Windows CVE-2026-96951 : quand le fichier piégé saute l’avertissement
Le 13 octobre 2026, jour du Patch Tuesday d’octobre, Microsoft a corrigé Windows CVE-2026-96951, une faille de Windows Shell (injection de commande) qui permet à un fichier piégé d’échapper à la « marque du Web » (Mark of the Web). Microsoft la classe « Exploitation détectée », avec une note CVSS de 8,8. La CISA l’a ajoutée le même jour à son catalogue des vulnérabilités exploitées, avec une échéance au 16 octobre pour les agences fédérales américaines.
En clair : l’avertissement « Ce fichier vient d’Internet, voulez-vous vraiment l’ouvrir ? » peut ne jamais apparaître. Pour bien comprendre le risque, voici un courriel d’hameçonnage annoté, puis la liste des mises à jour à installer, version par version.
Le courriel piégé, annoté
Exemple fictif inspiré des campagnes d’hameçonnage courantes. Les pastilles renvoient à la légende.
Légende : où se cache le danger
- 1Expéditeur qui imite un vrai fournisseur : un domaine presque identique au bon. Vérifiez l’adresse complète, pas seulement le nom affiché.
- 2Urgence artificielle : délai court et menace de suspension, pour vous faire agir sans réfléchir.
- 3Fichier ou lien à ouvrir : c’est le vecteur décrit par Microsoft pour CVE-2026-96951 (fichier piégé par courriel ou messagerie, ou lien vers un site contrôlé par l’attaquant).
- 4Le cœur de la faille : normalement, un fichier venu d’Internet porte la « marque du Web » (Mark of the Web, ZoneId=3) et Windows affiche un avertissement ou ouvre Office en mode protégé. Sur un poste non corrigé, ce fichier piégé peut sauter l’avertissement.
- 5Demande d’action : répondre, payer, « confirmer ». Dans le doute, appelez le fournisseur au numéro que vous connaissez déjà.
💡 Bon à savoir
- Ce n’est pas un ver : il faut qu’une personne ouvre le fichier ou clique sur le lien. Aucune infection automatique d’un poste à l’autre.
- Aucun contournement temporaire : Microsoft n’indique aucune mesure d’atténuation. La mise à jour est la seule solution.
- Outlook.com : corrigé côté service par Microsoft (version 20260925.100). Rien à faire pour ce service, mais les postes Windows, eux, doivent être mis à jour.
- Mac, Linux, iOS, Android : non concernés, car la faille touche Windows Shell.
Windows CVE-2026-96951 : la liste de contrôle Patch Tuesday, version par version
Installez la mise à jour cumulative d’octobre 2026, puis redémarrez. Cochez chaque ligne une fois la version confirmée sur vos postes et serveurs.
| Version de Windows | Mise à jour (KB) | Build corrigé | Fait |
|---|---|---|---|
| Windows 11 24H2, 25H2, 26H2 | KB5127648 | 26100 / 26200 / 26300.9711 | ☐ |
| Windows 11 26H1 | KB5127646 | 28000.3231 | ☐ |
| Windows 11 23H2 | KB5126653 | 22631.7652 | ☐ |
| Windows 10 21H2 et 22H2 | KB5126657 | 19044.7807 | ☐ |
| Windows 10 1809 / Windows Server 2019 | KB5126651 | 17763.9376 | ☐ |
| Windows 10 1607 / Windows Server 2016 | KB5126868 | 14393.9612 | ☐ |
| Windows Server 2025 | KB5126646 | 26100.33650 | ☐ |
| Windows Server 2022 | KB5126655 | 20348.5761 | ☐ |
| Windows Server 2012 R2 | KB5126836 | 9600.23470 | ☐ |
🖥️ Vérifier en 30 secondes
Dans PowerShell, cette commande affiche le build exact du poste :
$v = Get-ItemProperty ‘HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion’; "$($v.CurrentBuild).$($v.UBR)"
Comparez le résultat avec la colonne « Build corrigé ». Un poste qui attend son redémarrage n’est pas encore protégé.
Par où commencer dans une PME
- Les postes où on lit ses courriels (portables et ordinateurs de bureau) : ce sont eux que l’attaque vise en premier.
- Les postes partagés et d’administration, où l’on télécharge des outils.
- Les serveurs, au calendrier normal d’octobre : ils sont listés, mais l’attaque exige qu’une personne ouvre un fichier.
Une mise à jour ne remplace pas la vigilance : rappelez à votre équipe les signes d’un courriel piégé, comme pour l’hameçonnage par code d’appareil Microsoft 365. Une surveillance automatisée 24/7 avec intervention du technicien de garde aide aussi à repérer un poste qui se comporte anormalement après un clic. Voyez nos services de cybersécurité et notre surveillance cyber.
Réservez votre Bilan cyber gratuit
Vos postes Windows ont-ils vraiment reçu (et appliqué) les mises à jour d’octobre ? Notre Bilan cyber gratuit vérifie l’état de vos correctifs et votre protection contre l’hameçonnage, et vous remet un plan clair, sans jargon.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- CISA — CISA Adds Two Known Exploited Vulnerabilities to Catalog (13 octobre 2026) (en anglais)
- Microsoft Security Response Center — CVE-2026-96951 (en anglais)
- HOL — Windows zero-day lets booby-trapped files skip the download warning (CVE-2026-96951) (en anglais)
- CVE.org — CVE-2026-96951 (en anglais)
Photo : Nataliya Vaitkevich, Pexels (licence Pexels).