Microsoft a battu son propre record de correctifs de sécurité avec la mise à jour d'octobre, surnommée Patch Tuesday. Plus de 1 400 vulnérabilités ont été corrigées en une seule fois, contre près de 1 000 en septembre, un chiffre déjà dix fois supérieur à la charge mensuelle habituelle. Selon Tenable, l'éditeur a désormais dépassé les 4 000 CVE pour l'année, alors qu'il reste encore deux mois avant la fin de 2026.
Parmi ces correctifs, un seul concerne une faille déjà exploitée dans la nature : CVE-2026-96951, un contournement de fonctionnalité de sécurité dans Windows Shell, affectant Windows 10, Windows 11 et certaines versions de Windows Server. Une autre vulnérabilité, CVE-2026-108398, Framework, avait été divulguée publiquement avant la publication du patch, offrant aux attaquants une longueur d'avance. Au moins 78 des bugs corrigés sont classés critiques, et la plupart permettent une exécution de code à distance avec peu ou pas d'interaction de l'utilisateur.
Les utilisateurs de Windows 10 peuvent souffler un peu : Microsoft a discrètement prolongé les mises à jour gratuites jusqu'en octobre 2027. Face au rythme des exploitations, cette décision vise probablement à éviter une débâcle à l'échelle d'Internet. L'éditeur attribue ce volume record à l'utilisation de modèles de langage pour la chasse aux bugs, ce qui place les administrateurs système dans une position délicate, contraints de tester et déployer des centaines de correctifs. Fortra précise que seulement 26 vulnérabilités Microsoft ont intégré le catalogue KEV de la CISA cette année, ce qui peut aider à prioriser les mises à jour.
La semaine a également été marquée par la compromission des clés privées de huit certificats intermédiaires de l'autorité de certification indienne eMudhra, qui commercialise des certificats sous la marque emSign. Six certificats TLS et deux certificats de signature de code, rattachés à la racine emSign ECC Root CA – G3, étaient concernés. Un chercheur identifié sous le nom de Wayne a prouvé la compromission en signant un message avec chacune des clés, avant de les transmettre aux programmes de racines de confiance. Le secret de l'une des clés, « EM OV TLS CA – G3C », n'était autre que l'entier 4. Les autres valeurs étaient tout aussi triviales : 56, 230, 237, 115, 155, 156 et 66. Ces clés ont été générées de manière incorrecte par l'autorité en avril 2025, et n'importe qui pouvait les retrouver à partir des certificats publics.
Les navigateurs ont réagi rapidement. Chrome a bloqué les certificats en moins de deux heures après le signalement, et Mozilla en moins de trois, retirant la racine de NSS et publiant une mise à jour de Firefox pour les utilisateurs ayant désactivé les mises à jour automatiques. Aucun certificat frauduleux n'a été détecté dans les journaux de transparence des certificats, ce qui signifie que les navigateurs modernes n'ont jamais été exposés. Le problème concerne surtout les logiciels qui ne vérifient pas les listes de révocation et continuent de faire confiance à ces clés jusqu'à la mise à jour de leur liste de racines intégrée. Go a intégré les huit clés compromises dans sa bibliothèque standard, mais seuls les programmes recompilés avec la nouvelle version seront protégés. Python, Rust, Java, Node.js, curl et la plupart des distributions Linux ont mis à jour leurs bundles de racines. Un site dédié,, propose une liste complète, un outil de vérification et des solutions manuelles, notamment pour macOS, dont curl et git intégrés ne vérifient pas la révocation.
Enfin, PHP, le langage qui fait tourner une part importante du web, a connu une semaine difficile. Deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619, ont fuité sur Hacker News un jour avant la levée de l'embargo, forçant PHP à précipiter la publication de son correctif. Ryan Austin, de Calif, a publié une analyse complète démontrant une exécution de code à distance avant authentification sur des applications majeures en configuration par défaut, et ce depuis PHP 5.4.0, soit plus d'une décennie de versions affectées. La technique exploitée est ancienne : elle repose sur le dépassement de la limite de mémoire allouée à chaque requête, un mécanisme déjà identifié par Stefan Esser en 2004. WordPress, Drupal, Magento, phpMyAdmin et de nombreux panneaux de contrôle d'hébergement étaient potentiellement concernés.