Windows : n’ouvrez pas le fichier inattendu
CVE-2026-96951 contourne la marque du web après une action de l’utilisateur. La fiche NVD a changé : sa ligne Outlook Web n’a plus de borne de version.
Accessible
Image générée · SecuFocus
En bref
L’essentiel
Si vous utilisez Windows, n’ouvrez pas un fichier inattendu reçu par courriel ou par message. Lancez la mise à jour d’octobre. L’échéance fédérale inscrite est le 16 octobre 2026.
Ce qui change
Le 14 octobre 2026, le flux JSON du catalogue des failles exploitées était en version 2026.10.13, 1 741 entrées, publié le 13 octobre 2026 à 19 h 10 UTC. Deux entrées ont une date d’ajout au 13 octobre. L’une est Ivanti Connect Secure, déjà notée. L’autre est CVE-2026-96951, Microsoft Windows. Le titre du catalogue parle d’une injection de commande. La description dit que Windows Shell permet à un attaquant non autorisé de contourner une protection, à travers le réseau. L’échéance inscrite est le 16 octobre 2026. Le champ rançongiciel dit Unknown. Le triage forensique dit Yes. La faiblesse nommée est CWE-77. Le 15 octobre 2026, le flux est en version 2026.10.14, 1 745 entrées. CVE-2026-96951 n’a pas changé d’échéance : le 16 octobre reste inscrit. Les quatre ajouts du 14 octobre ont leur note.
L’alerte CISA du même jour dit que ces deux failles ont été ajoutées sur la base d’une exploitation active. Elle ne décrit pas le fichier, ni une version de Windows.
Le 16 octobre 2026, le flux est en version 2026.10.15, 1 746 entrées, publié le 15 octobre 2026 à 17 h 00 UTC. CVE-2026-96951 n’a pas changé d’échéance. L’ajout du 15 octobre est Atlassian, déjà noté. Le geste pour Windows ne change pas. Le 17 octobre 2026, le flux est en version 2026.10.16, 1 748 entrées, publié le 16 octobre 2026 à 17 h 15 UTC. Deux entrées ont une date d’ajout au 16 octobre : CVE-2026-102764, BeyondTrust, et CVE-2025-61624, Fortinet. Elles ont leur note. CVE-2026-96951 n’a pas changé d’échéance : le 16 octobre reste inscrit. Le geste pour Windows ne change pas.
Ce que Microsoft décrit du geste
Le guide Microsoft, relu le 19 octobre 2026 via son API, titre la faille Windows Shell Security Feature Bypass. La gravité indiquée est Important. L’impact indiqué est un contournement de protection. Le score de base est 8,8. Le score temporel est 8,2. Le champ exploited dit Yes. Le champ publiclyDisclosed dit No. Ces informations viennent de l’API Microsoft, pas d’un essai sur une machine Windows.
La foire aux questions du même guide dit qu’un attaquant qui réussit peut échapper aux défenses Mark of the Web, la marque du web. Elle décrit un scénario de courriel ou de message instantané : un fichier préparé pour la faille. Elle dit aussi que l’attaquant ne peut pas forcer l’ouverture. Il faut que la personne clique un lien ou ouvre la pièce jointe.
La fiche NVD, relue par l’API le 19 octobre 2026, est maintenant au statut Analyzed et porte une dernière modification au 16 octobre à 17 h 18 UTC. Sa description anglaise reprend le contournement de protection dans Windows Shell. Le score CVSS 3.1 fourni par Microsoft reste 8,8, élevé : réseau, complexité faible, sans compte, avec une action de l’utilisateur. Le coordinateur CISA marque l’exploitation active, non automatisable, avec un impact technique total.
Les configurations CPE nomment Windows 10, Windows 11 et plusieurs Windows Server, avec des bornes de build selon le système. Elles nomment aussi Outlook Web, sous l’identifiant outlook_web, sans plage de version. La borne 20260925.100 citée dans notre précédente lecture d’Outlook.com n’apparaît plus dans cette configuration. Nous ne la retenons plus comme borne actuelle. Cette ligne ne permet pas de déduire une mise à jour qu’un utilisateur d’Outlook Web devrait installer.
Ce que nous n’avons pas vérifié
Nous n’avons pas installé la mise à jour, et nous n’avons pas ouvert de fichier piégé. « Exploité » vient du catalogue, de l’alerte CISA et du champ Microsoft, pas d’un essai SecuFocus. Unknown dans le champ rançongiciel ne prouve pas l’absence d’une campagne. Nous n’avons pas relu la directive BOD 26-04. Le 16 octobre est l’échéance inscrite pour les agences fédérales américaines. Ce n’est pas un délai que SecuFocus fixe pour les autres lecteurs. Le 15 octobre 2026, l’avis CERTFR-2026-AVI-1314, publié le 14 octobre, dit que Microsoft indique que CVE-2026-96951 est activement exploitée. Il liste beaucoup d’autres identifiants Windows. Il ne donne pas une borne de version pour celui-ci, ni une échéance différente du catalogue. Le geste ne change pas.
Le choix
Si vous utilisez Windows, n’ouvrez pas un fichier ou un lien inattendu reçu par courriel ou par message. Lancez Windows Update et prenez les mises à jour applicables à votre système. La FAQ Microsoft exige toujours une action de l’utilisateur pour le scénario décrit. La ligne Outlook Web du NVD ne donne pas de borne permettant de choisir soi-même une version corrigée. Ivanti Connect Secure reste une autre note, pour un autre produit.
Vérifier, approfondir
Les sources de cet article
Les numéros relient chaque référence aux passages qui l’utilisent. La date indique quand la documentation a été consultée.
- Microsoft, guide MSRC, CVE-2026-96951, API relue le 19 octobre 2026 ↗msrc.microsoft.com ·
- CERT-FR, avis CERTFR-2026-AVI-1314 du 14 octobre 2026, Microsoft Windows ↗cert.cyber.gouv.fr ·Utilisée dans :Ce que nous n’avons pas vérifié
Cet article s’appuie sur les sources ci-dessus. Les exercices proposés sont à réaliser sur vos appareils ; SecuFocus ne les présente pas comme des essais menés par la rédaction. Les interfaces et les fonctions peuvent changer. Méthode et corrections.
Citer cet article
Pour retrouver cette lecture ou la partager avec sa référence.