Pour les industriels, les multiples correctifs de sécurité de Microsoft sont un casse-tête

Le 13 octobre 2026, Microsoft a publié 176 mises à jour corrigeant 1 413 vulnérabilités dans Windows, Office, Exchange Server, SharePoint, SQL Server, Azure et ses outils de développement. C’est un record absolu pour une publication mensuelle : jamais un Patch Tuesday n’avait dépassé le millier de failles.

La principale raison ? Microsoft a livré de nombreux correctifs concernant ses services cloud. N’empêche, pour les responsables informatiques et DSI (Directeur des systèmes d’information), cette avalanche est difficile à gérer.

Le détail du lot donne la mesure du chantier : environ 70 vulnérabilités critiques, trois zero-days (des failles jusqu’à présent inconnues même de l’éditeur) dont un activement exploité, et une répartition très concentrée sur Windows avec 1 102 failles.
Et ce n’est pas tout : Office (134 failles), les outils de développement (61), SharePoint Server (36), SQL Server (22), Azure (15) et Exchange Server (7).

Pour mesurer l’ampleur de ce défi, il faut savoir que ce volume dépasse à lui seul le total des correctifs publiés par Microsoft sur toute l’année 2025 ! Et c’est déjà le troisième record mensuel en quatre mois, après juillet et septembre. Il faut s’attendre à ce que ces records se banalisent !

Le piège de la fatigue des correctifs

Face à 1 413 correctifs, deux écueils guettent les équipes. Le premier : viser l’exhaustivité, s’épuiser et prendre du retard partout. Le second : se réfugier dans la priorisation purement technique par score CVSS (Common Vulnerability Scoring System, un système standardisé de notation de la gravité des vulnérabilités informatiques, maintenu par l’organisation FIRST « Forum of Incident Response and Security Teams »).

Avec cette seconde option, les équipes risquent de réagir trop tard aux vulnérabilités réellement utilisées par les attaquants. L’écart entre gravité théorique et exploitation réelle est précisément ce qu’illustre CVE-2026-96951 : un score et une qualification Microsoft ne suffisent pas à décider.

Heureusement, il existe des méthodes éprouvées pour reprendre la maîtrise, fondées sur cinq piliers.

1. Cartographier l’exposition réelle de ses actifs (ses données et équipements majeurs). Un correctif concernant un serveur exposé sur Internet ou un poste administrateur passe avant celui d’un poste interne isolé. L’inventaire des actifs, de leurs versions et de leur accessibilité est le prérequis absolu : à cette échelle, ce filtre réduit mécaniquement le périmètre de la première vague.
2. Prioriser l’exploitation observée sur la gravité théorique. Le catalogue KEV de la CISA recense les failles dont l’exploitation est confirmée et doit servir d’entrée directe dans tout cadre de priorisation, indépendamment du CVSS. Le score EPSS du FIRST complète utilement l’arsenal en estimant la probabilité d’exploitation dans les 30 jours.
3. Croiser avec la criticité métier. La priorisation doit intégrer la dépendance métier du système, les chemins d’attaque internes et sa place dans l’architecture. Attention : l’absence d’exposition à Internet n’immunise pas contre une faille exploitable par fichier malveillant, c’est exactement le vecteur de CVE-2026-96951.
4. Utiliser la segmentation comme filet de sécurité. En attendant le déploiement, les mesures compensatoires bornent les dégâts : segmentation réseau, filtrage des contenus entrants, restrictions d’accès, voire désactivation temporaire d’une fonctionnalité. Elles ne remplacent jamais le correctif.
5. Industrialiser tests et déploiement progressif. Un correctif qui casse une application métier peut coûter plus cher que la faille qu’il referme. Tests proportionnés à l’urgence, périmètre pilote, non-régression automatisée, déploiement par vagues et plan de retour arrière sont indispensables. La politique courante : quelques jours pour les failles exploitées, deux à quatre semaines pour les autres.

Ce record n’est probablement qu’une étape : la croissance des décomptes est liée à l’usage accru de l’IA pour détecter les défauts logiciels. À l’avenir, la performance ne se mesurera plus au nombre de correctifs appliqués, mais à la capacité d’identifier rapidement celles qui menacent réellement les actifs critiques. Un vrai changement culturel (de la conformité vers la gestion du risque) devenu une condition de survie opérationnelle.