Multiples vulnérabilités affectant les produits Microsoft

  • Auteur/autrice de la publication :

Origine : bjCSIRT

Numéro : 2026/ALERTE/128

APERÇU :

De multiples vulnérabilités ont été découvertes dans les produits Microsoft, permettant à un acteur malveillant de contourner des fonctionnalités de sécurité, d’exécuter des commandes arbitraires, et d’affecter la confidentialité, l’intégrité et la disponibilité des systèmes. 

DESCRIPTION :

Microsoft est un éditeur de logiciels dont la gamme de produits, notamment Windows, .NET Framework et ASP.NET Core, est largement déployée en environnement professionnel. 

Dans le cadre de son Patch Tuesday d’octobre 2026, Microsoft a corrigé 1 411 vulnérabilités, dont une activement exploitée et deux ayant fait l’objet d’une divulgation publique avant la mise à disposition d’un correctif. Ces trois vulnérabilités sont libellées comme suit : 

CVE-2026-96951 : Cette vulnérabilité est due à une neutralisation inappropriée d’éléments spéciaux utilisés dans une commande au sein de Windows Shell. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant non authentifié, via le réseau et après avoir amené l’utilisateur ciblé à ouvrir un fichier ou un lien spécialement conçu, de contourner le mécanisme Mark of the Web et d’obtenir le traitement d’un contenu qui aurait dû être soumis aux protections associées. Microsoft indique que cette vulnérabilité est activement exploitée, et elle figure au catalogue des vulnérabilités activement exploitées de la CISA depuis le 13 octobre 2026. 

Cette vulnérabilité est classée élevée avec un score de sévérité de 8.8 selon le CVSS v3.1. 

CVE-2026-108398 : Cette vulnérabilité découle d’un chemin de recherche non fiable dans .NET Framework. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant authentifié disposant d’un accès local de déposer un assemblage .NET spécialement conçu et de l’enregistrer pour chargement par un processus protégé, contournant ainsi les restrictions de Windows Defender Application Control et exécutant du code dans le contexte de ce processus.

Cette vulnérabilité est classée élevée avec un score de sévérité de 8.8 selon le CVSS v3.1. 

CVE-2026-92707 : Cette vulnérabilité résulte d’une allocation mémoire séquentielle mal contrôlée dans MessagePack for C#, bibliothèque de sérialisation utilisée notamment par le protocole MessagePack d’ASP.NET Core SignalR. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant non authentifié, par l’envoi répété via le réseau de données sérialisées spécialement conçues, de provoquer une consommation mémoire excessive et un déni de service de l’application exposée.

Cette vulnérabilité est classée moyenne avec un score de sévérité de 5.3 selon le CVSS v3.1.

IMPACT

  • Contournement de fonctionnalités de sécurité ; 
  • Exécution de commandes arbitraires ; 
  • Atteinte à la confidentialité des données ; 
  • Atteinte à l’intégrité des systèmes ; 
  • Atteinte à la disponibilité des systèmes. 

SYSTEMES AFFECTÉS 

  • CVE-2026-96951 : les versions de Windows dont le numéro de build est antérieur aux builds suivants : Windows 10 1607 et Windows Server 2016 (10.0.14393.9612), Windows 10 1809 et Windows Server 2019 (10.0.17763.9376), Windows 10 21H2 (10.0.19044.7807), Windows 10 22H2 (10.0.19045.7807), Windows 11 23H2 (10.0.22631.7652), Windows 11 24H2 (10.0.26100.9711), Windows 11 25H2 (10.0.26200.9711), Windows 11 26H1 (10.0.28000.3231), Windows 11 26H2 (10.0.26300.9711), Windows Server 2012 R2 (6.3.9600.23470), Windows Server 2022 (10.0.20348.5761) et Windows Server 2025 (10.0.26100.33650), ainsi que le service Outlook.com, corrigé par l’éditeur ; 
  • CVE-2026-108398 : Microsoft .NET Framework 3.5, 4.6.2, 4.7, 4.7.1, 4.7.2, 4.8 et 4.8.1, sur Windows 10 (1607, 1809, 21H2, 22H2), Windows 11 (23H2, 24H2, 25H2, 26H1, 26H2) et Windows Server 2012, 2012 R2, 2016, 2019, 2022 et 2025 ; 
  • CVE-2026-92707 : le paquet Microsoft.AspNetCore.SignalR.Protocols.MessagePack dans les versions 8.0.0 à 8.0.31, 9.0.0 à 9.0.20, 10.0.0 à 10.0.12 et 11.0.0-preview.5 à 11.0.0-rc.1, ainsi que le paquet MessagePack dans les versions antérieures à 2.5.303 et les versions 3.0.0 à 3.1.8. 

 MESURES À PRENDRE :

  • Mettre à jour les systèmes affectés en appliquant les mises à jour de sécurité Microsoft d’octobre 2026, et vérifier que les postes et serveurs atteignent au minimum les numéros de build indiqués ;
  • Traiter en priorité la CVE-2026-96951, activement exploitée et inscrite au catalogue des vulnérabilités activement exploitées de la CISA, dont l’échéance de remédiation fixée au 16 octobre 2026 est dépassée ;
  • Mettre à jour le paquet Microsoft.AspNetCore.SignalR.Protocols.MessagePack vers la version 8.0.32, 9.0.21, 10.0.13 ou 11.0.0-rc.2 selon la branche, et le paquet MessagePack vers la version 2.5.303 ou 3.1.9, puis recompiler et redéployer les applications concernées ;
  • Planifier la migration des éditions ayant atteint leur fin de support, Windows 11 version 24H2 Home et Pro ainsi que Windows 10 Enterprise LTSB 2016, pour lesquelles la mise à jour d’octobre 2026 est la dernière publiée ;
  • Sensibiliser les utilisateurs à ne pas ouvrir les pièces jointes et liens d’origine inconnue, le contournement de Mark of the Web reposant sur une action de leur part ;
  • Aucune action n’est requise pour le service Outlook.com, corrigé par l’éditeur. 

RÉFÉRENCES :