CVE-2026-96951 : contournement de Mark of the Web dans Windows Shell exploité — installez la mise à jour d’octobre

Le 13 octobre 2026, Microsoft a corrigé, dans le cadre de ses mises à jour mensuelles de sécurité, une vulnérabilité de Windows Shell déjà utilisée pour des attaques. Cette vulnérabilité porte l’identifiant CVE-2026-96951 et Microsoft la qualifie d’« Important » avec un score CVSS de 8.8. Un attaquant envoie un fichier piégé par e-mail ou message instantané ; si la victime l’ouvre, la protection Mark of the Web (MotW) ne s’applique pas. Microsoft indique avoir détecté son exploitation et l’agence américaine CISA a ajouté la vulnérabilité le même jour à son catalogue des vulnérabilités exploitées (KEV). Des mises à jour sont disponibles pour toutes les versions de Windows répertoriées ; Microsoft ne mentionne aucune mesure de contournement.

L’essentiel en bref

Versions concernées et mises à jour

Les informations proviennent du Security Update Guide de Microsoft. Tous les builds inférieurs au build indiqué sont concernés.

Pour Windows 10 22H2, le Security Update Guide indique le build 10.0.19044.7807. La page KB de Microsoft indique toutefois KB5126657 avec le build 19045.7807 pour 22H2 et 19044.7807 pour 21H2 ; le tableau suit la page KB. Windows 10 22H2 et Windows Server 2012 R2 n’apparaissent dans le Security Update Guide que comme entrées ESU. Les appareils sans Extended Security Updates ne reçoivent pas la mise à jour et restent vulnérables.

Pour Outlook.com, Microsoft ne fournit aucune autre indication que le numéro de version 20260925.100 et le renvoi aux notes de publication.

Pour vérifier si la mise à jour est installée, utilisez Get-HotFix localement ou sur plusieurs ordinateurs :

Get-HotFix -Id KB5126655 -ComputerName srv01.example.com, srv02.example.com

Si la commande ne renvoie aucun résultat pour un ordinateur, la mise à jour y est absente. Get-HotFix lit la classe WMI Win32_QuickFixEngineering et n’affiche que les mises à jour installées via Component Based Servicing.

Ce que l’on sait de l’exploitation

Dans la FAQ de l’advisory, Microsoft décrit un scénario d’attaque par e-mail ou message instantané : l’attaquant envoie un fichier piégé à la victime. Il ne peut pas la contraindre à ouvrir le fichier et doit l’amener à cliquer sur un lien ou à ouvrir une pièce jointe. Il en résulte un contournement de Mark of the Web. Mark of the Web est le marquage que Windows appose aux fichiers provenant d’Internet ; selon l’analyse de CrowdStrike, il déclenche notamment l’affichage protégé dans Office et l’avertissement SmartScreen pour les programmes téléchargés.

Microsoft classe la vulnérabilité comme exploitée et non connue publiquement avant le Patch Tuesday. Selon Tenable, il s’agit de la troisième vulnérabilité de Windows Shell exploitée cette année, après CVE-2026-21510 (février) et CVE-2026-32202 (avril).

Au 14 octobre 2026, aucune information publique n’est disponible sur les attaquants, les campagnes, les cibles, les types de fichiers utilisés et les indicateurs. La CISA indique « Unknown » pour l’utilisation par des groupes de ransomware.

Mesures immédiates

1. Installer la mise à jour : installez la mise à jour cumulative d’octobre figurant dans le tableau sur tous les clients et serveurs Windows, puis redémarrez-les. Microsoft exige un redémarrage pour toutes les entrées. Les clients ayant accès aux e-mails et aux chats devraient être traités en priorité, car c’est là que le scénario d’attaque décrit intervient.

2. Vérifier l’état d’installation : utilisez Get-HotFix ou votre propre gestion des mises à jour pour confirmer que la mise à jour est installée sur tous les appareils et corriger les exceptions.

3. Traiter les systèmes sans mise à jour : Windows 10 22H2 et Windows Server 2012 R2 sans ESU ne reçoivent pas la mise à jour. Inscrivez ces appareils au programme ESU, mettez-les à niveau vers une version prise en charge ou isolez-les des communications e-mail et chat.

4. Réduire l’exposition : Microsoft ne proposant aucune mesure de contournement, la seule option avant la mise à jour consiste à compliquer la livraison de fichiers piégés. Le filtrage des pièces jointes à la passerelle de messagerie ou dans Exchange Online Protection, ainsi que la vérification des liens, réduisent le nombre de fichiers qui parviennent aux utilisateurs. Les utilisateurs devraient être informés que des attaques utilisant des pièces jointes piégées sont actuellement en cours.

Vérification d’une compromission

Au 14 octobre 2026, Microsoft, la CISA et les analyses examinées ne mentionnent aucun indicateur (noms de fichiers, hachages, adresses IP ou domaines). Une recherche ciblée de cette vulnérabilité n’est donc pas possible. Outre la mise à jour, la CISA exige des agences fédérales américaines un triage forensique conformément aux exigences de la directive BOD 26-04.

La mise à jour corrige la vulnérabilité, mais n’annule pas l’exécution déjà éventuelle d’un logiciel malveillant. Il est donc judicieux de :

1. Vérifier les alertes de la solution de sécurité endpoint (par exemple Microsoft Defender for Endpoint) des dernières semaines pour détecter les fichiers lancés depuis des pièces jointes d’e-mails, des messages de chat ou des téléchargements.

2. Vérifier les journaux de la passerelle de messagerie et de la quarantaine pour les pièces jointes et liens signalés par des utilisateurs ou autorisés malgré un avertissement.

3. Isoler les appareils suspects et sauvegarder les journaux avant tout nettoyage, afin de préserver la possibilité d’une analyse forensique.

4. Surveiller l’advisory : si Microsoft complète l’advisory ou si une entreprise de sécurité publie des indicateurs, répétez la recherche avec ces éléments.

Mise en contexte

Windows Shell fait partie de chaque installation de Windows ; CrowdStrike considère donc pratiquement l’ensemble du parc Windows comme concerné. Le scénario d’attaque repose sur l’utilisateur : une pièce jointe ou un lien transmis par e-mail ou chat suffit si la victime l’ouvre. Mark of the Web est à la base de plusieurs fonctions de protection de Windows et Office ; son contournement supprime les avertissements que les utilisateurs verraient autrement avant d’ouvrir un fichier. Aucun avis du Centre national pour la cybersécurité (NCSC) ou d’autres CERT européens concernant CVE-2026-96951 n’a pu être trouvé jusqu’au 14 octobre 2026.