Microsoft a publié des mises à jour de sécurité corrigeant un nombre record de 1 413 vulnérabilités dans l'ensemble de sa gamme de produits. Cette mise à jour inclut une vulnérabilité activement exploitée, plusieurs vulnérabilités rendues publiques et plus de 70 failles classées « critiques ». Il convient notamment de noter qu’une vulnérabilité du Shell Windows activement exploitée permet aux attaquants de contourner les protections « Mark of the Web » (MOTW), ce qui pourrait permettre l’exécution de contenus malveillants diffusés par le biais d’e-mails de hameçonnage et de liens malveillants.

Compte tenu du nombre de vulnérabilités et de la présence d’exploits actifs, les entreprises doivent donner la priorité au déploiement des correctifs, en particulier pour les systèmes connectés à Internet, les postes de travail privilégiés et les infrastructures critiques.

Statistiques clés

Microsoft a corrigé :

• 1 413 vulnérabilités au total
• 1 102 vulnérabilités Windows
• 134 vulnérabilités Microsoft Office
• 61 vulnérabilités des outils de développement
• 36 vulnérabilités de SharePoint Server
• 22 vulnérabilités SQL Server
• Plus de 670 failles d'élévation de privilèges
• Plus de 300 vulnérabilités d'exécution de code à distance (RCE)
• Plus de 250 vulnérabilités de divulgation d'informations
• Plus de 70 failles classées « critiques »

Vulnérabilités les plus importantes

1. CVE-2026-96951 – Contournement des fonctionnalités de sécurité du shell Windows

CVSS : 8,8
Statut : activement exploitée dans la nature

Cette vulnérabilité est une faille d’injection de commande au sein du Shell Windows qui peut être exploitée pour contourner les protections Microsoft Mark of the Web (MOTW). Une exploitation réussie pourrait permettre à des fichiers malveillants transmis par e-mail, via des plateformes de messagerie ou sous forme de contenu téléchargé de contourner les contrôles de sécurité conçus pour avertir les utilisateurs avant leur exécution.

Scénario d’attaque

Un attaquant envoie un fichier spécialement conçu par e-mail ou via une messagerie instantanée et persuade un utilisateur de l'ouvrir. L'exploitation nécessite une interaction de l'utilisateur, mais permet à l'attaquant de contourner les protections MOTW.

Risque

• Campagnes de phishing
• Attaques d’accès initial
• Diffusion de logiciels malveillants
• Chaînes potentielles de déploiement de ransomware

La CISA a ajouté cette vulnérabilité à son catalogue des vulnérabilités connues exploitées (KEV).

2. CVE-2026-108398 – Contournement du WDAC dans .NET Framework

CVSS : 8,8
Statut : divulguée publiquement

Cette vulnérabilité permet à un attaquant authentifié localement de contourner les restrictions de Windows Defender Application Control (WDAC) en chargeant un assembly .NET malveillant dans un processus protégé. Aucune interaction de l'utilisateur n'est requise.

Impact potentiel

• Contournement de la liste blanche des applications
• Exécution de code non autorisé
• Contournement des mesures de défense
• Persistance après compromission

Cette vulnérabilité est particulièrement préoccupante en tant que technique post-compromission, car elle permet aux attaquants ayant déjà accès au système d’affaiblir les contrôles de sécurité des terminaux.

3. CVE-2026-92707 – Déni de service MessagePack-CSharp

CVSS : 5,3
Statut : divulguée publiquement

Une vulnérabilité liée à une allocation de mémoire mal contrôlée dans MessagePack-CSharp pourrait permettre à un attaquant distant de provoquer des conditions de déni de service.

Bien qu’elle ne soit pas aussi grave que les vulnérabilités activement exploitées, sa divulgation publique pourrait entraîner une augmentation des tentatives d’exploitation.

4. CVE-2026-21413 – Exécution de code à distance (RCE) dans Raw Image Extension

CVSS : 9,8

Une vulnérabilité de type « débordement de tampon » liée au tas (heap) affectant l’extension Raw Image de Microsoft peut conduire à l’exécution de code à distance. Il suffit à un attaquant de convaincre un utilisateur d’accéder à un dossier contenant un fichier image RAW malveillant. La génération de vignettes par Windows peut à elle seule déclencher la vulnérabilité sans qu’il soit nécessaire d’ouvrir l’image.

Impact potentiel

• Exécution de code à distance
• Déploiement de logiciels malveillants
• Accès initial via des partages de fichiers et des supports amovibles
• Compromission du poste de travail

Évaluation de la menace

La principale préoccupation concerne la vulnérabilité CVE-2026-96951, car elle est activement exploitée et offre un mécanisme permettant de contourner les protections MOTW, souvent utilisées pour se défendre contre le phishing et la diffusion de logiciels malveillants.

Les attaquants utilisent couramment des techniques de contournement de MOTW pour :

• Diffuser des logiciels malveillants via des archives et des fichiers téléchargés
• Contourner les avertissements de sécurité destinés aux utilisateurs
• Mener des activités ultérieures d’élévation de privilèges et de vol d’identifiants

La vulnérabilité de contournement du WDAC du .NET Framework accroît encore le risque en permettant aux acteurs malveillants qui ont pris pied dans le système de contourner les mesures de contrôle des applications et d’exécuter du code non autorisé.

Mesures recommandées

Immédiatement (0 à 24 heures)

1. Donnez la priorité au déploiement des mises à jour Microsoft corrigeant la vulnérabilité :
   • CVE-2026-96951
   • CVE-2026-108398
   • CVE-2026-21413
2. Identifiez les serveurs exposés :
   • Serveurs Windows
   • Postes de travail d'administration privilégiés
   • Infrastructure de niveau 0
   • Hôtes relais
3. Vérifiez que les stratégies WDAC continuent d’être appliquées après l’installation des correctifs.