Patch Tuesday d'octobre 2026 : ce qu'il faut installer sur un VPS Windows Server

Le 13 octobre 2026, Microsoft a publié son Patch Tuesday d'octobre, le plus volumineux jamais livré : 1 407 vulnérabilités corrigées en une seule vague de mises à jour de sécurité, dont 69 failles critiques. Parmi elles, une faille zero-day déjà exploitée dans la nature (CVE-2026-96951), une exécution de code à distance sans authentification sur Active Directory (CVE-2026-70229) et une vulnérabilité du serveur DHCP notée 9,8 sur 10 (CVE-2026-96934). Pour tout administrateur de VPS Windows ou de serveur dédié, ces correctifs doivent être installés sans attendre. Cette MAJ concerne toutes les versions du système d'exploitation Microsoft Windows Server encore sous support.

Sources : Tenable, "Microsoft's October 2026 Patch Tuesday Addresses 1,407 CVEs", 13 octobre 2026. Microsoft Security Response Center pour les fiches CVE individuelles.

Qu'est-ce que le Patch Tuesday

Le Patch Tuesday, aussi appelé jour Windows dans la communauté IT, est le rendez-vous mensuel de Microsoft pour publier ses mises à jour de sécurité. Chaque deuxième mardi du mois, Microsoft diffuse des correctifs pour l'ensemble de ses systèmes d'exploitation : Microsoft Windows 10, Windows 11 et toute la gamme Windows Server (2016, 2019, 2022, 2025). Les administrateurs de serveurs, de postes de travail et d'ordinateurs en entreprise planifient leur maintenance autour de cette date.

Sous Windows Server, la dernière mise à jour cumulative regroupe tous les correctifs du mois en un seul paquet. Il n'est pas nécessaire d'installer chaque correctif individuellement : la mise à jour cumulative les inclut tous. Pour les administrateurs qui gèrent des machines virtuelles (VPS) ou des serveurs physiques, cette approche simplifie le déploiement et réduit le temps de maintenance. Les pilotes de périphériques, les composants du noyau et les définitions de l'antivirus Windows Defender sont également mis à jour lors de ce processus.

Patch Tuesday d'octobre 2026 : vue d'ensemble

Ce Patch Tuesday d'octobre 2026 bat tous les records. Les 1 407 vulnérabilités corrigées représentent une hausse de 46 % par rapport au mois de septembre (964 CVE). Voici la répartition par niveau de sévérité :

Les produits les plus touchés sont Microsoft Office Excel (69 CVE), le rôle serveur DNS (52 CVE), le noyau du système d'exploitation Windows (46 CVE), Windows Installer (38 CVE) et le sous-système Win32 Kernel (36 CVE). Les types de bugs les plus fréquents sont l'élévation de privilèges (47,9 % des failles) et l'exécution de code à distance (22,3 %). Ces bugs de sécurité affectent aussi bien les serveurs que les ordinateurs de bureau sous Windows.

Deux autres zero-days ont été divulgués publiquement avant la publication du correctif : CVE-2026-108398 dans le .NET Framework (contournement de Windows Defender Application Control) et CVE-2026-92707 dans MessagePack-CSharp. Même si aucune exploitation active n'a été confirmée pour ces deux failles, leur divulgation publique impose une nouvelle mise à jour rapide.

Les trois failles critiques à connaître pour un VPS Windows

CVE-2026-96951 : zero-day Windows Shell déjà exploité (CVSS 8,8)

Cette faille d'injection de commande (CWE-77) dans Windows Shell permet de contourner la protection Mark of the Web (MOTW). En temps normal, sous Windows, un fichier téléchargé depuis Internet est marqué par le système d'exploitation et provoque un avertissement de sécurité avant toute exécution. CVE-2026-96951 supprime ce marquage : un attaquant peut envoyer un fichier piégé par e-mail ou messagerie instantanée, et l'utilisateur l'exécute sans voir l'avertissement habituel. Lorsque le MOTW est absent, toute la chaîne de protection s'effondre : pas de vérification SmartScreen, pas de mode protégé dans Office, pas de blocage des macros, pas d'alerte de l'antivirus Windows Defender.

Microsoft a confirmé que cette faille était exploitée activement avant la publication du correctif. La CISA l'a ajoutée au catalogue KEV (Known Exploited Vulnerabilities) le 13 octobre 2026, avec une date limite de correction au 16 octobre pour les agences fédérales américaines. C'est la troisième faille Mark of the Web exploitée comme zero-day en 2026, après CVE-2026-21510 en février et CVE-2026-32202 en avril.

Sur un VPS Windows, le risque est réel dès qu'un administrateur transfère des fichiers sur le serveur via le Bureau à distance (RDP) ou un partage réseau. Le correctif est inclus dans la mise à jour cumulative d'octobre.

CVE-2026-70229 : exécution de code sur Active Directory sans authentification (CVSS 8,1)

CVE-2026-70229 est une faille d'autorisation incorrecte (CWE-863) dans Active Directory Domain Services (AD DS). Un attaquant non authentifié peut envoyer un paquet réseau spécialement conçu au service AD DS et exécuter du code arbitraire sur le contrôleur de domaine. La complexité d'attaque est élevée (configurations réseau et timing spécifiques), mais Microsoft évalue l'exploitation comme « plus probable » (Exploitation More Likely).

L'impact est maximal : un contrôleur de domaine compromis donne accès à l'ensemble des objets Active Directory, aux matériaux d'authentification (hachages NTLM, tickets Kerberos) et permet de pivoter vers n'importe quelle machine jointe au domaine, qu'il s'agisse d'ordinateurs, de serveurs ou de machines virtuelles. Si votre VPS Windows ou votre serveur dédié héberge un rôle Active Directory, cette mise à jour de sécurité est prioritaire.

CVE-2026-96934 : exécution de code sur le serveur DHCP (CVSS 9,8)

CVE-2026-96934 est la faille la mieux notée de ce Patch Tuesday : un score CVSS de 9,8 sur 10. Le défaut est un use-after-free (CWE-416) dans le serveur DHCP de Microsoft Windows. Un attaquant peut envoyer des paquets DHCP spécialement conçus, sans authentification, et obtenir l'exécution de code avec les privilèges du service DHCP.

Le serveur DHCP écoute par conception sur le réseau sans authentification préalable. Les versions affectées incluent Windows Server 2012, 2012 R2, 2016, 2019, 2022 et 2025. Si votre serveur exécute le rôle DHCP, la surface d'attaque est immédiate. Les administrateurs doivent installer cette mise à jour de sécurité en priorité absolue.

Fin de support et mise à niveau : ce qui a changé le 13 octobre 2026

Ce Patch Tuesday marque également deux échéances importantes pour le système d'exploitation Windows Server :

• Windows Server 2012 et 2012 R2 : le programme de mises à jour de sécurité étendues (ESU) s'est terminé le 13 octobre 2026. Ces versions ne recevront plus aucun correctif, même payant. Si vous administrez encore un serveur sous Server 2012 ou 2012 R2, les 69 failles critiques de ce mois resteront ouvertes indéfiniment. La mise à niveau vers une version supportée est désormais indispensable.
• Windows Server 2022 : le support standard (mainstream) s'est terminé le 13 octobre 2026. Le serveur entre en support étendu jusqu'en octobre 2031 : il continuera de recevoir les mises à jour de sécurité, mais plus aucune nouvelle fonctionnalité.

Windows Server 2016 atteindra sa fin de support étendu le 12 janvier 2027. Si votre VPS tourne encore sous Server 2016, consultez notre article sur la fin de support de Windows Server 2016 et la migration pour planifier la transition vers la dernière version de Windows Server (2022 ou 2025).

Tableau des versions et de leur statut de support

Préparer votre VPS avant d'installer la mise à jour

Une mise à jour cumulative de cette ampleur nécessite quelques précautions, surtout sur un serveur virtuel (VPS) où les ressources sont partagées. Avant d'installer les correctifs d'octobre sur votre machine virtuelle :

• Vérifiez les ressources : assurez-vous que votre VPS dispose de suffisamment de RAM libre et que le processeur n'est pas saturé. Windows Update a besoin d'espace disque (au moins 10 Go libres sur la partition système) et de mémoire pour extraire et appliquer les correctifs. Sur un VPS avec 4 Go de RAM ou moins, fermez les applications non essentielles avant de lancer la MAJ.
• Créez un snapshot : si votre hébergeur propose la fonctionnalité, prenez un instantané de votre machine virtuelle avant la mise à jour. En cas de bug ou d'incompatibilité avec un logiciel installé, vous pourrez restaurer l'état précédent en quelques minutes.
• Planifiez le redémarrage : la mise à jour cumulative nécessite de redémarrer le serveur. Si votre VPS héberge un serveur de jeu (FiveM, Minecraft, Rust) ou une application critique, prévenez vos utilisateurs et choisissez un créneau de faible activité.
• Vérifiez votre antivirus : assurez-vous que Windows Defender ou votre solution antivirus tierce est à jour. Les définitions de signatures doivent être actualisées avant d'appliquer les correctifs du système d'exploitation.

Installer les mises à jour sur votre VPS Windows

Connectez-vous à votre VPS Windows par Bureau à distance (RDP). Si votre port RDP est inaccessible, consultez notre guide débloquer un VPS Windows (port RDP bloqué).

Via Windows Update (interface graphique)

Ouvrez Paramètres > Mise à jour et sécurité > Windows Update et cliquez sur Rechercher des mises à jour. La mise à jour cumulative d'octobre 2026 inclut l'ensemble des 1 407 correctifs applicables à votre version du système d'exploitation Windows Server. Pour installer cette MAJ, cliquez sur Télécharger et installer, puis redémarrez le serveur lorsque le système le demande.

Via PowerShell (script en ligne de commande)

Sur un serveur en mode Server Core ou si vous préférez un script en ligne de commande, utilisez le module PSWindowsUpdate. Cette méthode est particulièrement utile pour les administrateurs qui gèrent plusieurs serveurs à distance :

Install-Module -Name PSWindowsUpdate -Force -Scope CurrentUser
Get-WindowsUpdate -AcceptAll -Install -AutoReboot

Pour vérifier que la dernière mise à jour de sécurité d'octobre est bien installée, exécutez ce script PowerShell :

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10

Le résultat doit afficher des correctifs datés du 13 octobre 2026 ou après. Vérifiez que le numéro KB correspond à la mise à jour cumulative de votre version de Microsoft Windows Server.

Configurer WSUS pour un parc de serveurs

Si vous gérez plusieurs VPS Windows ou serveurs dédiés, configurer Windows Server Update Services (WSUS) centralise l'approbation et la distribution des mises à jour de sécurité. Approuvez la nouvelle mise à jour cumulative d'octobre 2026 pour vos groupes de serveurs dans la console WSUS. Pour les environnements critiques (serveurs de jeu, bases de données, serveurs de stockage NAS), planifiez le déploiement en dehors des heures de pointe. WSUS permet aussi de configurer des règles d'approbation automatique pour les correctifs critiques, ce qui garantit que vos configurations sont à jour dès la publication de chaque Patch Tuesday.

Vérifier votre exposition aux failles critiques

Toutes les failles de ce Patch Tuesday ne concernent pas tous les serveurs. Voici comment déterminer si votre VPS sous Windows est exposé aux trois vulnérabilités les plus graves :

Si vous hébergez un serveur de jeu (DayZ, FiveM, Minecraft) sur un VPS Windows sans Active Directory ni DHCP, vous êtes principalement concerné par CVE-2026-96951 (Windows Shell) et les autres failles du noyau Windows. La mise à jour cumulative corrige l'ensemble. Pour DayZ sur VPS Windows, consultez notre guide d'hébergement DayZ.

Après l'installation : vérifications et durcissement

Une fois les mises à jour installées et le serveur redémarré, effectuez ces vérifications sous Windows :

1. Vérifiez la version du système d'exploitation : winver ou Get-ComputerInfo | Select-Object OsBuildNumber. Le numéro de build doit correspondre à la nouvelle mise à jour cumulative d'octobre 2026.
2. Vérifiez les services critiques : Get-Service | Where-Object {$_.Status -ne 'Running' -and $_.StartType -eq 'Automatic'}. Redémarrez tout service automatique arrêté.
3. Vérifiez le pare-feu : Get-NetFirewallProfile | Select-Object Name, Enabled. Les trois profils (Domaine, Privé, Public) doivent être activés.
4. Vérifiez les ports en écoute : Get-NetTCPConnection -State Listen | Select-Object LocalPort, OwningProcess. Identifiez tout port inattendu ouvert sur votre serveur virtuel.
5. Vérifiez l'antivirus : Get-MpComputerStatus | Select-Object AntivirusSignatureLastUpdated. Assurez-vous que les définitions de Windows Defender sont à jour après la MAJ.

Profitez de cette fenêtre de maintenance pour appliquer les mesures de durcissement décrites dans notre guide sécuriser un VPS Windows Server : durcir RDP et pare-feu : activation de NLA (Network Level Authentication), changement du port RDP par défaut, restriction des adresses IP autorisées et politique de verrouillage de compte.

Désinstaller une mise à jour problématique

Dans de rares cas, une mise à jour peut provoquer un bug ou une incompatibilité avec un logiciel installé sur votre serveur. Si vous constatez un dysfonctionnement après l'installation des correctifs d'octobre, vous pouvez désinstaller la mise à jour cumulative via PowerShell :

Get-HotFix | Where-Object {$_.InstalledOn -gt '2026-10-12'} | Select-Object HotFixID
wusa /uninstall /kb:NUMERO_KB /quiet /norestart

Remplacez NUMERO_KB par le numéro du correctif à retirer. Le serveur devra redémarrer après la désinstallation. Cette procédure ne doit être utilisée qu'en dernier recours : un serveur sans les correctifs d'octobre reste exposé aux 69 failles critiques, y compris le zero-day déjà exploité. Si un bug persiste après la MAJ, consultez le catalogue des problèmes connus de Microsoft avant de désinstaller.

VPS, virtualisation et Patch Tuesday

Un VPS Windows est une machine virtuelle qui s'exécute sur un hyperviseur (Hyper-V, KVM, VMware). La couche de virtualisation ajoute une surface d'attaque supplémentaire : le Patch Tuesday d'octobre corrige également des failles dans Hyper-V (composant de virtualisation intégré à Windows Server). Sur un serveur dédié qui héberge plusieurs machines virtuelles, les correctifs doivent être installés à la fois sur l'hôte et sur chaque machine virtuelle invitée.

Les processeurs modernes (Intel et AMD) intègrent des extensions de virtualisation matérielle. Certaines failles corrigées ce mois-ci exploitent des bugs dans la gestion mémoire entre l'hôte et les machines virtuelles. Chez ElypseCloud, nos VPS Windows fonctionnent sur des processeurs de dernière génération avec la virtualisation matérielle activée, et l'infrastructure hôte est maintenue à jour indépendamment de vos machines virtuelles.

Préparer le Patch Tuesday de novembre 2026

Le prochain Patch Tuesday est prévu le 10 novembre 2026 (deuxième mardi du mois). Avec le volume record d'octobre (1 407 CVE) et la fin de support de Server 2012/2012 R2, novembre pourrait apporter un nouveau lot conséquent de correctifs.

Pour ne pas être pris au dépourvu :

• Activez les mises à jour automatiques via Windows Update ou configurez WSUS pour approuver automatiquement les mises à jour de sécurité critiques et importantes. Les administrateurs qui gèrent des serveurs à distance doivent s'assurer que les configurations de mise à jour automatique sont correctement définies.
• Planifiez une fenêtre de maintenance mensuelle le mardi soir ou le mercredi matin après chaque jour Windows (Patch Tuesday). Prévoyez suffisamment de RAM et d'espace disque pour que la MAJ s'installe sans blocage.
• Surveillez le catalogue KEV de la CISA entre deux Patch Tuesday : les failles zero-day activement exploitées y sont ajoutées avec un délai de correction imposé. L'article de notre équipe sur les failles de 2015 encore exploitées en 2026 illustre bien pourquoi une faille non corrigée reste exploitable pendant des années.
• Testez les mises à jour sur un VPS de préproduction avant de les déployer sur vos serveurs de production, surtout si vous hébergez des services critiques (serveurs de jeu, bases de données, applications métier).
• Préparez la mise à niveau de vos serveurs encore sous Windows Server 2016 vers la nouvelle version 2022 ou 2025 avant la fin de support étendu de janvier 2027.