Patch Tuesday d'octobre : 1 411 failles corrigées, une déjà exploitée, et c'est la fin pour Windows 11 24H2 Home et Pro
Microsoft publie un Patch Tuesday record avec 1 411 vulnérabilités corrigées, dont une zero-day Windows exploitée par des pirates. C'est aussi la dernière mise à jour de sécurité pour Windows 11 24H2 en éditions Home et Pro.
Le deuxième mardi du mois, c’est le jour des correctifs chez Microsoft. Et celui d’octobre 2026 bat tous les records : 1 411 vulnérabilités corrigées d’un coup, selon le décompte de BleepingComputer. Parmi elles, trois failles « zero-day », dont une déjà utilisée par des pirates.
Mais pour beaucoup de particuliers, l’info la plus importante est ailleurs : c’est la dernière mise à jour de sécurité pour Windows 11 version 24H2 en éditions Home et Pro.
Un Patch Tuesday hors norme
Le volume donne le vertige. Sur les 1 411 failles, on compte :
- 677 élévations de privilèges (un programme obtient plus de droits qu’il ne devrait) ;
- 317 exécutions de code à distance ;
- 254 fuites d’informations ;
- le reste en dénis de service, usurpations et contournements de sécurité.
70 failles sont classées « critiques », dont 57 permettent d’exécuter du code à distance. Et ce total ne compte même pas les 348 failles déjà corrigées plus tôt dans le mois.
La faille déjà exploitée
La plus urgente s’appelle CVE-2026-96951. Elle touche Windows Shell et permet de contourner la protection « Mark of the Web ». C’est cette étiquette invisible que Windows colle sur les fichiers téléchargés depuis Internet, et qui déclenche les avertissements du type « Ce fichier provient d’Internet, êtes-vous sûr ? ».
Sans cette protection, un fichier piégé reçu par e-mail ou téléchargé peut s’ouvrir sans le moindre avertissement. L’attaque demande quand même une action de la victime : ouvrir une pièce jointe ou cliquer sur un lien. Microsoft confirme que la faille est exploitée, sans dire par qui. L’agence américaine CISA l’a ajoutée le jour même à son catalogue des failles activement exploitées.
Les deux autres zero-day ont été rendues publiques avant le correctif, mais ne sont pas exploitées à ce jour :
- CVE-2026-108398, dans .NET Framework, permet de contourner le contrôle des applications de Windows (WDAC). Elle a été découverte par James Forshaw, de Google Project Zero.
- CVE-2026-92707 est un déni de service dans la bibliothèque MessagePack-CSharp, de gravité modérée.
Windows 11 24H2 Home et Pro : c’est fini
Microsoft l’écrit noir sur blanc dans les notes de la mise à jour KB5127648 : « La mise à jour de sécurité mensuelle d’octobre 2026 est la dernière disponible pour ces éditions. » Le cycle de vie officiel fixe la fin au 14 octobre 2026.
Concrètement, un PC resté en Windows 11 24H2 Home ou Pro ne recevra plus aucun correctif de sécurité à partir de novembre. Chaque nouvelle faille découverte restera ouverte.
Côté entreprises, Windows 10 Enterprise LTSB 2016 tire aussi sa révérence. Et les éditions Enterprise, Education et IoT Enterprise de Windows 11 23H2 ne recevront plus de correctifs à partir du mois prochain.
Que faire
- Installez la mise à jour d’octobre : Paramètres > Windows Update > Rechercher des mises à jour, puis redémarrez.
- Vérifiez votre version : tapez
winverdans la barre de recherche. Si vous voyez 24H2 sur une édition Home ou Pro, passez à une version plus récente (25H2 ou 26H2), proposée gratuitement dans Windows Update. - Restez prudent avec les pièces jointes en attendant d’avoir mis à jour : la faille exploitée fait sauter un garde-fou que beaucoup d’utilisateurs ne remarquent même plus.