Fiche sécurité – octobre 2026. Le 13 octobre 2026 (Patch Tuesday), Microsoft a corrigé la faille CVE-2026-96951 dans le Windows Shell, déjà exploitée dans des attaques réelles (« zero-day ») : elle permet de contourner la protection Mark of the Web (MotW). Elle concerne tous les Windows supportés, postes comme serveurs, donc exactement ce que l'on administre en BTS SIO (SISR comme SLAM). Cette fiche explique ce qu'est le MotW, ce que la faille permet, comment vérifier et corriger.
1. La faille en bref
- Identifiant : CVE-2026-96951
- Composant : Windows Shell (l'interface et l'explorateur de fichiers de Windows)
- Nature : mauvaise neutralisation d'éléments spéciaux dans une commande (injection de commande) qui conduit à un contournement d'une fonction de sécurité
- Gravité : CVSS 8.8 (élevée)
- Authentification : aucune, mais il faut une action de l'utilisateur : ouvrir un fichier piégé reçu par courriel, messagerie instantanée ou téléchargé depuis un site compromis
- Versions concernées : d'après les analyses publiées, tous les Windows 10 et 11 supportés et Windows Server 2012 R2 à 2025
- Exploitation : confirmée. La CISA l'a ajoutée à son catalogue KEV (Known Exploited Vulnerabilities) le 13 octobre 2026, avec une échéance de correction au 16 octobre pour les agences fédérales américaines
- Correctif : inclus dans les mises à jour de sécurité d'octobre 2026
2. Rappel : à quoi sert le Mark of the Web ?
Quand un fichier vient d'Internet (téléchargement, pièce jointe), Windows lui ajoute une petite marque, stockée dans un flux de données alternatif NTFS nommé Zone.Identifier. C'est le Mark of the Web. Beaucoup de défenses s'appuient dessus :
- l'avertissement SmartScreen (« Windows a protégé votre ordinateur ») ;
- le mode protégé d'Office et le blocage des macros des fichiers téléchargés ;
- les invites de Smart App Control.
On peut voir cette marque sur un fichier téléchargé :
Get-Content -Path .\fichier.zip -Stream Zone.Identifier
3. Que permet la faille ?
Un attaquant fabrique un fichier qui, une fois ouvert, n'a pas sa marque MotW. Windows le traite alors comme un fichier local de confiance : pas de SmartScreen, pas de mode protégé, pas de blocage de macros. La faille ne donne pas à elle seule l'exécution de code : c'est un premier maillon qui désactive les garde-fous, avant l'exécution du vrai programme malveillant. C'est pour cela qu'elle est utile aux attaquants et dangereuse malgré un score « seulement » de 8.8.
4. Suis-je concerné ?
Tout Windows non mis à jour avec les correctifs d'octobre 2026 est concerné. Pour vérifier le niveau de correctifs d'une machine :
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5 winver
Dans un parc géré (WSUS, Configuration Manager, Intune…), on contrôle dans la console quelles machines n'ont pas reçu la mise à jour cumulative d'octobre.
5. Comment corriger
- Installer la mise à jour cumulative d'octobre 2026 sur les postes et sur les serveurs : Windows Update, WSUS ou le catalogue Microsoft Update. Il faut ensuite redémarrer la machine ;
- donner la priorité aux postes qui ouvrent le plus de fichiers venant de l'extérieur : service commercial, RH, comptabilité, support ;
- en complément (défense en profondeur, sans remplacer le correctif) : filtrer ou mettre en quarantaine les pièces jointes à risque sur la messagerie, bloquer les macros Office venant d'Internet par GPO, activer les règles de réduction de la surface d'attaque (ASR) de Microsoft Defender, et sensibiliser les utilisateurs à ne pas ouvrir un fichier inattendu.
Je n'ai pas repris ici de numéro de KB : il change selon la version de Windows. On le trouve dans le guide des mises à jour de sécurité de Microsoft, à la page de la CVE.
6. Vérifier après correction
Get-HotFixmontre une mise à jour installée à la date d'octobre 2026 ;- le parc est conforme dans la console WSUS / Intune ;
- les serveurs ont bien redémarré après installation.
7. Et sur mon infrastructure ?
Mon VPS n'utilise aucun Windows : il fait tourner des conteneurs LXC Debian et Alpine, donc il n'est pas concerné par cette CVE. Elle me concerne en revanche comme futur technicien ou administrateur : lors de mon stage, j'ai travaillé sur le déploiement de postes Windows et la configuration de serveurs Windows (voir la catégorie B.1 Stage). Dans ce contexte, une bonne gestion des mises à jour (WSUS ou équivalent) est la protection principale contre ce type de faille.
Sources
Informations tirées d'articles de presse spécialisée et d'éditeurs de sécurité. Pour les numéros de KB et les versions exactes, se référer à l'avis officiel de Microsoft (MSRC).