif ; leur support étendu a pris fin en juillet 2026 selon les pages de cycle de vie de Microsoft. Correctifs : KB5002927 pour SharePoint Server Subscription Edition (16.0.20326.20190) et KB5002928 pour Office Online Server (16.0.10417.20228).

🗄️ SQL Server : 22 failles, dont la CVE-2026-65674, CVSS 8,8, CWE-502, désérialisation de données non fiables, exécution de code par un utilisateur authentifié. Paquets : KB5126967 (2025 CU9+GDR, 17.0.5015.4), KB5128492 (2025 RTM+GDR, 17.0.1145.4), KB5126934 (2022 CU27+GDR1, 16.0.4305.5), KB5128493 (2022 RTM+GDR, 16.0.1210.3), KB5128494 (2019 CU32+GDR, 15.0.4500.2), KB5128495 (2019 RTM+GDR, 15.0.2200.2), KB5128496 (2017 CU31+GDR, 14.0.3560.2) et KB5128497 (2017 RTM+GDR, 14.0.2140.2). Microsoft renvoie à l’article 321185 pour identifier la version installée.

💻 .NET Framework : CVE-2026-108398, CVSS 8,8, CWE-426, chemin de recherche non fiable, divulguée publiquement, contournement de WDAC par un assembly chargé dans un processus protégé, technique T1574. Autre faille divulguée : CVE-2026-92707 (MessagePack 3.1.9, déni de service, CWE-1325, gravité modérée). Postes de développeurs : CVE-2026-102235 (Visual Studio Code 1.141.1), CVE-2026-102870 (débogage Blazor WebAssembly) et CVE-2026-96251 (PowerShell 7.4.21, 7.5.12 et 7.6.7). Versions corrigées : .NET 8.0.32, 9.0.21, 10.0.14 et 11.0.0-rc.2.26504.105, Visual Studio 2022 17.14.42 et Visual Studio 2026 18.10.4.

⚙️ Configuration Manager : CVE-2026-70049, CVSS 8,0, CWE-89, injection SQL, contrôle administratif de l’environnement par un attaquant qui relaie l’identité d’un point de gestion, vecteur CVSS au niveau PoC, sans divulgation ni exploitation. La CVE-2026-88075, CWE-89, donne les privilèges SYSTEM depuis le réseau. Versions corrigées : 2503 en 5.00.9135.1040, 2509 en 5.00.9141.1039 et 2603 en 5.00.9146.1026. Autres correctifs : CVE-2026-70264 (Defender), CVE-2026-105726 (Defender for Endpoint pour Windows), CVE-2026-105725 (application Sécurité Windows), CVE-2026-100205 et CVE-2026-105729 (Process Monitor v4.04), CVE-2026-105732 (PipeList 1.03).

☁️ Linux : CVE-2026-62840, pilote réseau MANA du noyau Linux, CVSS 7,0, gravité critique, CWE-367, race condition entre vérification et utilisation, élévation de privilèges locale ; correctif accepté en amont, à appliquer selon les avis de chaque distribution. Defender for Endpoint pour Linux : CVE-2026-102204, CWE-59. Azure : CVE-2026-85922 (bibliothèques Key Vault, CWE-1390, jeton envoyé à un hôte non fiable), CVE-2026-96204 (agent Azure Arc 1.68, CWE-918, SSRF) et CVE-2026-100207 (CycleCloud 8.9.2, CWE-78). Le 8 octobre, Microsoft a publié sept failles critiques de services en ligne, dont la CVE-2026-94510 (Bookings), la CVE-2026-88131 (Dataverse) et la CVE-2026-77900 (App Service), déjà corrigées sans action des clients.

Sources :

• Blog Marc Frédéric Gomez : https://blog.marcfredericgomez.fr/patch-tuesday-octobre-2026-1413-cve/ 
• Security Update Guide, mises à jour de sécurité du 13 octobre 2026, export par produit. Microsoft MSRC : https://msrc.microsoft.com/update-guide
• Windows Shell Security Feature Bypass Vulnerability, CVE-2026-96951. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96951
• Windows Hyper-V Remote Code Execution Vulnerability, CVE-2026-102214. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-102214
• Microsoft Windows PDF Remote Code Execution Vulnerability, CVE-2026-108457. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108457
• Windows Active Directory Domain Services Remote Code Execution Vulnerability, CVE-2026-70229. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70229
• Windows Server 2012 R2, Lifecycle. Microsoft Learn : https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2012-r2
• Windows Server 2012, Lifecycle. Microsoft Learn : https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2012
• Microsoft Office Outlook Remote Code Execution Vulnerability, CVE-2026-70242. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70242
• Microsoft Exchange Server Remote Code Execution Vulnerability, CVE-2026-70571. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70571
• Microsoft Office SharePoint Elevation of Privilege Vulnerability, CVE-2026-102866. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-102866
• SharePoint Server 2019, Lifecycle. Microsoft Learn : https://learn.microsoft.com/en-us/lifecycle/products/sharepoint-server-2019
• SharePoint Server 2016, Lifecycle. Microsoft Learn : https://learn.microsoft.com/en-us/lifecycle/products/sharepoint-server-2016
• Microsoft SQL Server Remote Code Execution Vulnerability, CVE-2026-65674. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-65674
• .NET Framework Security Feature Bypass Vulnerability, CVE-2026-108398. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108398
• Microsoft Configuration Manager Elevation of Privilege Vulnerability, CVE-2026-70049. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70049
• Linux Kernel Elevation of Privilege Vulnerability, CVE-2026-62840. Microsoft MSRC : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-62840

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #Microsoft #PatchTuesday #Windows #ZeroDay #MarkOfTheWeb #HyperV #VBS #ActiveDirectory #DHCP #MSMQ #QUIC #Office #Outlook #Word #Exchange #SharePoint #SQLServer #DotNet #WDAC #VisualStudio #PowerShell #ConfigMgr #Linux #Azure #KeyVault #MITREATTACK #CVE-2026-96951 #CVE-2026-102214 #CVE-2026-108457 #CVE-2026-70229 #CVE-2026-70242 #CVE-2026-70571 #CVE-2026-102866 #CVE-2026-65674 #CVE-2026-108398 #CVE-2026-70049 #CVE-2026-62840 #RadioCSIRT