Patch Tuesday Octobre 2026 – 1413 CVE !!!

Le 13 octobre 2026, la note de publication du Security Update Guide, tenue par le MSRC (1), annonce 1 413 CVE (2) corrigées par Microsoft dans la publication d’octobre. S’y ajoute la republication d’une CVE attribuée par Cisco Talos, la CVE-2026-21413, qui touche Raw Image Extension. Le total précédent le plus élevé, 973 CVE en septembre 2026, avait été présenté comme un record par Help Net Security.

La note de publication répartit les CVE par famille de produits, avec le nombre de mises à jour distinctes et leur mode de distribution. La ligne de total du tableau affiche 1 414 CVE ; la somme des lignes donne 1 413.

Fig. 1. Répartition des CVE d’octobre 2026 par famille de produits, telle que publiée dans la note de publication du MSRC. Libellés de famille repris de la note.

Les fiches des 1 407 CVE attribuées par Microsoft et publiées le 13 octobre donnent 78 CVE critiques et 1 329 importantes. Par type d’impact, on compte 673 élévations de privilèges, 315 exécutions de code à distance, 252 divulgations d’information, 71 dénis de service, 40 contournements de fonction de sécurité, 29 altérations et 27 usurpations d’identité.

Une seule CVE est signalée comme exploitée, la CVE-2026-96951, dans Windows Shell. Une CVE est signalée comme divulguée avant publication dans la note, la CVE-2026-108398, dans .NET Framework. La fiche de la CVE-2026-92707, attribuée par GitHub, porte aussi la mention de divulgation publique.

La CVE-2026-96951 touche Windows Shell. Sa fiche la classe en contournement de fonction de sécurité, de gravité importante, avec un score CVSS (6) 3.1 de base de 8,8 et un score temporel de 8,2, pour le vecteur AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C. La métrique temporelle E:F correspond à un code d’exploitation fonctionnel. La faiblesse est rattachée au référentiel CWE (7), entrée CWE-77, neutralisation incorrecte d’éléments spéciaux dans une commande. Le tableau d’exploitabilité indique une exploitation détectée et aucune divulgation publique préalable.

Selon la foire aux questions de la fiche, l’exploitation permet d’échapper aux défenses Mark of the Web, le marquage appliqué par Windows aux fichiers issus d’Internet. Le scénario décrit passe par un fichier spécialement conçu, envoyé par courrier électronique ou par messagerie instantanée. L’attaquant ne peut pas forcer l’ouverture : il doit amener l’utilisateur à agir, par exemple à cliquer sur un lien ou à ouvrir une pièce jointe.

La CISA a ajouté la CVE au catalogue KEV le 13 octobre 2026, avec une échéance de correction fixée au 16 octobre 2026 pour les agences fédérales américaines. L’entrée renvoie à la directive BOD (8) 26-04 et porte l’indicateur de triage forensique. L’usage dans des campagnes de ransomware y est noté inconnu. Ces valeurs ont été relevées dans le flux JSON (9) du catalogue, version 2026.10.13.

Le Security Update Guide associe la CVE à 31 lignes de produits : Windows 10 versions 1607, 1809, 21H2 et 22H2, Windows 11 versions 23H2, 24H2, 25H2, 26H1 et 26H2, Windows Server 2012 R2, 2016, 2019, 2022 et 2025, ainsi qu’une ligne Outlook.com qui renvoie à des notes de version. La correction des systèmes Windows passe par la mise à jour cumulative d’octobre de chaque version, détaillée dans la section suivante. La fiche crédite quatre contributeurs, dont deux chercheurs de Fujitsu Limited.

La CVE-2026-108398 touche .NET Framework. Sa fiche la classe en contournement de fonction de sécurité, de gravité importante, avec un score de base de 8,8 pour le vecteur AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H/E:U/RL:O/RC:C, et la rattache à l’entrée CWE-426, chemin de recherche non fiable. Elle est indiquée comme divulguée, non exploitée, avec l’indice d’exploitabilité Exploitation Less Likely. Selon la foire aux questions, un attaquant authentifié peut placer un assembly .NET spécialement conçu sur le système et l’enregistrer pour qu’il soit chargé par un processus protégé ; l’exploitation contourne alors Windows Defender Application Control et permet l’exécution de code non autorisé dans ce processus, sans interaction utilisateur.

Le Security Update Guide associe la CVE à 24 lignes couvrant .NET Framework 3.5, 4.6.2 à 4.7.2, 4.8 et 4.8.1, de Windows 10 version 1607 à Windows 11 version 26H2 et de Windows Server 2012 à Windows Server 2025. Pour la plupart des systèmes, la correction est publiée dans des KB (10) propres à .NET Framework, numérotées de KB5127666 à KB5127694. Pour Windows 10 version 1607 et Windows Server 2016, la ligne .NET Framework 3.5 et 4.6.2 à 4.7.2 renvoie à la mise à jour cumulative KB5126868.

La CVE-2026-92707, attribuée par l’autorité CNA (11) de GitHub, porte elle aussi la mention de divulgation publique. Il s’agit d’un déni de service dans MessagePack-CSharp, de gravité modérée, avec un score de base de 5,3. Les produits listés sont la bibliothèque MessagePack, Visual Studio 2022 version 17.14, Visual Studio 2026 version 18.10 et le paquet Microsoft.AspNetCore.SignalR.Protocols.MessagePack pour .NET 8, 9, 10 et 11 sous Windows, Linux et macOS. La note de publication ne la cite pas parmi les CVE notables.

Le tableau suivant relie chaque version de Windows à sa mise à jour cumulative d’octobre, d’après l’export du Security Update Guide et la liste des KB de la note de publication.

Fig. 2. Mises à jour cumulatives d’octobre 2026 par version de Windows, relevées dans l’export du Security Update Guide et recoupées avec la note de publication.

Windows 11 version 26H2 entre dans son premier Patch Tuesday : la page de cycle de vie de Windows 11 Home et Pro date le début de son support du 28 septembre 2026, et elle partage la mise à jour KB5127648 avec les versions 24H2 et 25H2. La même page fixe au 13 octobre 2026 la fin de service de la version 24H2 pour les éditions Home et Pro.

Onze CVE publiées le 13 octobre ne sont associées dans l’export qu’aux mises à jour cumulatives de septembre 2026, numérotées de KB5122871 à KB5124012 selon les systèmes : CVE-2026-69354, CVE-2026-69363, CVE-2026-69521, CVE-2026-69789, CVE-2026-70067, CVE-2026-71347, CVE-2026-83504, CVE-2026-83518, CVE-2026-83706, CVE-2026-87706 et CVE-2026-87707. La CVE-2026-69789, dans Reliable Multicast Transport Driver, est critique. La page rendue de sa fiche liste bien les articles de septembre, par exemple KB5122876 pour Windows Server 2019. La CVE-2026-59116, contournement de fonction de sécurité dans Windows Remote Desktop, est associée à des articles antérieurs, de KB5099414 à KB5101650.

Pour Windows 10 version 1607, Windows Server 2016, Windows Server 2012 et Windows Server 2012 R2, deux CVE sont associées à la fois à la mise à jour cumulative et à un second article, KB5126649, KB5127356 ou KB5127357 selon le système : la CVE-2026-83863, dans Servicing Stack Updates, et la CVE-2026-69950, dans Windows Overlay Filter.

Selon l’en-tête des fiches, 79 CVE publiées le 13 octobre sont critiques : 78 attribuées par Microsoft et la republication de Cisco Talos. On compte 66 exécutions de code à distance, 11 élévations de privilèges et 2 usurpations d’identité.

Fig. 3. Répartition des 79 CVE critiques du 13 octobre par famille. Regroupement établi pour cet article à partir de l’étiquette de composant de chaque fiche ; il ne correspond pas aux familles de la note de publication.

Office et le volet de lecture

Les cinq CVE critiques d’Outlook, CVE-2026-70242, CVE-2026-70291, CVE-2026-88156, CVE-2026-97016 et CVE-2026-97749, ont un score de base de 9,8 sans interaction utilisateur. Leurs fiches indiquent que l’affichage du message dans le volet de lecture d’Outlook suffit à déclencher la vulnérabilité, sans ouverture ni clic. La fiche de la CVE-2026-70300, dans Word, notée 9,8, indique que le volet de visualisation est un vecteur d’attaque, au moyen d’un document WordPerfect contenant un fichier graphique lié. Les 19 CVE critiques d’Excel et les trois de Visio exigent une interaction utilisateur.

Pour neuf CVE Office, la CVE-2026-70300 et les CVE Excel CVE-2026-97741, CVE-2026-97742, CVE-2026-97753, CVE-2026-97756, CVE-2026-97758, CVE-2026-97761, CVE-2026-97767 et CVE-2026-97776, la gravité critique figure dans l’en-tête de la fiche alors que chaque ligne du tableau des mises à jour indique Important. L’écart a été constaté sur la page rendue de la fiche de la CVE-2026-70300. Un tri sur la colonne de gravité de l’export retient 70 CVE critiques au lieu de 79.

Les produits Office listés en octobre sont Microsoft 365 Apps for Enterprise, Office LTSC 2021 et 2024, Office pour Mac, Office Online Server et Office pour Android. L’export ne contient aucune ligne Office 2016 ni Office 2019.

Services réseau de Windows

Les CVE critiques de Windows exploitables par le réseau sans authentification ni interaction portent sur des services d’infrastructure :

• Windows DHCP Server : CVE-2026-96934, score de base 9,8, et CVE-2026-88117, CVE-2026-88119, CVE-2026-88120, CVE-2026-88171, notées 8,1 ; pour ces quatre dernières, la complexité élevée tient à une situation de concurrence à remporter
• Windows Message Queuing : CVE-2026-100202, 9,8, et CVE-2026-108460, 8,1
• Microsoft QUIC : CVE-2026-100219 et CVE-2026-105016, 9,8
• Windows Text Shaping : CVE-2026-97814, 9,8
• Microsoft PostScript Printer Driver : CVE-2026-70147 et CVE-2026-70153, 9,8, par l’envoi d’une tâche d’impression spécialement conçue
• Active Directory Domain Services : CVE-2026-70229, 8,1, indice Exploitation More Likely ; la fiche précise que l’exploitation dépend de configurations réseau et de conditions de synchronisation particulières
• Remote Desktop Gateway Service : CVE-2026-70187, 8,1
• Network Device Enrollment Service : CVE-2026-69802, 8,1
• Windows Deployment Services : CVE-2026-88174, 8,1
• Microsoft Windows PDF : CVE-2026-108457, 8,1

Isolation, noyau et contenus

Les autres CVE critiques de Windows sont locales, adjacentes ou exigent une interaction. Hyper-V en compte trois : les CVE-2026-102214 et CVE-2026-105733, exécutions de code à distance notées 8,8 dont la première permet, selon sa fiche, de passer d’un invité Hyper-V à faibles privilèges à l’exécution de code sur l’hôte, et la CVE-2026-108399, élévation de privilèges notée 7,2. Les enclaves Windows Virtualization-Based Security en comptent cinq : CVE-2026-88074, CVE-2026-96914, CVE-2026-102211, CVE-2026-108130 et CVE-2026-108471. S’y ajoutent des élévations de privilèges dans Windows Kernel (CVE-2026-96913), Windows Graphics Kernel (CVE-2026-88073) et Windows ALPC (CVE-2026-83917), des exécutions de code à distance déclenchées par un contenu dans Windows GDI+, Microsoft Windows Media Foundation, Windows Media Video Decoder, Windows Text Shaping et Microsoft Graphics Component, deux vulnérabilités sur réseau adjacent dans Windows DHCP Client (CVE-2026-70250) et Reliable Multicast Transport Driver (CVE-2026-69789), et deux usurpations d’identité dans Active Directory Federation Services (CVE-2026-108131 et CVE-2026-96222).

55 CVE publiées le 13 octobre ont un score de base de 9,8. 15 sont critiques. Les 40 autres sont classées importantes alors que leur vecteur est identique : réseau, complexité faible, sans privilège ni interaction (AV:N/AC:L/PR:N/UI:N). 39 sont des exécutions de code à distance, la dernière une élévation de privilèges dans Microsoft Windows Search Component (CVE-2026-105010).

Plusieurs fiches reprennent la même réponse : un attaquant non authentifié envoie un paquet spécialement conçu à un service affecté, sans authentification ni interaction utilisateur. C’est le cas, parmi les fiches consultées, pour Role: DNS Server (CVE-2026-83869), Windows Local Security Authority Subsystem Service (CVE-2026-96219), RPC Runtime (CVE-2026-83910), OpenSSH for Windows (CVE-2026-97816), Windows Internet Information Services (CVE-2026-70024), Network Policy Server (CVE-2026-100222), Windows Routing and Remote Access Service (CVE-2026-85809) et Windows DHCP Server (CVE-2026-96320). Les fiches ne motivent pas l’écart entre ce score et la gravité importante.

Fig. 4. Les 40 CVE du 13 octobre notées 9,8 et classées importantes, vecteur AV:N/AC:L/PR:N/UI:N. Valeurs relevées sur les fiches du Security Update Guide.

Sur les 1 407 CVE attribuées par Microsoft et publiées le 13 octobre, 168 combinent vecteur réseau, absence de privilège et absence d’interaction. 83 d’entre elles sont des exécutions de code à distance ; 30 sont critiques et 138 importantes.

Exchange Server

La note de publication compte sept CVE pour Exchange Server. La CVE-2026-70571, critique, est une exécution de code à distance notée 8,1 avec une complexité élevée : un attaquant non authentifié envoie un courrier spécialement conçu qui déclenche un processus interne de conversion de contenu sur le serveur. La fiche précise qu’une connaissance approfondie de l’environnement cible est nécessaire et que la réussite n’est pas garantie ; l’indice d’exploitabilité est Exploitation More Likely. La CVE-2026-70279, usurpation d’identité de type cross-site scripting notée 9,3, porte le même indice ; son scénario repose sur un lien envoyé à un utilisateur disposant de droits d’administration. Les quatre autres CVE du 13 octobre sont des élévations de privilèges : CVE-2026-77910, CVE-2026-87692, CVE-2026-87695 et CVE-2026-87696.

La septième, la CVE-2026-96940, élévation de privilèges notée 8,8 avec l’indice Exploitation More Likely, a été publiée le 2 octobre avec ses propres mises à jour. Sa fiche indique qu’un correctif côté service a déjà été déployé sur Exchange Online.

Fig. 5. Mises à jour d’Exchange Server publiées en octobre 2026, d’après l’export du Security Update Guide. Pour Exchange Server 2019 Cumulative Update 15, l’export ne liste pas la CVE-2026-87692.

SharePoint Server

SharePoint Server compte 36 CVE dans la note de publication. Une seule est critique, la CVE-2026-102866, élévation de privilèges notée 8,1 avec une complexité élevée, limitée à SharePoint Server Subscription Edition (KB5002927). Selon sa fiche, un attaquant non authentifié qui obtient un jeton de preuve valide pour un utilisateur ciblé peut le modifier, le soumettre au serveur et s’authentifier comme cet utilisateur ; le volet de visualisation n’est pas un vecteur.

L’export liste également SharePoint Server 2019, pour les CVE-2026-69943 et CVE-2026-97783, et SharePoint Enterprise Server 2016, pour la CVE-2026-69943, sans article ni lien de téléchargement. Les pages de cycle de vie de Microsoft Learn fixent la fin du support étendu de ces deux versions au 14 juillet 2026.

SQL Server

SQL Server compte 22 CVE, aucune critique : 8 exécutions de code à distance, 7 élévations de privilèges, 4 divulgations d’information et 3 dénis de service. Le score de base le plus élevé est 8,8, pour des exécutions de code à distance qui exigent des privilèges faibles (PR:L). Les corrections couvrent SQL Server 2017, 2019, 2022 et 2025, à raison d’un article par branche de maintenance : KB5126934, KB5126967 et KB5128492 à KB5128497.

Plusieurs CVE ne se corrigent pas, ou pas seulement, par la mise à jour cumulative de Windows.

• Microsoft Store : quatre CVE critiques visent des extensions distribuées par le Store. Raw Image Extension en compte trois : la CVE-2026-21413, republiée depuis Cisco Talos et notée 9,8 sans interaction, se déclenche selon sa fiche lorsque Windows génère une miniature ou un aperçu d’un fichier RAW placé dans un dossier consulté ; les CVE-2026-96202 et CVE-2026-96943 sont notées 8,8 avec interaction. La CVE-2026-108400, dans HEVC Video Extensions, est notée 8,8 et exige l’ouverture d’un fichier. L’export renvoie pour ces quatre CVE à des notes de version, sans KB.
• .NET et Visual Studio : la CVE-2026-105016, dans Microsoft QUIC, notée 9,8, touche Windows 11, Windows Server 2022 et Windows Server 2025, corrigés par la mise à jour cumulative, mais aussi .NET 8, 9, 10 et 11 sous Windows, Visual Studio 2022 version 17.14 et Visual Studio 2026 version 18.10, pour lesquels l’export renvoie à des notes de version.
• Noyau Linux : la CVE-2026-62840, élévation de privilèges critique notée 7,0, est rattachée au pilote Microsoft MANA Network Driver et aux distributions Linux tierces. La fiche renvoie au correctif accepté en amont et aux avis de sécurité des distributions.
• Defender : la note de publication classe les quatre CVE de la famille Defender en mise à jour automatique.
• Services cloud : sept CVE critiques publiées le 8 octobre ne demandent aucune action du client selon leurs fiches, dans Azure Event Grid (CVE-2026-83947), Microsoft Partner Center (CVE-2026-96207, 10,0), Microsoft Bookings (CVE-2026-94510, 9,9), Microsoft Dataverse (CVE-2026-88131, 9,8), Azure App Service (CVE-2026-77900, 9,8), Azure API Center (CVE-2026-83943) et Azure SRE Agent (CVE-2026-69435, 9,6).

Hors exploitation constatée, l’indice d’exploitabilité de Microsoft classe 108 CVE publiées le 13 octobre en Exploitation More Likely, dont 2 critiques et 106 importantes. 102 sont des élévations de privilèges. Les composants les plus représentés sont Windows Win32 Kernel Subsystem, avec 15 CVE, et Windows Kernel, avec 7, suivis de Windows Error Reporting, Microsoft Windows Search Component, Windows Background Intelligent Transfer Service, Windows Direct Composition et Windows Update, avec 5 CVE chacun.

Six CVE de cette liste ne sont pas des élévations de privilèges : les exécutions de code à distance CVE-2026-70229 (Active Directory Domain Services), CVE-2026-70571 (Exchange Server), CVE-2026-100214 (Microsoft Dynamics 365 Business Central) et CVE-2026-88159 (Windows Background Intelligent Transfer Service), l’usurpation d’identité CVE-2026-70279 (Exchange Server) et l’altération CVE-2026-96858 (Windows Security Account Manager).

• Windows Server 2012 et Windows Server 2012 R2 : les pages de cycle de vie de Microsoft Learn bornent la troisième année du programme ESU du 14 octobre 2025 au 13 octobre 2026, sans année suivante listée. L’export d’octobre associe encore 620 CVE à Windows Server 2012 et 657 à Windows Server 2012 R2.
• Exchange Server 2016 et 2019 : l’équipe Exchange a indiqué le 20 juillet 2026 que la période 2 du programme ESU se termine avec le mois d’octobre 2026, qu’aucune mise à jour ne sera publiée ensuite pour ces versions et qu’aucune nouvelle extension n’est prévue. Elle oriente vers Exchange Server Subscription Edition.
• Windows 11 version 24H2, éditions Home et Pro : fin de service au 13 octobre 2026 selon Microsoft Learn.
• Windows 10 : la page grand public du programme ESU de Microsoft indique que l’inscription reste possible jusqu’à la fin du programme, le 12 octobre 2027.
• ADV260001 : cet avis annonce des changements de durcissement du système de fichiers ReFS sur les supports amovibles à partir des mises à jour du 13 octobre 2026. Selon l’avis, le changement n’est pas activé par défaut avant 2027.

Le 13 octobre 2026, le MSRC a publié un billet présentant les risk cohorts, des regroupements provisoires de CVE qui partagent une même question d’évaluation pour le client : exposition d’un rôle, frontière de privilèges, type de contenu traité. Le billet précise qu’il ne s’agit pas de catégories officielles, qu’elles ne modifient pas les consignes de mise à jour et ne remplacent pas l’évaluation de chaque CVE. Le Security Update Guide n’affiche pas ces regroupements ; les retours sont attendus à l’adresse CVE@microsoft.com. Le billet relève que l’approche pourrait gagner en utilité à mesure que la recherche assistée par l’intelligence artificielle contribue à la découverte de vulnérabilités.

Fig. 6. Les quinze risk cohorts illustratives publiées par le MSRC le 13 octobre 2026, triées par nombre de CVE. Total : 1 118 CVE.

Les quinze cohortes totalisent 1 118 CVE, soit moins que le volume de la publication. Le billet comporte des écarts internes : la cohorte Remote-access and RDP deployments compte 65 CVE dans le tableau et 64 dans le texte ; la cohorte Office compte 135 CVE dans le tableau, tandis que le texte en décrit 119, dont 23 critiques et 17 sans interaction utilisateur.

Ivanti Connect Secure

La CISA a ajouté le 13 octobre 2026 la CVE-2026-104935, dans Ivanti Connect Secure, au catalogue KEV, avec une échéance au 16 octobre. Le même jour, Volexity a décrit une chaîne d’exploitation de la passerelle VPN (13) observée depuis le 3 octobre et attribuée à un acteur suivi sous le nom UTA0576 : contournement d’authentification dans welcome.cgi au moyen de l’en-tête X-DSCGI-PATH, puis écriture de fichier dans wu.cgi exploitée par une situation de concurrence. Volexity décrit aussi une élévation de privilèges dans le composant dsinvoked, sans CVE, dont la correction est annoncée pour une version ultérieure. Volexity estime avec une confiance faible que l’acteur a une motivation criminelle, et avec une confiance moyenne qu’il emploie de grands modèles de langage pour développer ses codes d’exploitation. Les versions concernées et corrigées sont à relever sur l’avis d’Ivanti.

SAP

Le Security Patch Day de SAP du 13 octobre 2026 compte 16 nouvelles notes de sécurité, 4 avis de sécurité GitHub et 2 mises à jour de notes antérieures. Les quatre entrées de priorité critique sont la CVE-2026-89111, falsification de requêtes côté serveur (SSRF (14)) liée à OAuth2 dans SAP Cloud SDK for Python, notée 10,0, la CVE-2026-89110, défaut de contrôle d’accès dans SAP NetWeaver Visual Composer, notée 9,9, la CVE-2026-89107, injection de code dans SAP S/4HANA (Manage Substitution/Validation Rules), notée 9,9, et la CVE-2026-89108, absence de contrôle d’autorisation dans SAP Manufacturing Integration and Intelligence (Configuration Service), notée 9,1.

Les publications d’autres éditeurs datées du 13 octobre n’ont pas été vérifiées pour cet article.

Fig. 7. Priorités de traitement du Patch Tuesday d’octobre 2026, établies à partir des données des fiches du Security Update Guide et du catalogue KEV.

Le nombre de CVE et le nombre de CVE critiques varient selon la source et le périmètre retenu.

Fig. 8. Compteurs du Patch Tuesday d’octobre 2026 selon la source, au 13 octobre 2026.

Les 12 CVE tierces des fiches comprennent la CVE-2026-21413 de Cisco Talos, la CVE-2026-92707 de GitHub et dix CVE sans gravité attribuées par Red Hat, MITRE et GitHub, absentes de l’export. Les totaux du SANS Internet Storm Center se retrouvent exactement par addition : les 69 CVE Microsoft critiques par ligne de produit dans l’export et les 7 CVE cloud critiques du 8 octobre donnent 76 ; les 1 407 CVE Microsoft du 13 octobre, les 7 CVE cloud, la CVE-2026-96940 du 2 octobre, la CVE-2026-21413 et l’avis ADV260001 donnent 1 417.

Le titre de Cyber Security News annonce 1 118 vulnérabilités corrigées ; ce chiffre est la somme des quinze cohortes du billet du MSRC et non le total de la publication.

Classement par identifiant. La gravité est celle de l’en-tête de chaque fiche ; la colonne Correction indique le canal de distribution relevé dans l’export du Security Update Guide.

Fig. 9. Les 79 CVE critiques publiées le 13 octobre 2026, dont la CVE-2026-21413 republiée depuis Cisco Talos. Scores de base et indices relevés sur les fiches du Security Update Guide.

Les valeurs chiffrées proviennent en priorité des fiches et de la note de publication du MSRC ; les autres sources ont servi au recoupement.

1. MSRC (1) : Microsoft Security Response Center, centre de réponse aux incidents de sécurité de Microsoft, qui publie le Security Update Guide.
2. CVE (2) : Common Vulnerabilities and Exposures, identifiant public attribué à une vulnérabilité.
3. KEV (3) : Known Exploited Vulnerabilities, catalogue de la CISA des vulnérabilités dont l’exploitation est constatée.
4. CISA (4) : Cybersecurity and Infrastructure Security Agency, agence américaine de cybersécurité et de sécurité des infrastructures.
5. ESU (5) : Extended Security Updates, programme payant de mises à jour de sécurité au-delà de la fin du support étendu.
6. CVSS (6) : Common Vulnerability Scoring System, système de notation de la gravité des vulnérabilités.
7. CWE (7) : Common Weakness Enumeration, classification des faiblesses logicielles.
8. BOD (8) : Binding Operational Directive, directive opérationnelle contraignante de la CISA pour les agences fédérales civiles américaines.
9. JSON (9) : JavaScript Object Notation, format texte de données structurées.
10. KB (10) : Knowledge Base, numéro d’article de la base de connaissances Microsoft qui identifie une mise à jour.
11. CNA (11) : CVE Numbering Authority, organisme habilité à attribuer des identifiants CVE.
12. CSV (12) : Comma-Separated Values, format de fichier tabulaire à valeurs séparées.
13. VPN (13) : Virtual Private Network, réseau privé virtuel.
14. SSRF (14) : Server-Side Request Forgery, falsification de requêtes émises par le serveur.
15. SANS (15) : SysAdmin, Audit, Network and Security, institut de formation en sécurité qui opère l’Internet Storm Center.

1. Microsoft Security Response Center, Mises à jour de sécurité d’octobre 2026, notes de publication, Security Update Guide, 13 octobre 2026. msrc.microsoft.com/update-guide/releaseNote/2026-Oct
2. Microsoft Security Response Center, fiche CVE-2026-96951, Windows Shell Security Feature Bypass Vulnerability, 13 octobre 2026. msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96951
3. Microsoft Security Response Center, fiche CVE-2026-108398, .NET Framework Security Feature Bypass Vulnerability, 13 octobre 2026. msrc.microsoft.com/update-guide/vulnerability/CVE-2026-108398
4. Microsoft Security Response Center, fiche CVE-2026-70300, Microsoft Office Word Remote Code Execution Vulnerability, 13 octobre 2026. msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70300
5. Microsoft Security Response Center, fiche CVE-2026-69789, Windows Reliable Multicast Transport Driver (RMCAST) Remote Code Execution Vulnerability, 13 octobre 2026. msrc.microsoft.com/update-guide/vulnerability/CVE-2026-69789
6. Microsoft Security Response Center, export CSV du Security Update Guide et fiches de la publication 2026-Oct, consultés le 13 octobre 2026. msrc.microsoft.com/update-guide
7. Microsoft Security Response Center, Using risk cohorts to prioritize security updates, 13 octobre 2026. microsoft.com/en-us/msrc/blog
8. SANS Internet Storm Center, Johannes Ullrich, October 2026 Microsoft Patch Tuesday, 13 octobre 2026. isc.sans.edu/diary/33422
9. CISA, catalogue Known Exploited Vulnerabilities, flux JSON version 2026.10.13, consulté le 13 octobre 2026. cisa.gov/known-exploited-vulnerabilities-catalog
10. Microsoft Learn, Windows Server 2012 R2, Microsoft Lifecycle, consulté le 13 octobre 2026. learn.microsoft.com/lifecycle/products/windows-server-2012-r2
11. Microsoft Learn, Windows Server 2012, Microsoft Lifecycle, consulté le 13 octobre 2026. learn.microsoft.com/lifecycle/products/windows-server-2012
12. Microsoft Learn, Windows 11 Home and Pro, Microsoft Lifecycle, consulté le 13 octobre 2026. learn.microsoft.com/lifecycle/products/windows-11-home-and-pro
13. Microsoft Learn, SharePoint Server 2019 et SharePoint Server 2016, Microsoft Lifecycle, consultés le 13 octobre 2026. learn.microsoft.com/lifecycle/products/sharepoint-server-2019
14. Microsoft, Mises à jour de sécurité étendues pour le grand public (ESU) de Windows 10, consulté le 13 octobre 2026. microsoft.com/fr-fr/windows/extended-security-updates
15. Microsoft, équipe Exchange, Reminder: Exchange 2016 and 2019 ESU Program Ends in October 2026, 20 juillet 2026, mis à jour le 14 août 2026. techcommunity.microsoft.com/blog/exchange
16. BleepingComputer, Windows 11 KB5127648 & KB5126653 cumulative updates released, 13 octobre 2026. bleepingcomputer.com
17. BleepingComputer, Microsoft Exchange 2016 and 2019 ESU program ends in October, 22 juillet 2026. bleepingcomputer.com
18. Help Net Security, October 2026 Patch Tuesday forecast: Time for an Office cleanup, 9 octobre 2026. helpnetsecurity.com
19. Volexity, A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days, 13 octobre 2026. volexity.com/blog
20. SAP, SAP Security Patch Day, October 2026, 13 octobre 2026. support.sap.com
21. Cyber Security News, Microsoft Fixes 1,118 Vulnerabilities in October Patch Tuesday and Introduces New Risk Cohorts, 13 octobre 2026. cybersecuritynews.com