CVE-2026-96951 est une vulnérabilité de contournement de la protection Mark of the Web dans Windows Shell, corrigée lors du Patch Tuesday d'octobre 2026 et déjà exploitée activement selon Microsoft et la CISA. Elle touche la quasi-totalité des versions de Windows encore maintenues, ainsi qu'Outlook et Outlook Web, ce qui en fait une priorité de correction pour tous les parcs, professionnels comme particuliers.
CVE-2026-96951 : que dit l'avis de Microsoft
Microsoft décrit officiellement CVE-2026-96951 comme une « Windows Shell Security Feature Bypass Vulnerability ». Techniquement, il s'agit d'une neutralisation incorrecte d'éléments spéciaux utilisés dans une commande (injection de commande, CWE-77), qui permet à un attaquant distant de contourner l'avertissement de sécurité Mark of the Web. Ce mécanisme marque normalement les fichiers téléchargés depuis internet comme provenant d'une source non fiable, afin de déclencher un avertissement avant exécution. Le score CVSS 3.1 atteint 8,8 sur 10, avec le vecteur AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H : attaque réseau, complexité faible, aucun privilège requis, mais une interaction de la victime reste nécessaire, typiquement l'ouverture d'un fichier malveillant reçu par e-mail ou messagerie.
À retenir : sans le marquage Mark of the Web, Windows n'affiche plus l'avertissement habituel avant d'ouvrir un fichier téléchargé, ce qui facilite l'exécution d'un document ou d'un script piégé par simple double clic.
Quelles versions de Windows sont concernées ?
L'avis couvre pratiquement toutes les branches encore supportées de Windows et Windows Server, ainsi qu'Outlook.com et Outlook Web. Le tableau ci-dessous résume les versions corrigées :
| Produit | Build corrigée |
|---|---|
| Windows 10 22H2 | 10.0.19045.7807 |
| Windows 10 21H2 | 10.0.19044.7807 |
| Windows 11 23H2 | 10.0.22631.7652 |
| Windows 11 24H2 | 10.0.26100.9711 |
| Windows 11 25H2 | 10.0.26200.9711 |
| Windows Server 2019 | 10.0.17763.9376 |
| Windows Server 2022 | 10.0.20348.5761 |
| Windows Server 2025 | 10.0.26100.33650 |
Toute build antérieure à celle indiquée pour chaque branche reste vulnérable. Microsoft publie la liste complète, incluant Windows 10 1607, 1809 et Windows Server 2012 R2, dans son guide de mise à jour de sécurité.
Pourquoi cette faille est-elle déjà exploitée ?
Selon le chercheur Satnam Narang, cité par CSOonline, CVE-2026-96951 est la troisième faille Windows Shell exploitée activement corrigée depuis le début de l'année 2026, sur un total de vingt-six failles de ce composant déjà traitées. Ce rythme traduit l'intérêt persistant des attaquants pour les mécanismes de confiance de l'explorateur Windows, qui restent une porte d'entrée privilégiée pour déclencher l'exécution d'un fichier malveillant sans dépendre d'une vulnérabilité mémoire plus complexe à exploiter de façon fiable. La CISA a ajouté la faille à son catalogue des vulnérabilités connues pour être exploitées le 13 octobre 2026, avec une échéance de correction fixée au 16 octobre pour les agences fédérales américaines, déjà dépassée à l'heure où cet article est publié. Aucun code d'exploitation public n'a été identifié à ce stade, et aucune campagne de rançongiciel n'y est pour l'instant associée, ce qui n'enlève rien à l'urgence de corriger : une exploitation active confirmée signifie que la technique fonctionne déjà en conditions réelles.
Le même Patch Tuesday corrige deux autres failles zero-day. CVE-2026-102866, dans SharePoint, provient d'une validation défaillante des jetons cryptographiques : un attaquant qui obtient un jeton de preuve valide d'un utilisateur ciblé peut le falsifier pour s'authentifier à sa place, sans interaction de la victime. CVE-2026-108398, dans le .NET Framework, repose sur un chemin de recherche non fiable permettant de contourner Windows Defender Application Control (WDAC) pour exécuter des applications non autorisées. Les trois failles ont été corrigées le même jour et méritent un traitement conjoint dans les cycles de déploiement.
Que faire pour se protéger ?
La priorité est d'appliquer les mises à jour cumulatives d'octobre 2026 sur l'ensemble du parc Windows, en traitant en urgence les postes exposés à la réception de fichiers externes (messagerie, partages, navigation). Quelques points opérationnels à vérifier :
- Confirmer, via votre outil de gestion des correctifs (WSUS, Intune, SCCM ou équivalent), que la build corrigée est bien déployée sur chaque branche en service, y compris les serveurs Windows Server et les postes Outlook autonomes.
- Traiter en priorité les postes des fonctions les plus exposées au hameçonnage (direction, finance, RH), puisque l'exploitation nécessite l'ouverture d'un fichier par l'utilisateur.
- Vérifier en parallèle le déploiement des correctifs SharePoint (CVE-2026-102866) et .NET Framework/WDAC (CVE-2026-108398), publiés le même jour.
- Pour les systèmes qui ne peuvent pas être corrigés immédiatement, renforcer la sensibilisation des utilisateurs à l'ouverture de fichiers reçus par e-mail, en s'appuyant sur notre guide pour analyser un e-mail de phishing.
Comment prioriser cette faille parmi vos correctifs en attente ?
Avec plus de 1 400 CVE corrigées en un seul Patch Tuesday, prioriser devient un exercice à part entière. Le score CVSS de 8,8, combiné à l'inscription au catalogue CISA KEV, place CVE-2026-96951 au-dessus de la plupart des correctifs du mois pour les parcs Windows. Notre guide sur la manière de comprendre le score CVSS détaille comment lire ce type de score pour arbitrer entre plusieurs failles en attente de correctif, et l'outil ForenShield de calcul de score CVSS permet de comparer rapidement la criticité de vulnérabilités similaires. La base CVE de ForenShield centralise par ailleurs le suivi de CVE-2026-96951 et des autres failles citées dans cet article. Cette logique de priorisation par exploitation active, plutôt que par seul score CVSS, rejoint celle déjà observée sur Cisco ISE et sur CoreGraphics d'Apple, deux failles également inscrites au catalogue KEV ces dernières semaines.
Points clés
- CVE-2026-96951 est une faille de contournement de Mark of the Web dans Windows Shell (CVSS 8,8), corrigée en octobre 2026 et déjà exploitée activement.
- Elle touche Windows 10, Windows 11, Windows Server et Outlook/Outlook Web : seule l'application de la build corrigée pour chaque branche élimine le risque.
- La CISA l'a inscrite au catalogue KEV le 13 octobre, avec une échéance de correction au 16 octobre déjà dépassée pour les agences fédérales américaines.
- Le même Patch Tuesday corrige deux autres zero-days : CVE-2026-102866 (SharePoint) et CVE-2026-108398 (.NET Framework/WDAC), à traiter dans le même cycle.
- Aucun exploit public ni campagne de rançongiciel n'est pour l'instant documenté, ce qui ne justifie aucun délai : l'exploitation active est déjà confirmée.