Patch Tuesday octobre 2026 : corriger Windows Shell et vérifier les accès réseau et RDP
Les mises à jour du 13 octobre 2026 corrigent notamment une vulnérabilité Windows Shell exploitée et plusieurs incidents Windows, dont les fermetures d'applications AC‑3 et les écrans noirs AVD/FSLogix. Déployez les correctifs applicables après une validation ciblée des accès réseau et RDP, sans oublier les paquets .NET Framework distincts.
- Impact
- postes Windows 11 et Windows 10 encore couverts par leur cycle de maintenance ou ESU ; vigilance supplémentaire pour les connexions MS‑CHAPv2, les hôtes RDP avec Administrator protection et les périphériques USB Audio Class 1.0.
- Action
- vérifier les mises à jour Windows et .NET applicables, tester les scénarios réellement utilisés, puis contrôler la build après redémarrage et les anomalies restantes.
- Statut
- À déployer
Situation au 18 octobre 2026
Ce dossier porte sur le cycle publié le 13 octobre, pas sur une nouvelle publication du 18 octobre. Il reste prioritaire aujourd'hui : des correctifs sont à déployer et les notes Microsoft ont reçu des précisions après leur publication. La synthèse couvre Windows client et les points .NET utiles au Workplace ; elle ne constitue pas un inventaire exhaustif des correctifs Office, navigateur ou serveur.
Le CVRF Microsoft d'octobre confirme deux situations à distinguer :
- CVE‑2026‑96951 — Windows Shell : exploitation détectée. La faille peut contourner les protections Mark of the Web ; le scénario documenté nécessite une action de l'utilisateur sur un contenu malveillant. Les remédiations MSRC couvrent les versions Windows du tableau ci-dessous.
- CVE‑2026‑108398 — .NET Framework : divulgation publique, mais exploitation non signalée dans le document consulté. Un attaquant authentifié peut contourner Windows Defender Application Control. La présence du cumulatif Windows ne suffit pas à conclure que tous les composants .NET sont corrigés.
La priorité de déploiement est une recommandation PatchFactory fondée sur l'exploitation confirmée de la première CVE, pas un délai imposé par Microsoft.
Windows : KB et builds après redémarrage
Les correspondances ont été recoupées entre MSRC, les pages KB et les historiques Microsoft Learn. Ce sont les builds du cycle d'octobre et les minima correctifs indiqués par MSRC pour CVE‑2026‑96951 ; une cumulative ultérieure applicable peut les remplacer.
| Produit / version | KB du 13 octobre | Build |
|---|---|---|
| Windows 11 26H2 | KB5127648 | 26300.9711 |
| Windows 11 26H1 | KB5127646 | 28000.3231 |
| Windows 11 25H2 | KB5127648 | 26200.9711 |
| Windows 11 24H2, dont LTSC 2024 | KB5127648 | 26100.9711 |
| Windows 11 23H2 Enterprise/Education | KB5126653 | 22631.7652 |
| Windows 10 22H2 sous ESU | KB5126657 | 19045.7807 |
| Windows 10 Enterprise / IoT Enterprise LTSC 2021 | KB5126657 | 19044.7807 |
| Windows 10 LTSC 2019 | KB5126651 | 17763.9376 |
| Windows 10 LTSB 2016 | KB5126868 | 14393.9612 |
Attention aux éditions : octobre est le dernier correctif régulier de Windows 11 24H2 Home/Pro et Windows 10 Enterprise LTSB 2016. Windows 11 24H2 Enterprise/Education reste suivi jusqu'au 12 octobre 2027. Pour 23H2 Enterprise/Education, l'échéance est le 10 novembre 2026. Windows 10 Enterprise LTSC 2021 atteint la sienne le 12 janvier 2027 ; ne pas appliquer cette date à IoT Enterprise LTSC 2021, dont le support prolongé va jusqu'au 13 janvier 2032.
.NET : vérifier une deuxième ligne de maintenance
Pour .NET Framework 3.5/4.8.1 sur Windows 11 24H2/25H2, Microsoft publie KB5127690 ; sur 26H2, KB5127694. Ces deux KB confirment explicitement la correction de CVE‑2026‑108398. Pour les autres versions Windows ou .NET, utiliser la correspondance produit/composant du CVRF, sans réutiliser ces paquets par analogie.
Dans WSUS, contrôler les produits correspondants et la classification Security Updates indiqués dans ces KB. Les composants concernés doivent être installés ; Microsoft demande un redémarrage si des fichiers affectés sont en cours d'utilisation et recommande de fermer les applications .NET avant installation. Après maintenance, vérifier séparément le succès du paquet .NET et relancer les applications métier.
Incidents : ce qui est corrigé et ce qui reste ouvert
| Périmètre | Situation Microsoft consultée | Contrôle ou action |
|---|---|---|
| Applications utilisant le décodage AC‑3 de Windows, 24H2/25H2/26H2 | Resolved, KB5127648 | Rejouer la lecture du contenu qui provoquait la fermeture, après mise à jour. Ne pas confondre avec USB Audio. |
| Écrans noirs / Explorer au démarrage de session, notamment AVD avec FSLogix | Resolved, KB5127648 ; KB5127646 pour 26H1 | Tester avec un profil existant affecté. Sur la version corrigée, Microsoft indique que le contournement n'est plus nécessaire ; prévoir son retrait contrôlé. |
| RDP vers un hôte Windows 11 24H2/25H2/26H2/26H1 avec Administrator protection | Mitigated, pas de correctif définitif annoncé | Tester avec un compte non administrateur. En cas de 0xC000000D, Microsoft propose de désactiver temporairement Administrator protection sur les seuls hôtes affectés via la gestion de stratégie existante. |
| Activation de Smart App Control après KB5127648 | Problème connu, résolution future annoncée | Certains appareils ne peuvent plus réactiver la fonction. Ceux où elle est déjà activée restent protégés. La KB documente deux stratégies spéciales à installer et configurer toutes les deux, puis un redémarrage ; réserver cette atténuation aux appareils concernés. |
| Exchange local : Windows Server 2016/2019/2022/2025, KB5126868/KB5126651/KB5126655/KB5126646 | Problème connu dans ces KB : accès OWA ou envoi depuis Outlook perturbés | Si les messages restent dans la boîte d'envoi, transmettre le diagnostic à l'équipe Exchange. Ce signal côté serveur ne prouve pas une régression du client Outlook ; ne pas appliquer de contournement serveur aux postes. |
| USB Audio Class 1.0, Windows 10/11 concernés | Mitigated ; correction seulement partielle depuis les OOB de septembre | Vérifier sortie audio et Code 10. Pour les symptômes restants, Microsoft demande de contacter le support professionnel ; ne pas annoncer octobre comme une résolution complète. |
Précision du 22 octobre : le billet Exchange Team et sa FAQ du 20 octobre confirment les quatre branches serveur. Escalader vers l’équipe Exchange ; ne pas confondre ces mises à jour Windows avec les mises à jour de sécurité Exchange, ni appliquer une procédure serveur aux postes.
Correction du 22 octobre : la KB5127648 a retiré le 20 octobre l’annonce du correctif Always On VPN (sélection automatique ou repli de protocole). Microsoft indique que ce changement sera inclus dans une version future. Ne pas considérer ce scénario corrigé par la cumulative d’octobre ; le distinguer des blocages SSO MS-CHAPv2 liés à NTLMv1.
Deux changements de sécurité à intégrer
NTLMv1 SSO : le défaut change réellement avec octobre. Pour Windows 11 24H2/25H2/26H2, le périmètre documenté est celui où Credential Guard est désactivé et la valeur BlockNtlmv1SSO absente. Le défaut interne devient Enforce sans créer la valeur de registre. Les flux SSO Wi‑Fi, Ethernet ou VPN dépendant de MS‑CHAPv2 peuvent échouer : il s'agit d'un changement prévu, pas d'une régression générale du réseau.
Sur ces appareils, vérifier les événements 4025 dans Microsoft-Windows-NTLM/Operational et les rapprocher du flux en échec. KB5066470 décrit l'exception temporaire en Audit et ses événements 4024. Si elle est indispensable, limiter sa portée et préparer la migration vers une authentification par certificat ; ne pas abaisser la protection de tout le parc.
ReFS sur support amovible : audit maintenant, blocage prévu en janvier 2027. Après le correctif d'octobre, rechercher les avertissements ReFS, événement 524, journal System sur les appareils utilisant ces volumes non pris en charge. Identifier les données et applications dépendantes, puis migrer vers une configuration de stockage supportée. L'audit n'enregistre qu'une fois chaque volume par démarrage, avec une limite de 32 volumes ; son silence ne prouve donc pas l'absence de dépendance. KB5130741 détaille les contrôles et le redémarrage nécessaire après changement de réglage.
Le déploiement des nouveaux certificats Secure Boot continue de façon ciblée. La présence de la cumulative ne prouve pas, à elle seule, que la transition des certificats est terminée sur chaque appareil.
Déploiement et critères de validation
- Avant extension, sélectionner des postes représentatifs des versions et usages concernés : authentification réseau sans Credential Guard, RDP non administrateur, AVD/FSLogix, applications .NET et audio spécialisé si présents. Relever le fonctionnement avant maintenance, puis rejouer les mêmes scénarios après redémarrage.
- Poursuivre par anneaux si l'installation, l'ouverture de session et les scénarios métier restent fonctionnels. En cas de nouvel échec reproductible, suspendre l'extension sur la population correspondante et rapprocher le symptôme des incidents ci-dessus ; ne pas conclure à un blocage global.
- Contrôler le résultat réel : comparer les builds remontées par l'inventaire aux cibles, isoler les redémarrages en attente et vérifier séparément .NET. Une approbation WSUS ou une affectation Intune n'est pas une preuve d'installation.
- Sur les images anciennes, vérifier les prérequis SSU des KB. Pour LTSB 2016 via WSUS, KB5126868 demande aussi l'approbation du SSU KB5126649. Pour les médias entretenus avec Dynamic Update, vérifier la présence du fichier boot.stl adapté à la version et à l'architecture, comme l'exigent les KB.
Sur les appareils utilisés en Alberta, Colombie-Britannique ou Manitoba, ajouter enfin le contrôle du fuseau régional après mise à jour, avant le 1er novembre 2026. Aucun résultat sur un parc réel n'a été mesuré pour ce dossier.
Sources
- MSRC — CVRF October 2026 Security Updates : exploitation, produits et remédiations.
- Microsoft Learn — historique Windows 11 et Windows 10 : builds et cycles de vie.
- Cumulatives Windows 11 : KB5127648, KB5127646, KB5126653.
- Cumulatives Windows 10 : KB5126657, KB5126651, KB5126868.
- .NET Framework : KB5127690 et KB5127694.
- Release Health : Windows 11 25H2, 26H1 et Windows 10 22H2.
- Durcissements : NTLMv1 — KB5066470 et ReFS — KB5130741.
- Windows Message Center : cycle d'octobre, certificats et rappel Canada du 16 octobre.