Multiples vulnérabilités affectant les produits Microsoft

Microsoft est un éditeur de logiciels dont la gamme de produits, notamment Windows, .NET Framework et ASP.NET Core, est largement déployée en environnement professionnel. Dans le cadre de son Patch Tuesday d'octobre 2026, Microsoft a corrigé 1 411 vulnérabilités, dont une activement exploitée et deux divulguées publiquement avant la mise à disposition d'un correctif. Ces trois vulnérabilités sont libellées comme suit : CVE-2026-96951 : vulnérabilité due à une neutralisation incorrecte d'éléments spéciaux utilisés dans une commande au sein de Windows Shell. Son exploitation permettrait à un acteur malveillant non authentifié, via le réseau et après avoir amené l'utilisateur ciblé à ouvrir un fichier ou un lien spécialement conçu, de contourner le mécanisme Mark of the Web et d'obtenir le traitement d'un contenu qui aurait dû être soumis aux protections associées. Microsoft indique que cette vulnérabilité est activement exploitée ; elle figure au catalogue des vulnérabilités activement exploitées de la CISA depuis le 13 octobre 2026. Elle est classée haute avec un score de sévérité de 8.8 selon le CVSS v3.1. CVE-2026-108398 : vulnérabilité résultant d'un chemin de recherche non fiable dans .NET Framework. Son exploitation permettrait à un attaquant authentifié disposant d'un accès local de déposer un assemblage .NET spécialement conçu et de le faire charger par un processus protégé, contournant ainsi les restrictions de Windows Defender Application Control et exécutant du code dans le contexte de ce processus. Elle est classée haute avec un score de sévérité de 8.8 selon le CVSS v3.1. CVE-2026-92707 : vulnérabilité résultant d'une allocation mémoire séquentielle mal contrôlée dans MessagePack for C#, une bibliothèque de sérialisation utilisée notamment par le protocole MessagePack d'ASP.NET Core SignalR. Son exploitation permettrait à un acteur malveillant non authentifié, en envoyant de manière répétée des données sérialisées spécialement conçues via le réseau, de provoquer une consommation excessive de mémoire et un déni de service de l'application exposée. Elle est classée moyenne avec un score de sévérité de 5.3 selon le CVSS v3.1.

• CVE-2026-96951 : versions de Windows dont le numéro de build est antérieur aux builds suivants : Windows 10 1607 et Windows Server 2016 (10.0.14393.9612), Windows 10 1809 et Windows Server 2019 (10.0.17763.9376), Windows 10 21H2 (10.0.19044.7807), Windows 10 22H2 (10.0.19045.7807), Windows 11 23H2 (10.0.22631.7652), Windows 11 24H2 (10.0.26100.9711), Windows 11 25H2 (10.0.26200.9711), Windows 11 26H1 (10.0.28000.3231), Windows 11 26H2 (10.0.26300.9711), Windows Server 2012 R2 (6.3.9600.23470) et Windows Server 2025 (10.0.26100.33650), ainsi que le service Outlook.com, corrigé par l'éditeur ;
• CVE-2026-108398 : Microsoft .NET Framework 3.5, 4.6.2, 4.7, 4.7.1, 4.7.2, 4.8 et 4.8.1, sur Windows 10 (1607, 1809, 21H2, 22H2), Windows 11 (23H2, 24H2, 25H2, 26H1, 26H2) et Windows Server 2012, 2012 R2, 2016, 2019, 2022 et 2025 ;
• CVE-2026-92707 : paquet Microsoft.AspNetCore.SignalR.Protocols.MessagePack dans les versions 8.0.0 à 8.0.31, 9.0.0 à 9.0.20, 10.0.0 à 10.0.12 et 11.0.0-preview.5 à 11.0.0-rc.1, ainsi que le paquet MessagePack dans les versions antérieures à 2.5.303 et les versions 3.0.0 à 3.1.8.