Le Patch Tuesday du 13 octobre 2026 corrige CVE-2026-96951, un contournement de fonctionnalité de sécurité dans le shell Windows déjà exploité dans la nature. Microsoft lui attribue un score CVSS de 8.8 et la classe « Important », une combinaison qui mérite d'être expliquée : la faille permet de contourner Mark of the Web, le marqueur que Windows pose sur les fichiers venus d'une source non fiable. Microsoft n'a communiqué aucun détail sur la méthode d'exploitation observée, ni sur l'identité du rapporteur. Le cycle comporte trois zero-days au total, dont deux divulguées publiquement avant le correctif, parmi lesquelles CVE-2026-108398, un contournement de fonctionnalité de sécurité du .NET Framework pouvant permettre de contourner Windows Defender Application Control (WDAC). Le volume global du cycle diverge selon les sources : BleepingComputer dénombre 1 411 vulnérabilités corrigées, Splashtop en compte 1 413 et le présente comme un record, contre 974 le mois précédent. Cet article explique ce que Mark of the Web protège réellement, pourquoi son contournement est une pièce de chaîne d'attaque et non une porte d'entrée, et comment prioriser ce cycle.
Ce que Mark of the Web protège, et ce qu'il ne protège pas
Mark of the Web n'est pas un contrôle d'accès. C'est une étiquette de provenance.
Quand un fichier arrive d'une source considérée comme non fiable (navigateur, client de messagerie, partage non approuvé), Windows attache au fichier un flux de données alternatif NTFS nommé Zone.Identifier. Ce flux contient un champ ZoneId dont la valeur indique la zone d'origine : 3 pour Internet, 4 pour une zone restreinte. Le fichier reste identique ; seule une métadonnée s'ajoute.
Ce marqueur ne bloque rien par lui-même. Il sert de signal aux applications qui le lisent :
| Protection | Comportement conditionné au marqueur |
|---|---|
| SmartScreen | Avertissement avant exécution d'un exécutable téléchargé |
| Office, mode protégé | Ouverture en lecture seule, rendu isolé |
| Office, macros | Refus d'exécution des macros d'un document venu d'Internet |
| Explorateur Windows | Avertissement de déblocage dans les propriétés du fichier |
La conséquence est directe : un contournement de Mark of the Web ne donne aucun accès. Il retire l'avertissement. L'utilisateur qui aurait vu une bannière rouge ne la voit plus, le document qui se serait ouvert en mode protégé s'ouvre normalement, la macro qui aurait été refusée s'exécute.
Pourquoi cette classe de faille se vend bien
Une campagne de hameçonnage se heurte à deux obstacles successifs : faire ouvrir le fichier, puis faire accepter l'avertissement. Le premier obstacle est un problème de rédaction, que les attaquants savent résoudre. Le second est un problème technique, et c'est exactement ce que résout un contournement de Mark of the Web.
C'est la raison pour laquelle cette famille de vulnérabilités a une histoire longue et une valeur marchande stable. Chaque nouveau contournement rend à nouveau exploitables des chaînes de livraison qui avaient cessé de fonctionner : pièce jointe dans une archive, image disque montée automatiquement, raccourci, conteneur de script. Le fichier malveillant n'a pas changé ; ce qui change, c'est que l'utilisateur ne voit plus qu'il vient de l'extérieur.
En vocabulaire MITRE ATT&CK, on est dans la tactique d'évasion des défenses, et plus précisément dans la sous-technique T1553.005, contournement des contrôles de confiance par marque de zone. La technique est documentée depuis des années, ce qui signifie deux choses : les attaquants l'outillent, et les équipes de détection savent en principe quoi chercher.
La priorisation de ce cycle
Avec plus de 1 400 vulnérabilités corrigées en un cycle, selon les deux décomptes disponibles, l'exhaustivité n'est pas un plan. La priorisation est le plan.
Rang 1, l'exploitation confirmée. CVE-2026-96951 est exploitée. C'est le seul signal qui transforme une vulnérabilité en incident potentiel déjà en cours quelque part. Le score de 8.8 et la classification « Important » ne changent rien à cette priorité : la classification de Microsoft mesure la gravité potentielle, pas l'activité observée. Une faille Critique non exploitée reste une hypothèse.
Rang 2, la divulgation publique. Deux vulnérabilités du lot étaient publiques au moment du correctif, dont CVE-2026-108398 sur le .NET Framework. Une vulnérabilité publique mais non encore exploitée a une fenêtre courte : le travail d'analyse est fait, il ne reste que l'outillage. Pour un parc qui s'appuie sur WDAC comme contrôle d'exécution, cette faille a un statut particulier, parce qu'elle attaque la mesure de durcissement elle-même et non l'application qu'elle protège. Un contrôle contourné est pire qu'un contrôle absent : il produit de la confiance sans produire de protection.
Rang 3, le reste, par exposition. Le volume restant se traite par classe d'actif et par exposition réseau, pas par score décroissant. Un serveur en bordure, un contrôleur de domaine et un poste de développeur n'ont pas le même profil de risque pour la même vulnérabilité.
Ce que le contournement change pour la détection
Si Mark of the Web peut être contourné, la détection ne peut plus s'appuyer sur l'absence du marqueur comme signal de normalité, ni sur SmartScreen comme garde-fou d'exécution. Trois déplacements en découlent.
Surveiller les processus parents, pas les avertissements. Un processus Office, un client de messagerie ou un navigateur qui engendre un interpréteur de commandes, un moteur de script ou un utilitaire de téléchargement reste anormal, que l'avertissement soit apparu ou non. Cette relation parent-enfant est le signal robuste, parce qu'elle ne dépend d'aucune métadonnée que l'attaquant contrôle.
Instrumenter les formats véhicules. Les archives, images disque, raccourcis et conteneurs de script sont les formats qui servent à transporter la charge jusqu'au point où le marqueur est perdu ou contourné. Leur arrivée par messagerie est un événement à journaliser, indépendamment de l'issue.
Vérifier les chaînes internes. Un contournement n'est pas la seule façon de perdre le marqueur : une archive décompressée par un outil tiers, une copie via un partage mal configuré, un transit par un format qui ne porte pas les flux NTFS produisent le même effet, sans aucune vulnérabilité. En PowerShell, Get-Item -Path .\fichier -Stream * liste les flux attachés à un fichier, et Get-Content -Path .\fichier -Stream Zone.Identifier en affiche le contenu. C'est le contrôle à passer sur ses propres canaux de distribution interne avant de s'inquiéter du contournement d'un attaquant.
Les mesures qui ne dépendent pas du marqueur
Le correctif reste la seule mesure qui ferme la faille. Mais trois mesures de durcissement ont la propriété d'être indifférentes au marqueur, donc insensibles à son contournement :
- Blocage des types de fichiers à la passerelle. Si l'archive, l'image disque ou le raccourci n'arrive pas, la question du marqueur ne se pose pas. C'est la mesure la plus grossière et la plus efficace.
- Blocage inconditionnel des macros par stratégie de groupe. Le paramètre de stratégie qui bloque les macros ne consulte pas le marqueur s'il est appliqué sans condition de zone.
- Contrôle d'exécution par liste d'autorisation. Une règle WDAC ou AppLocker qui n'autorise l'exécution que depuis des emplacements de confiance refuse le binaire avant que l'avertissement n'entre en jeu. Avec une réserve, qui est précisément l'objet de CVE-2026-108398 : cette mesure n'est solide que si le mécanisme d'application est lui-même à jour.
Le point commun de ces trois mesures est de ne pas faire confiance à une métadonnée. C'est le principe de conception à retenir : une protection qui dépend d'une étiquette que l'attaquant peut retirer n'est pas une protection, c'est une commodité.
Pour aller plus loin
Le durcissement d'un parc Windows, les listes d'autorisation d'exécution et le modèle d'administration par niveaux sont traités en détail dans la ressource sécuriser un environnement Windows en entreprise. La suite logique d'une exécution réussie sur un poste est l'élévation de privilèges, documentée dans privilege escalation Active Directory.
Sources
- BleepingComputer, « Microsoft October 2026 Patch Tuesday fixes 1 411 flaws, 3 zero-days », 13 octobre 2026.
- Splashtop, analyse du Patch Tuesday d'octobre 2026 (1 413 CVE recensées).
- Guide de mise à jour de sécurité Microsoft, cycle du 13 octobre 2026, pour le détail des versions affectées.
- MITRE ATT&CK, technique T1553.005, Subvert Trust Controls : Mark-of-the-Web Bypass.
