Microsoft bat un record de correctifs avec un Patch Tuesday hors norme

Microsoft a publié le 13 octobre 2026 un Patch Tuesday hors norme, avec 1 411 failles corrigées dans Windows, Office et ses services cloud. Ce volume, record absolu pour un seul mois, confirme une tendance lourde : l’éditeur traite désormais en quelques semaines autant de vulnérabilités qu’il n’en corrigeait sur une année entière il y a peu. Dans le même temps, une faille de Windows Shell a déjà été exploitée par des pirates, ce qui donne à cette mise à jour un caractère urgent pour les entreprises comme pour les particuliers.

Une cadence de correctifs qui donne le tournis

Selon Satnam Narang, chercheur chez Tenable, Microsoft a « franchi la barre des 4 000 failles » sur l’année 2026. Le précédent record annuel de l’éditeur, établi en 2020, s’élevait à 1 260 failles corrigées. Autrement dit, le rythme a changé d’échelle. Le mois dernier, Microsoft avait déjà publié près de 1 000 correctifs, soit environ dix fois le nombre de failles détectées dans ses produits à la même période [à vérifier].

Dans ce contexte, l’entreprise dit s’appuyer massivement sur l’intelligence artificielle pour repérer les bugs. Les grands modèles de langage aident les chercheurs à analyser du code plus vite, ce qui accélère la chasse aux vulnérabilités. Microsoft n’est pas seul sur ce terrain : Anthropic affirme que son IA de cybersécurité a débusqué au moins 129 000 failles en quelques mois, tandis que Google et Linux disent être noyés sous les signalements générés par l’IA. La machine aide, puis elle envoie la facture de tri. Classique.

Windows Shell, la faille qui change la donne

Parmi les vulnérabilités corrigées, une faille déjà exploitée par des pirates retient l’attention. Elle se situe dans Windows Shell, l’interface qui gère les fichiers et les fenêtres, et concerne Windows 10, Windows 11 ainsi que certaines versions de Windows Server. Elle permet de contourner le « Mark of the Web », le mécanisme qui affiche un avertissement quand un fichier provient d’Internet. Une fois ce garde-fou désactivé, un attaquant peut pousser une victime à ouvrir un fichier piégé sans méfiance.

Microsoft indique aussi avoir corrigé deux autres failles rendues publiques avant la sortie du correctif, sans signaler à ce stade d’exploitation avérée dans des attaques. Au total, 70 vulnérabilités sont classées « critiques », dont 57 autorisent l’exécution de code à distance sur un ordinateur. Pour les administrateurs, le sujet n’est plus seulement technique : il devient un problème de cadence, de test et de priorisation.

Les équipes IT doivent trier plus vite, et mieux

Le déluge de correctifs complique le travail des entreprises, qui testent d’ordinaire les mises à jour sur un petit nombre de machines avant un déploiement général. Avec plus de 1 400 failles à traiter sur un mois, la méthode classique s’essouffle. Microsoft expérimente donc un système de « cohortes de risque » : les vulnérabilités sont regroupées en 15 familles, comme le stockage Windows, Office ou le noyau du système, afin d’être évaluées par lots.

L’éditeur précise que la méthode reste expérimentale. Mais l’idée est simple : éviter que les équipes refassent les mêmes vérifications des dizaines de fois. Pour rappel, chaque faille impose souvent d’examiner sa gravité, les produits touchés, les conditions d’attaque et son éventuelle exploitation en cours. Quand le volume explose, la file d’attente aussi.

Faut-il installer le correctif tout de suite ?

La réponse est oui, surtout si la machine tourne encore sur une version prise en charge. Microsoft recommande d’ouvrir les Paramètres de Windows, puis Windows Update, et de lancer la recherche de mises à jour. Le correctif se télécharge et s’installe automatiquement, avec un redémarrage à la clé.

Attention toutefois : certaines versions ne sont plus supportées. Le correctif d’octobre est présenté comme le dernier prévu pour Windows 11 24H2. Les utilisateurs de cette édition doivent donc passer à une version plus récente pour conserver un niveau de sécurité correct. À ce stade, le vrai sujet n’est plus seulement de patcher vite, mais de ne pas rester bloqué sur une version en fin de course.