Zero-day Windows : l'avertissement des fichiers saute (13/10/2026)
Une faille de Windows Shell deja utilisee dans des attaques fait sauter le bandeau « ce fichier vient d'Internet ». Une seconde faille exploitee touche les acces distants Ivanti. Les deux correctifs datent du 13 octobre 2026.
En bref
Le 13 octobre 2026, Microsoft a corrige une faille de Windows Shell deja exploitee par des attaquants : CVE-2026-96951, que l'editeur note 8,8 sur 10[1][2]. Elle permet de faire sauter l'avertissement « ce fichier vient d'Internet » (Mark of the Web), celui qui s'affiche quand un salarie ouvre une piece jointe telechargee[1]. Le meme jour, l'agence americaine CISA a inscrit ce zero-day Windows et un contournement d'authentification d'Ivanti Connect Secure a son catalogue des failles activement exploitees[2][5].
Ce que fait cette faille, concretement
Quand un fichier arrive d'Internet, Windows lui attache une marque de provenance, le Mark of the Web, et affiche un avertissement a l'ouverture. CVE-2026-96951 est une injection de commande dans Windows Shell qui permet a un attaquant non authentifie de contourner cette protection par le reseau[1][2]. Le scenario decrit par Microsoft est banal : l'attaquant envoie par e-mail ou par messagerie un fichier specialement concu, et il faut que l'utilisateur l'ouvre ou clique sur un lien ; l'editeur precise qu'il n'existe aucun moyen de forcer la victime a regarder le contenu[1].
Deux details comptent. D'abord, Microsoft classe la faille « Important » et non « Critique », mais indique une exploitation detectee, alors qu'elle n'avait pas ete divulguee publiquement avant le correctif[1]. Une faille qui sert deja et que personne n'avait vue venir ne se traite pas selon son etiquette de gravite. Ensuite, le vecteur retenu par l'editeur suppose une interaction de l'utilisateur, mais aboutit a une atteinte elevee de la confidentialite, de l'integrite et de la disponibilite[1][2]. Autrement dit : un clic, et le poste est a l'attaquant.
La CISA a ajoute la faille a son catalogue des vulnerabilites activement exploitees le 13 octobre, sous le nom « Microsoft Windows Command Injection Vulnerability », avec une correction exigee au 16 octobre 2026[2][3]. Attention a ne pas se tromper sur cette date : elle s'impose aux agences federales americaines, pas a une PME belge, francaise, neerlandaise ou luxembourgeoise. Elle reste le meilleur indicateur public du niveau d'urgence, et trois jours est un delai qui parle.
Le second correctif du jour : Ivanti Connect Secure
Le meme 13 octobre, une deuxieme faille exploitee a ete inscrite au catalogue, avec la meme echeance : CVE-2026-104935, un contournement d'authentification par usurpation dans Ivanti Connect Secure[4][5]. Elle touche les versions anterieures a 25.1.3.0 et permet a un attaquant distant non authentifie d'executer des commandes arbitraires ; l'editeur precise que la version 22.7R2.14 et les precedentes ne sont pas concernees[4][5]. Le score est de 8,6 sur 10 et aucune action de l'utilisateur n'est necessaire[5].
Si votre acces distant passe par un boitier Ivanti, c'est la priorite du jour, avant le parc Windows : une faille sans interaction sur un equipement expose a Internet se trouve en quelques minutes avec un scanner, et il n'y a personne a tromper. Le scenario est celui que nous avons decrit il y a deux semaines a propos des deux failles NetScaler exploitees avant la publication du correctif, puis de la faille FortiMail sur la passerelle e-mail. Trois fois en un mois, la porte d'entree n'etait pas un poste de travail, mais l'equipement charge de garder la porte.
| Faille | Produit | Score | Interaction requise |
|---|---|---|---|
| CVE-2026-96951 | Windows Shell, contournement du Mark of the Web | 8,8[1] | Oui : ouvrir un fichier[1] |
| CVE-2026-104935 | Ivanti Connect Secure anterieur a 25.1.3.0 | 8,6[5] | Non[5] |
Pourquoi un zero-day Windows change la donne pour une PME
La plupart des formations a la securite reposent sur une consigne simple : si Windows vous avertit que le fichier vient d'Internet, reflechissez avant d'ouvrir. CVE-2026-96951 supprime cet avertissement[1]. Le salarie qui fait exactement ce qu'on lui a appris ne voit plus rien d'anormal. C'est toute la difference entre une erreur humaine, que la formation corrige, et un piege invisible, qu'elle ne corrige pas.
La consequence pratique est qu'il faut cesser de compter sur le discernement des utilisateurs pour ce type de fichier, et verifier les barrieres qui restent : le blocage des macros dans les documents venus d'Internet, le filtrage des pieces jointes a la passerelle, la detection sur les postes, et surtout le delai reel entre la publication d'un correctif Microsoft et son installation sur l'ensemble du parc. Ce delai est la seule mesure qui compte vraiment, et c'est aussi la seule que la plupart des PME ne mesurent pas. Dans notre lecture du rapport de l'ANSSI sur l'attaque de la DGFiP, l'enchainement etait deja celui-la : rien d'exotique, seulement des protections manquantes et une detection absente.
Les quatre pays : a qui vous parlez en cas d'incident
Les deux failles sont les memes partout, mais l'interlocuteur change. En Belgique, le CCB et son CERT.be publient les avis nationaux et recoivent les signalements. Aux Pays-Bas, c'est le NCSC-NL, avec la RDI pour les obligations issues de la Cyberbeveiligingswet. En France, l'ANSSI et son CERT-FR. Au Luxembourg, le CIRCL, et l'ILR pour les secteurs regules.
Si votre entreprise releve de NIS2, un incident important ne se gere pas seulement techniquement : il se declare, dans des delais et sous une forme fixes par la loi nationale de transposition. Nos fiches par pays disent qui est dans le perimetre : NIS2 en Belgique, aux Pays-Bas, au Luxembourg, et pour la France notre analyse du perimetre transport et logistique. Cette question se tranche avant l'incident, pas pendant.
A faire cette semaine
- Verifier si un boitier Ivanti Connect Secure est en service et relever sa version : tout ce qui est anterieur a 25.1.3.0 et posterieur a 22.7R2.14 passe en premier[4].
- Confirmer que les mises a jour Microsoft du 13 octobre 2026 sont installees sur tous les postes et serveurs Windows, et pas seulement sur ceux qui redemarrent souvent[6].
- Sortir la liste des machines qui n'ont pas recu le correctif sous sept jours : c'est votre indicateur de correction, a regarder chaque mois.
- Verifier par strategie que les macros des documents venus d'Internet sont bloquees, puisque la marque de provenance peut etre contournee[1].
- Prevenir les equipes en une phrase : un fichier peut desormais s'ouvrir sans aucun avertissement, la prudence ne depend plus du bandeau jaune.
- Noter qui appeler selon le pays, CCB/CERT.be, NCSC-NL, CERT-FR ou CIRCL, avec le numero de votre prestataire IT conserve hors ligne.
Chez CyberNovaLabs.io
Nous aidons les PME des Pays-Bas, de Belgique, de France et du Luxembourg a tenir deux choses ensemble : un parc corrige en quelques jours plutot qu'en quelques mois, et des pieces jointes filtrees avant qu'elles n'arrivent dans une boite. Notre verification de la securite e-mail et notre page cybersecurite montrent ce que nous regardons en premier. Si vous voulez un avis franc sur votre delai de correction reel, parlons-en vingt minutes.
Sources
- Microsoft Security Update Guide - CVE-2026-96951, Windows Shell Security Feature Bypass Vulnerability (13/10/2026)
- NIST NVD - CVE-2026-96951, detail et statut CISA KEV (13/10/2026)
- CISA - Known Exploited Vulnerabilities Catalog, ajouts du 13/10/2026
- Ivanti - Security Advisory Ivanti Connect Secure CVE-2026-104935 (13/10/2026)
- NIST NVD - CVE-2026-104935, Ivanti Connect Secure (13/10/2026)
- Microsoft - October 2026 Security Updates, note de publication (13/10/2026)
Des rendez-vous qualifiés, sans engagement.
Critères écrits avant le lancement, paiement au rendez-vous ou au forfait, arrêt par simple e-mail.
À lire aussi
Failles critiques PHP : votre site web est concerné (21/10/2026)
Deux vulnérabilités critiques dans PHP, le moteur sous la plupart des sites de PME, permettent une exécution de code à distance sans authentification. Les correctifs sont sortis le 21 octobre 2026. Ce qu'il faut vérifier cette semaine, et ce qui ne sera jamais corrigé.
Lire l'article →22 octobre 2026 · 9 min de lectureNIS2 Pays-Bas : éditeurs de logiciels et prestataires IT, concernés ?
Éditer un logiciel ne figure pas dans la loi néerlandaise. Gérer l'infrastructure d'un client, héberger, surveiller : si. Voici comment trancher votre cas en dix minutes, avec les dates néerlandaises, l'autorité compétente et la règle d'établissement principal qui décide qui vous contrôle.
Lire l'article →15 octobre 2026 · 8 min de lectureNIS2 Luxembourg : cabinets comptables et fiduciaires, concernés ?
La loi du 5 mai 2026 ne nomme nulle part la comptabilité. Cela ne veut pas dire que votre cabinet est tranquille : trois portes d'entrée subsistent, et une seule concerne vraiment les fiduciaires luxembourgeoises.
Lire l'article →14 octobre 2026 · 7 min de lectureNIS2 Belgique : industrie et production, qui est concerné ?
La plupart des usines belges ne sont pas dans le champ de NIS2, et celles qui le sont le découvrent par un code NACE, pas par leur taille. Les six catégories de l'annexe II, les dates belges déjà échues, les montants d'amende et l'aide flamande que peu d'industriels demandent.
Lire l'article →13 octobre 2026 · 7 min de lectureFrigos pilotes a distance : l'alerte Danfoss du CERT-FR (12/10/2026)
Une cyberattaque a fait monter les congelateurs de centaines de magasins francais a 50 degres. Le boitier en cause n'etait pas un serveur informatique : c'etait un automate de froid pose par un frigoriste, joignable depuis Internet, jamais mis a jour. Des milliers de PME en ont un.
Lire l'article →13 octobre 2026 · 8 min de lectureExternaliser sa prise de rendez-vous B2B : 10 clauses à vérifier
Un contrat de prise de rendez-vous B2B se juge sur dix clauses, pas sur un tarif. Depuis le 11 août 2026, la France interdit le démarchage téléphonique des consommateurs sans consentement préalable et Bloctel n'existe plus ; les obligations de transparence du règlement européen sur l'IA s'appliquent depuis le 2 août 2026. Voici les dix clauses, et le régime d'appel des quatre pays.
Lire l'article →