Correctifs Microsoft d’octobre 2026 : faille Windows Shell CVE-2026-96951 exploitée, Exchange et Office à mettre à jour

La réponse courte : les correctifs Microsoft publiés le 13 octobre 2026 corrigent CVE-2026-96951, une faille de Windows Shell que Microsoft signale comme exploitée. Elle permet de contourner la protection Mark of the Web, l’avertissement qui accompagne normalement un fichier venu d’internet. La CISA l’a ajoutée le jour même à son catalogue des vulnérabilités exploitées, et le maCERT de la DGSSI demande d’en prioriser la correction. Toute entreprise doit installer la mise à jour cumulative d’octobre sur l’ensemble de ses postes et serveurs Windows, puis traiter Exchange, Outlook et Office, qui reçoivent ce mois-ci plusieurs correctifs critiques.

Dans les PME que nous accompagnons au Maroc, les postes Windows sont la norme, et les équipes reçoivent chaque jour des pièces jointes de clients, de fournisseurs et d’administrations. Une faille qui retire l’avertissement de sécurité sur un fichier piégé touche donc directement le quotidien. Cette alerte rassemble ce que disent Microsoft, la CISA et le maCERT, et les contrôles à faire.

Ce qui est touché

CVE-2026-96951 (Windows Shell, contournement de fonction de sécurité) : selon Microsoft, une injection de commande dans Windows Shell permet à un attaquant non authentifié de contourner une fonction de sécurité à travers le réseau. Le scénario décrit par l’éditeur passe par un fichier piégé envoyé par e-mail ou messagerie instantanée, ou par un lien vers un site contrôlé par l’attaquant : l’utilisateur doit être convaincu d’ouvrir le fichier ou de cliquer. La faille lui permet alors d’échapper aux défenses Mark of the Web.

Toutes les versions de Windows encore listées par Microsoft sont concernées, postes comme serveurs. Le 26 octobre, Microsoft a ajouté Microsoft Edge au tableau des produits à mettre à jour.

Produit	Versions touchées	Version corrigée
Windows 11 24H2 / 25H2 / 26H2	builds antérieurs à 26100.9711 / 26200.9711 / 26300.9711	KB5127648
Windows 11 26H1	builds antérieurs à 28000.3231	KB5127646
Windows 11 23H2	builds antérieurs à 22631.7652	KB5126653
Windows 10 21H2 / 22H2	builds antérieurs à 19044.7807 / 19045.7807	KB5126657
Windows Server 2025	builds antérieurs à 26100.33650	KB5126646
Windows Server 2022	builds antérieurs à 20348.5761	KB5126655
Windows Server 2019 et Windows 10 1809	builds antérieurs à 17763.9376	KB5126651
Windows Server 2016 et Windows 10 1607	builds antérieurs à 14393.9612	KB5126868
Windows Server 2012 R2	builds antérieurs à 9600.23470	KB5126836 (Monthly Rollup)
Microsoft Edge	versions antérieures à 154.0.4258.62	154.0.4258.62

Source : guide des mises à jour de sécurité Microsoft (MSRC), fiche CVE-2026-96951, révision du 26 octobre 2026.

Gravité et exploitation

• Gravité publiée : Microsoft classe la faille « Important » avec un score CVSS 3.1 de 8.8, repris par la NVD.
• Exploitation : Microsoft l’indique « Exploitation Detected ». La CISA l’a ajoutée à son catalogue KEV le 13 octobre 2026, avec une échéance au 16 octobre pour les agences fédérales américaines et une demande d’analyse forensique. Le maCERT écrit dans son bulletin 69481410/26 du 14 octobre que cette vulnérabilité fait l’objet d’une exploitation active.
• Mesure de contournement : la fiche Microsoft n’en propose aucune. Seule la mise à jour protège.

Les autres correctifs à ne pas oublier ce mois-ci

Le lot d’octobre est d’un volume record selon la presse spécialisée. Plusieurs failles critiques, non signalées comme exploitées, concernent directement les PME :

• Exchange Server, CVE-2026-70571 : exécution de code à distance par un e-mail piégé, sans authentification ni action de l’utilisateur, classée critique et « Exploitation More Likely » par Microsoft. Mises à jour publiées pour Exchange Server Subscription Edition (KB5128895), 2019 CU15 (KB5128896), 2019 CU14 (KB5128897) et 2016 CU23 (KB5128898). Le maCERT y consacre son bulletin 69501410/26.
• Outlook, CVE-2026-70242 : exécution de code par un message simplement affiché dans le volet de lecture, notée 9.8 par Microsoft. Corrigée dans Office LTSC 2024 (build 16.0.17932.21056), LTSC 2021 (16.0.14334.20974) et Microsoft 365 Apps.
• PowerPoint, CVE-2026-88178 : exécution de code par une présentation piégée traitée par un service Office Online, sans authentification, notée 9.8.
• SharePoint Server Subscription Edition, CVE-2026-102866 : élévation de privilèges par un jeton modifié, corrigée par KB5002927.

Le maCERT a regroupé les failles Office, SharePoint et Office Online Server dans son bulletin 69471410/26, de niveau de risque critique.

Les vérifications à faire

1. Contrôler le build réel de chaque machine : avec winver ou dans l’inventaire de votre outil de gestion, comparer le numéro de build au tableau ci-dessus. Une mise à jour téléchargée mais en attente de redémarrage ne protège pas.
2. Redémarrer les serveurs : planifier une fenêtre de maintenance pour les contrôleurs de domaine, serveurs de fichiers et serveurs d’applications, souvent repoussés.
3. Vérifier les postes nomades : les portables qui ne reviennent pas au bureau ne reçoivent les mises à jour que si une solution de gestion comme Microsoft Intune est en place.
4. Mettre à jour Microsoft Edge et Office : contrôler la version d’Edge et le canal de mise à jour de Microsoft 365 Apps ; pour Office LTSC, vérifier le build installé.
5. Traiter Exchange sur site en priorité : installer la mise à jour correspondant à votre CU, puis vérifier le build affiché par le serveur.
6. Renforcer le filtrage des pièces jointes : en attendant que tout le parc soit à jour, bloquer à la passerelle de messagerie les types de fichiers inutiles à votre activité et rappeler aux équipes de se méfier des pièces jointes inattendues. Notre article sur les arnaques par phishing qui visent les PME au Maroc donne des exemples concrets.
7. Chercher des traces : ouvertures de fichiers suspects, processus inhabituels lancés depuis l’Explorateur, alertes de votre antivirus ou de votre EDR depuis le 13 octobre.

Notre lecture pour les entreprises au Maroc

La faille exploitée ce mois-ci ne s’attaque pas à un serveur exposé : elle vise l’utilisateur et sa boîte de réception. Les deux situations les plus risquées que nous rencontrons sont le parc sans gestion centralisée, où personne ne sait quels postes ont réellement redémarré, et le serveur Exchange sur site maintenu « quand on a le temps ». Les 10 réglages pour sécuriser Microsoft 365 réduisent la surface d’attaque côté messagerie, et un EDR managé avec supervision 24/7 permet de repérer un comportement anormal même quand l’avertissement de sécurité a été contourné. Pour les organismes concernés, la loi 05-20 et les exigences de la DGSSI imposent par ailleurs de traiter ces bulletins.

Comment nous pouvons vous aider

Partenaire Microsoft, nous déployons les correctifs mensuels sur vos postes et serveurs, vérifions les builds réellement installés, mettons à jour Exchange et Office, et assurons la supervision 24/7 avec une prise en charge des incidents critiques en moins de 15 minutes. Retrouvez notre approche de la cybersécurité des entreprises au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.

Sources : guide des mises à jour Microsoft, CVE-2026-96951, CVE-2026-70571, CVE-2026-70242, catalogue CISA KEV, NVD CVE-2026-96951, bulletin maCERT Windows, bulletin maCERT Exchange, bulletin maCERT Office.