Microsoft a publié des mises à jour de sécurité corrigeant un nombre record de 1 413 vulnérabilités dans l'ensemble de sa gamme de produits. Cette mise à jour inclut une vulnérabilité activement exploitée, plusieurs vulnérabilités rendues publiques et plus de 70 failles classées « critiques ». Il convient notamment de noter qu’une vulnérabilité du Shell Windows activement exploitée permet aux attaquants de contourner les protections « Mark of the Web » (MOTW), ce qui pourrait permettre l’exécution de contenus malveillants diffusés par le biais d’e-mails de hameçonnage et de liens malveillants.
Compte tenu du nombre de vulnérabilités et de la présence d’exploits actifs, les entreprises doivent donner la priorité au déploiement des correctifs, en particulier pour les systèmes connectés à Internet, les postes de travail privilégiés et les infrastructures critiques.
Microsoft a corrigé :
CVSS : 8,8
Statut : activement exploitée dans la nature
Cette vulnérabilité est une faille d’injection de commande au sein du Shell Windows qui peut être exploitée pour contourner les protections Microsoft Mark of the Web (MOTW). Une exploitation réussie pourrait permettre à des fichiers malveillants transmis par e-mail, via des plateformes de messagerie ou sous forme de contenu téléchargé de contourner les contrôles de sécurité conçus pour avertir les utilisateurs avant leur exécution.
Scénario d’attaque
Un attaquant envoie un fichier spécialement conçu par e-mail ou via une messagerie instantanée et persuade un utilisateur de l'ouvrir. L'exploitation nécessite une interaction de l'utilisateur, mais permet à l'attaquant de contourner les protections MOTW.
Risque
La CISA a ajouté cette vulnérabilité à son catalogue des vulnérabilités connues exploitées (KEV).
CVSS : 8,8
Statut : divulguée publiquement
Cette vulnérabilité permet à un attaquant authentifié localement de contourner les restrictions de Windows Defender Application Control (WDAC) en chargeant un assembly .NET malveillant dans un processus protégé. Aucune interaction de l'utilisateur n'est requise.
Impact potentiel
Cette vulnérabilité est particulièrement préoccupante en tant que technique post-compromission, car elle permet aux attaquants ayant déjà accès au système d’affaiblir les contrôles de sécurité des terminaux.
CVSS : 5,3
Statut : divulguée publiquement
Une vulnérabilité liée à une allocation de mémoire mal contrôlée dans MessagePack-CSharp pourrait permettre à un attaquant distant de provoquer des conditions de déni de service.
Bien qu’elle ne soit pas aussi grave que les vulnérabilités activement exploitées, sa divulgation publique pourrait entraîner une augmentation des tentatives d’exploitation.
CVSS : 9,8
Une vulnérabilité de type « débordement de tampon » liée au tas (heap) affectant l’extension Raw Image de Microsoft peut conduire à l’exécution de code à distance. Il suffit à un attaquant de convaincre un utilisateur d’accéder à un dossier contenant un fichier image RAW malveillant. La génération de vignettes par Windows peut à elle seule déclencher la vulnérabilité sans qu’il soit nécessaire d’ouvrir l’image.
Impact potentiel
La principale préoccupation concerne la vulnérabilité CVE-2026-96951, car elle est activement exploitée et offre un mécanisme permettant de contourner les protections MOTW, souvent utilisées pour se défendre contre le phishing et la diffusion de logiciels malveillants.
Les attaquants utilisent couramment des techniques de contournement de MOTW pour :
La vulnérabilité de contournement du WDAC du .NET Framework accroît encore le risque en permettant aux acteurs malveillants qui ont pris pied dans le système de contourner les mesures de contrôle des applications et d’exécuter du code non autorisé.
Immédiatement (0 à 24 heures)