Windows : une faille exploitée contourne l’alerte de fichier

Microsoft a diffusé le 13 octobre 2026 sa mise à jour mensuelle de sécurité. Elle corrige plus de 1 400 vulnérabilités — le décompte varie entre 1 407 et 1 414 selon les sources, qui ne retiennent pas le même périmètre de produits. C’est le plus gros volume mensuel publié par l’éditeur à ce jour. Une seule de ces failles est déjà exploitée par des attaquants, et c’est celle qui mérite votre attention : la CVE-2026-96951, dans l’explorateur de fichiers de Windows, notée 8.8 sur 10.

L’avertissement qui disparaît

Quand un fichier arrive sur un poste depuis Internet — pièce jointe, téléchargement — Windows y pose une marque invisible appelée Mark of the Web. C’est cette marque qui déclenche le bandeau jaune d’Office, celui qui demande d’activer la modification, et les messages d’avertissement avant ouverture. La faille corrigée permet à un attaquant de préparer un fichier qui arrive sans cette marque. Le fichier s’ouvre alors comme s’il venait du disque dur de l’entreprise : aucun bandeau, aucune question. Le garde-fou sur lequel vos équipes ont appris à s’appuyer ne se déclenche plus.

L’attaque réclame toujours un geste de l’utilisateur, ouvrir la pièce jointe ou cliquer sur le lien. Elle concerne Windows 10, Windows 11 des versions 23H2 à 26H2, et Windows Server de 2012 R2 à 2025 — autrement dit, la quasi-totalité d’un parc de PME. L’agence américaine de cybersécurité a inscrit la faille à son catalogue des vulnérabilités exploitées le jour même et imposé aux administrations fédérales de corriger avant le 16 octobre. Microsoft n’a pas précisé comment les attaques observées se déroulent.

Une seconde faille à surveiller sur les serveurs

Si vous disposez d’un contrôleur de domaine sur site, une autre vulnérabilité de cette même salve mérite un regard : la CVE-2026-70229, dans les services de domaine Active Directory, classée critique. Elle permet l’exécution de code à distance sans authentification et sans action de l’utilisateur, par l’envoi d’un simple paquet réseau. Microsoft nuance le risque : l’exploitation n’est pas fiable dans tous les environnements et dépend de la configuration. Cela reste une faille à traiter en priorité après la première, parce qu’un contrôleur de domaine compromis donne accès à l’ensemble du réseau.

Chez WizCo-IT, les mises à jour mensuelles sont déployées sur les parcs infogérés dans les jours qui suivent leur publication, avec un contrôle que tous les postes et serveurs les ont réellement reçues — c’est souvent là que ça coince, un portable resté chez un commercial ou un serveur qu’on redémarre une fois par trimestre. Si vous gérez votre parc en interne, deux vérifications suffisent cette semaine : les postes sont bien à jour d’octobre, et les contrôleurs de domaine aussi. Et un rappel utile à faire passer à vos équipes : l’absence de bandeau d’avertissement ne garantit rien sur la provenance d’un fichier.