Récapitulatif du Patch Tuesday d’octobre : plus de 1 400 failles Microsoft à combler, dont trois zéro jour

Microsoft a publié un nombre record de 1 407 CVE à brancher aujourd’hui lors du Patch Tuesday d’octobre, battant le record de 2020 de 1 261. La liste était si longue que sa publication a eu lieu plusieurs heures plus tard que l’heure habituelle de livraison à 13 heures, heure de l’Est, ce qui a quelque peu frustré les administrateurs.

Les bugs incluent trois vulnérabilités zero-day, dont l’une a été exploitée.

Le jour zéro exploité, et qui doit être traité immédiatement, est CVE-2026-96951, une faille de sécurité qui contourne les protections Mark of the Web (MotW) dans Windows Shell.

Il s’agit de la troisième faille de Windows Shell qui a été largement exploitée cette année, a noté Satnam Narang, ingénieur de recherche senior chez Tenable. Les autres sont CVE-2026-21510, qui est lié au groupe de menaces persistantes avancées APT28 (également connu sous le nom de Fancy Bear), et CVE-2026-32202, une vulnérabilité exploitée connue qui était un correctif pour un correctif incomplet pour CVE-2026-21510.

« Il y a eu 26 vulnérabilités Windows Shell corrigées entre 2026 et octobre », a déclaré Narang, « un chiffre stupéfiant par rapport aux années précédentes, avec seulement trois CVE Windows Shell en 2025 et un seul en 2024 et 2022 ».

Un autre jour zéro est une faille dans SharePoint (CVE-2026-102866) qui permet à des attaquants non authentifiés d’exploiter des failles de validation de jetons cryptographiques et de détourner des comptes d’utilisateurs ciblés.

Le troisième jour zéro est CVE-2026-108398, un chemin de recherche non fiable dans le framework .Net de Windows qui permet à un attaquant non authentifié de contourner l’application du contrôle des applications Windows Defender. Cela pourrait conduire à la possibilité d’exécuter des applications non autorisées sur les systèmes cibles.

Entre autres correctifs essentiels, les développeurs exécutant des instances autogérées de GitLab devraient rapidement corriger leurs serveurs pour combler une faille qui pourrait permettre à un utilisateur non authentifié d’exploiter du code arbitraire via une expression régulière spécialement conçue dans une configuration CI/CD. GitLab a résolu ce problème dans son instance hébergée.

« CVE-2026-97229 met en danger une partie essentielle de la chaîne d’approvisionnement logicielle », a commenté Gene Moody, Field CTO chez Action1. Traitez cette faille comme une urgence, a-t-il déclaré, et corrigez immédiatement les instances autogérées.

Bogues IBM critiques

IBM avertit qu’une vulnérabilité critique a été découverte dans ses systèmes d’exploitation IBM i versions 7.3, 7.4, 7.5 et 7.6 pour le matériel Power Systems. La faille CVE-2026-96119 avec un score CVSS de 9,9 permet à un attaquant authentifié à distance d’exécuter du code arbitraire en raison d’un nettoyage inapproprié des données dans l’interface utilisateur graphique (GUI) d’administration du serveur HTTP. IBM recommande fortement que la vulnérabilité soit corrigée immédiatement. Les utilisateurs de versions non prises en charge du système d’exploitation doivent effectuer une mise à niveau vers les versions prises en charge et corrigées.

Attaques contre les produits auto-hébergés Atlassian

Atlassian a signalé des tentatives d’exploitation qui justifient également l’application immédiate de correctifs et l’examen des journaux, ont déclaré des chercheurs de Nightwing. CVE-2026-21589 affecte huit produits auto-hébergés, dont Jira, Confluence et Bitbucket. Un attaquant non authentifié connaissant le nom et le chemin exacts du fichier peut lire des fichiers spécifiques à la racine Web de l’application ; les fichiers de configuration sensibles pourraient exposer des informations utiles pour une intrusion ultérieure.

Selon certaines informations, les tentatives d’exploitation ont commencé le 6 octobre, bien que les tentatives n’aient pas permis d’établir une compromission réussie avec le client. Corrigez chaque installation concernée, a conseillé Nightwing, y compris les nœuds de cluster et les miroirs applicables. Si l’application des correctifs est retardée, limitez l’accès externe et appliquez les mesures d’atténuation temporaires d’Atlassian ; une connexion normale ne bloque pas cette faille. Examinez les journaux d’accès et alternez les secrets pour lesquels une exposition est suspectée.

Atlassian Cloud est corrigé et ne nécessite aucune action de l’utilisateur.

Correctifs Microsoft

Les chercheurs de Nightwing ont attiré l’attention sur quatre mises à jour pour le serveur Exchange sur site, chacune corrigeant une vulnérabilité de haute gravité avec un score CVSS de 8,8. « Bien que chaque mise à jour ne traite qu’un seul CVE, le score CVSS de 8,8 signale un risque sérieux, impliquant probablement une élévation de privilèges ou un potentiel d’exploitation à distance », a déclaré Nicholas Carroll, responsable de la réponse aux cyberincidents de Nightwing. « Les administrateurs Exchange devraient donner la priorité aux tests et au déploiement de ces correctifs, compte tenu de l’historique des vulnérabilités Exchange activement ciblées dans la nature. »

Nightwing a également noté que Microsoft avait introduit de nouvelles classifications de cohortes de risques indiquant comment les équipes informatiques et de sécurité devraient prioriser les vulnérabilités.

Un lot « monstrueux » de correctifs Microsoft

Il y a 55 CVE vermifuges ce mois-ci, a prévenu Childs. Ceux-ci sont fortement concentrés sur des infrastructures critiques telles que le serveur DHCP (6), la passerelle de bureau à distance (3) et le serveur de stratégie réseau (4). Ils créent « un risque sans précédent de propagation autonome à l’échelle du réseau », a-t-il déclaré.

« Auparavant, des centaines de CVE dans une seule version constituaient l’exception », a commenté Childs. « Maintenant, c’est la base de référence. L’IA est-elle à blâmer ? En partie. Elle accélère la recherche de bugs des deux côtés de la barrière, de sorte que les fournisseurs trouvent (et corrigent) plus de failles, et les chercheurs les trouvent également plus rapidement. Mais l’IA ne crée pas ces bugs à partir de rien ; elle raccourcit simplement le temps entre une vulnérabilité existante et quelqu’un qui la remarque. »

Il a souligné que le volume des CVE n’est plus la véritable histoire. « Ce qui compte, c’est que la découverte évolue plus rapidement que l’exploitation, de sorte que les équipes qui trient uniquement en fonction du nombre de CVE plutôt que de l’exploitabilité brûlent des cycles sur les mauvais bogues », a-t-il déclaré. « Corrigez ce qui est prouvé, prioritaire et public, et traitez tout le reste comme la nouvelle norme de ce mois-ci. »

Jack Bicer, directeur de la recherche sur les vulnérabilités chez Action1, a attiré l’attention sur plusieurs vulnérabilités critiques qui présentent des risques substantiels pour les systèmes accessibles de l’extérieur et l’infrastructure de l’entreprise. Vulnérabilité d’exécution de code à distance du gestionnaire de files d’attente Windows Message Queuing (CVE-2026-100202), vulnérabilité d’exécution de code à distance du pilote d’imprimante PostScript Microsoft (CVE-2026-70147 et CVE-2026-70153) et vulnérabilité d’exécution de code à distance Microsoft QUIC (CVE-2026-105016 et CVE-2026-100219) affichent chacun un score CVSS de 9,8 et pourraient permettre aux attaquants d’exécuter du code malveillant à distance sans authentification ni interaction de l’utilisateur. Bien que l’exploitation active de ces vulnérabilités n’ait pas été confirmée, a-t-il déclaré, leur faible complexité d’attaque et leur potentiel de compromission grave du système en font des risques importants pour l’entreprise.

Alors qu’un commentateur a qualifié de « monstre » le nombre de vulnérabilités Microsoft répertoriées ce mois-ci, Tyler Reguly, directeur associé de la R&D en matière de sécurité chez Fortra, n’est pas d’accord : « J’ai soutenu que les chiffres (de vulnérabilité) n’avaient aucun sens. Le chiffre de ce mois-ci, 1 413, n’est pas différent. »

Il existe cependant des chiffres qui ont un sens, a-t-il souligné. « Par exemple, 26, c’est le nombre de CVE Microsoft répertoriées en 2026 dans le catalogue CISA KEV (Known Exploited Vulnerabilities). L’année dernière, ce nombre était de 30, et l’année précédente de 32. Cela signifie que moins de 1 % des vulnérabilités corrigées par Microsoft cette année sont connues pour être exploitées. C’est un chiffre important, mais 1 413 ne l’est certainement pas. »

Notes de sécurité SAP

Au total, SAP a publié 16 nouvelles notes de sécurité, quatre avis de sécurité GitHub et deux mises à jour de notes de sécurité précédemment publiées. L’une d’elles, une vulnérabilité de falsification de requêtes côté serveur OAuth2 dans SAP Cloud SDK pour Python, est classée 10 en termes de criticité. Cela affecte les applications SAP BTP (Business Technology Platform) multi-locataires. Un attaquant qui contrôle le paramètre peut rediriger les demandes de jetons OAuth2 vers un serveur contrôlé par l’attaquant, provoquant ainsi l’exfiltration des informations d’identification du client, a déclaré SAP.

La note de sécurité 3805589 (CVE-2026-89107, avec un score CVSS de 9,9) corrige une vulnérabilité d’injection de code dans SAP S/4HANA Manage Substitution/Validation. Il s’agit d’une application permettant aux utilisateurs d’afficher, de modifier et de créer des règles de substitution et de validation pour des contextes et événements commerciaux sélectionnés. Ces règles peuvent être utilisées dans les processus métier pour valider, dériver ou remplacer des valeurs au moment de la saisie pour les champs concernés.

Jonathan Stross, chef de produit senior pour la recherche et l’innovation en matière de cybersécurité chez Pathlock, a noté que pour les organisations utilisant ces fonctions pour les règles d’écriture de journal, la conséquence potentielle est une compromission totale du système qui traite ces règles. L’atténuation temporaire a également un coût commercial, car elle empêche les utilisateurs d’ajouter, de modifier ou de supprimer des règles via les applications SAP Fiori associées. Fiori est une interface utilisateur moderne qui remplace l’interface SAP traditionnelle.

Pour exploiter cette vulnérabilité, a déclaré Stross, un attaquant disposant de l’accès professionnel requis doit soumettre une définition de règle malveillante. La logique de traitement vulnérable traite cette entrée comme du code exécutable plutôt que de la limiter au langage de règles prévu. Le risque qui en résulte s’étend au-delà des modifications non autorisées apportées à une règle de substitution ou de validation individuelle. Aucune interaction de l’utilisateur n’est requise.

SAP Security Note 379711 (CVE-2026-89110, avec un score CVSS de 9,9) corrige une vulnérabilité de contrôle d’accès cassée dans SAP NetWeaver Visual Composer. Détecté par Onapsis Research Labs (ORL), le problème est que certaines fonctionnalités du portail de Visual Composer permettent à un attaquant peu privilégié d’invoquer des opérations internes sur un système distant préconfiguré. Une configuration de sécurité est disponible qui permet de définir une liste verte de services de données autorisés à appeler. Cependant, cette configuration n’est pas activée par défaut.

Le correctif modifie la configuration par défaut en activant les paramètres sécurisés. La note fournit un document FAQ supplémentaire et explique comment la configuration sécurisée peut être activée manuellement, avant d’appliquer le correctif permanent. Une exploitation réussie de cette vulnérabilité pourrait conduire à une compromission totale du système distant.

SAP Security Note 3788788 (CVE-2026-89108, avec un score CVSS de 9,1), corrige une vulnérabilité de contrôle d’autorisation manquante dans SAP Manufacturing Integration and Intelligence (Service de configuration). Onapsis a déclaré que, lorsqu’il est authentifié en tant qu’utilisateur administrateur SAP XMII avec un accès réseau à des points de terminaison spécifiques, un attaquant pourrait soumettre une demande spécialement conçue pour fournir un compte avec des privilèges administratifs sur le serveur d’applications Java sous-jacent. Ce compte peut être utilisé pour compromettre complètement le système.

Bulletins de sécurité Adobe

Adobe a publié 10 bulletins couvrant 141 CVE, a rapporté Chris Goettl, vice-président de la gestion des produits chez Ivanti. Quinze d’entre eux sont critiques, bien qu’Adobe n’ait connaissance d’aucune exploitation d’aucun d’entre eux. Les administrateurs devraient commencer par les deux produits présentant les niveaux de gravité les plus critiques, a-t-il déclaré :

ColdFusion (APSB26-144) : 10 failles critiques, dont trois bogues non authentifiés et accessibles par le réseau notés 9,8 ou plus (CVE-2026-105899 ; CVE-2026-106622 ; et CVE-2026-106624), dont aucun n’a encore été ajouté à la base de données de vulnérabilités du NIST. Les utilisateurs doivent mettre à jour vers ColdFusion 2025.0.14 ou 2023.0.26.

Commerce (APSB26-153) : cinq failles critiques, dont CVE-2026-103849 et CVE-2026-92909, dont aucune ne nécessite une authentification pour être exploitée. Les clients doivent également appliquer le correctif pour CVE-2026-75650 de la mise à jour APSB26-146 du 7 septembre.