Groupes de risque chez Microsoft : l’examen reste individuel

En parallèle des mises à jour de sécurité d’octobre, Microsoft présente des groupes de risque provisoires. Ils regroupent des vulnérabilités posant des questions similaires sur l’environnement du client et doivent faciliter la priorisation des correctifs. Il ne s’agit pas de catégories officielles : chaque vulnérabilité doit continuer d’être examinée individuellement.

À lire aussi : Failles Windows : ordre des correctifs pour les actifs critiques  ·  Faille du noyau Linux : Ubuntu ne livre pas encore de correctif

Le Patch-Tuesday d’octobre en chiffres

Le 13 octobre, à l’occasion du Patch-Tuesday mensuel, Microsoft a publié ses mises à jour de sécurité. Selon le décompte de BleepingComputer, elles corrigent 1 411 vulnérabilités. Les failles déjà corrigées plus tôt dans le mois ne sont pas comptées. Selon le décompte de la Zero Day Initiative, la version d’octobre compte 1 415 nouvelles CVE de Microsoft. Une CVE est le numéro d’identification unique d’une vulnérabilité répertoriée publiquement.

Le même jour, Microsoft a présenté une approche provisoire destinée à aider les clients dans leur propre analyse des vulnérabilités. Elle classe les vulnérabilités selon des questions portant sur l’environnement du client.

Comment les groupes de risque sont censés fonctionner

Microsoft désigne ce concept par le terme « groupes de risque », « risk cohorts » dans la version originale. Un groupe de risque regroupe des CVE qui soulèvent des questions similaires sur l’environnement du client. Il ne suppose ni cause sous-jacente commune ni score CVSS identique. La valeur CVSS est une mesure normalisée de la gravité technique d’une vulnérabilité.

Le classement dépend donc des questions qui se posent dans l’environnement informatique du client. Deux failles techniquement différentes peuvent ainsi figurer dans le même groupe. Les clients doivent documenter les questions d’environnement communes à un groupe. L’approche est conçue comme un soutien aux analyses que les clients mènent eux-mêmes.

Ce que les groupes ne font pas

Les groupes de risque ne sont pas des catégories officielles de vulnérabilités de Microsoft. Ils ne modifient en rien les recommandations de mise à jour de Microsoft. Un groupe ne signifie pas non plus qu’une mise à jour ou une contre-mesure commune corrige l’ensemble des CVE qu’il contient. La manière dont le concept pourrait être intégré aux outils de Microsoft reste à déterminer.

Chaque CVE doit continuer à être examinée individuellement. Quatre critères sont prévus à cet effet :

• exploitation active
• niveau de gravité
• vecteur d’attaque
• recommandations propres au produit

La documentation des questions d’environnement communes s’ajoute à cet examen.

Deux failles d’octobre en comparaison

Deux failles du bulletin d’octobre illustrent à quel point deux vulnérabilités publiées le même mois peuvent différer. CVE-2026-96951 concerne le shell Windows, l’interface utilisateur du système d’exploitation. La faille est considérée comme activement exploitée et présente le niveau de gravité « Important », qui signifie « important » en français. Un attaquant non autorisé peut injecter des commandes via le réseau, ce qu’on appelle une injection de commandes. Il contourne ainsi la protection Mark of the Web, un marquage Windows pour les fichiers issus d’Internet.

L’exploitation suppose une action de l’utilisateur. Selon la Zero Day Initiative, les personnes concernées doivent, en raison de l’exploitation active, tester et déployer rapidement le correctif.

CVE-2026-108398 dans le .NET Framework est différente. L’attaquant doit être authentifié, c’est-à-dire avoir ouvert une session valide. Il peut alors contourner localement Windows Defender Application Control, en abrégé WDAC. Cette fonction détermine quelles applications sont autorisées à fonctionner sur une machine. La faille est connue publiquement ; aucune exploitation active n’est signalée.

Au regard des quatre critères d’examen, les deux cas se distinguent notamment par l’exploitation active, le vecteur d’attaque et les conditions préalables que doit remplir l’attaquant. Les recommandations de mise à jour de Microsoft pour ces deux failles ne sont pas touchées par les groupes de risque.

Questions fréquentes

Les réponses sont masquées par défaut. Appuyez sur une question pour afficher la réponse.

Quel rôle joue l’utilisateur dans CVE-2026-96951 ?

Sans une action de la victime, la faille ne peut pas être exploitée. L’attaquant doit l’amener à agir, par exemple via un lien ou une pièce jointe piégés.

Le Security Update Guide affiche-t-il les groupes de risque ?

Pas pour l’instant. Le Security Update Guide, le portail de Microsoft avec les informations sur les mises à jour de sécurité, n’affiche pas encore les relations de cohorte. Une intégration concrète dans le produit n’est pas promise par Microsoft.

Les informations sur CVE-2026-96951 ont-elles été modifiées depuis la publication ?

Le journal des modifications ne mentionne pour la faille que la publication initiale du 13 octobre. La même date est indiquée pour la dernière version publiée du bulletin d’octobre.

Sélection de la rédaction

À lireLignes de correctifs Windows : séquence pour les actifs critiques

Source de l’image : généré par IA (novembre 2026)

Traduit de l’original allemand par intelligence artificielle. La version allemande fait foi.