Quotidien suisseMercredi 14 octobre 2026Édition de 13h, technologie
Prochaine publication le 14 octobre 2026 à 17h
Une · Cybersécurité · Windows · Patch Tuesday
Patch Tuesday record : Microsoft corrige 1407 failles, dont une faille de Windows Shell déjà exploitée
Le 13 octobre 2026, Microsoft a publié le plus gros Patch Tuesday de son histoire : 1407 vulnérabilités corrigées dans 301 produits et composants, dont 69 critiques. Une seule était déjà exploitée : CVE-2026-96951, qui permet à un fichier piégé envoyé par courriel ou messagerie de contourner la protection Mark of the Web. La CISA l’a inscrite le jour même à son catalogue des failles exploitées, avec une échéance au 16 octobre pour les agences fédérales américaines.
Selon Tenable, c’est le deuxième mois de suite que le record est battu. CSO Online rappelle que le précédent sommet, 1261 CVE, datait de 2020, et que la publication est arrivée plusieurs heures après l’horaire habituel. Les élévations de privilèges représentent 47,9 % des failles, l’exécution de code à distance 22,3 %. Excel (69), le serveur DNS (52) et le noyau Windows (46) sont les composants les plus touchés.
CVE-2026-96951 (CVSS 8,8, « importante ») est une injection de commande dans Windows Shell. Il faut que la victime ouvre le fichier, mais l’avertissement normalement affiché pour un fichier venu d’Internet saute. C’est la troisième faille de Windows Shell exploitée en 2026, après CVE-2026-21510 (février) et CVE-2026-32202 (avril). CSO Online compte deux autres failles « zero-day » : CVE-2026-108398 dans .NET Framework, rendue publique avant le correctif selon Tenable, qui permet de contourner Windows Defender Application Control, et CVE-2026-102866 dans SharePoint, où un jeton de preuve modifié permet de s’authentifier à la place d’un utilisateur, sans interaction. Tenable signale aussi une exécution de code critique dans les services de domaine Active Directory (CVE-2026-70229) et deux failles d’Exchange Server jugées « exploitation plus probable ».
Le même jour, plusieurs fins de support sont tombées : dernière année d’ESU pour Windows Server 2012 et 2012 R2, fin du support d’Office 2021 et de Windows 11 Famille et Pro en version 24H2. Windows Server 2022 quitte le support principal et passe en support étendu jusqu’au 14 octobre 2031.
Ivanti Connect Secure : une chaîne de trois failles inconnues donne root sans mot de passe
Volexity a découvert qu’un acteur inconnu, baptisé UTA0576, exploitait depuis le 3 octobre 2026 un boîtier VPN Ivanti Connect Secure pourtant à jour (22.8R2.4). La chaîne combine un contournement d’authentification (une requête vers la page publique welcome.cgi désigne dans un en-tête X-DSCGI-PATH un autre script, protégé), une écriture de fichier dans wu.cgi exploitée par course critique, puis une élévation de privilèges via le service dsinvoked. Ivanti a corrigé les deux premières (CVE-2026-104935) le 13 octobre ; le correctif de l’élévation de privilèges est attendu « dans les prochaines semaines ».
Une fois root, l’attaquant a visé l’Active Directory : mots de passe LAPS, clés de récupération BitLocker, captures du trafic LDAP, pulvérisation de mots de passe. Il n’a déposé ni porte dérobée ni webshell, a effacé ses traces dans les journaux et a restauré ce qu’il avait modifié en mémoire, si bien que l’outil de contrôle d’intégrité d’Ivanti ne voit rien. Volexity recommande d’appliquer le correctif, de surveiller les requêtes vers welcome.cgi dont l’en-tête ne correspond pas à l’URL et, en cas de doute, une analyse mémoire.
Nextcloud : le serveur Collabora intégré, exploité pour poser des webshells, reçoit enfin sa CVE
L’application Nextcloud « Collabora Online – Built-in CODE Server » (richdocumentscode) contient une injection de commande dans proxy.php, exploitable sans compte lorsque le serveur CODE n’est pas en marche, par exemple juste après un redémarrage. Les versions antérieures à 26.4.303 sont touchées. La faille, désormais CVE-2026-110447 (CVSS 4.0 : 9,2), a été exploitée en septembre et en octobre 2026.
Dès le 3 octobre, un administrateur avait alerté le forum de Nextcloud : des utilisateurs avaient trouvé des webshells sur leur serveur, sans avis officiel ni CVE. La CVE n’a été publiée que le 14 octobre. Collabora lui-même n’est pas en cause : seule la façon dont l’application intégrée lance le serveur, via un exec PHP, est vulnérable. Les installations Collabora en Docker, en paquet de distribution ou chez un hébergeur ne sont pas concernées. Après la mise à jour, il faut chercher les fichiers PHP inconnus dans les répertoires du serveur.
Ce que journalise vraiment ext4, et pourquoi data=journal disparaîtra en 2028
Linux 7.3-rc7 a marqué l’option de montage ext4 data=journal comme obsolète, avec une suppression annoncée pour janvier 2028. L’occasion de comprendre les trois modes de données d’ext4 et ce qu’ils garantissent après un plantage.
1. Le journal ne protège pas tout. Un système de fichiers journalisé écrit d’abord ses modifications dans un journal, puis à leur place définitive. Après un plantage, il rejoue les transactions complètes et ignore les autres : l’arborescence reste cohérente. ext4 journalise toujours les métadonnées (inodes, répertoires, bitmaps d’allocation). L’option data= décide seulement du sort du contenu des fichiers par rapport à ce journal.
2. Les trois modes. Avec data=ordered, le mode par défaut, les données sont écrites à leur emplacement avant que les métadonnées qui pointent vers elles soient validées. Après un plantage, un fichier ne contient donc jamais de blocs qu’il n’a pas reçus. Avec data=writeback, cet ordre n’est plus garanti : un fichier qu’on agrandissait peut contenir d’anciens blocs du disque. Avec data=journal, chaque bloc de données passe aussi par le journal avant d’être recopié chez lui : tout est écrit deux fois.
3. Le prix caché. Monter en data=journal désactive aussi l’allocation différée, dioread_nolock, O_DIRECT et fast_commit, comme l’indique l’avertissement du noyau. Sur une machine virtuelle, le site Big Iron a mesuré deux fois plus d’octets écrits pour une grosse écriture séquentielle ou une base SQLite, et à peu près deux fois moins de transactions SQLite par seconde. Le seul cas favorable observé : des milliers de petits fichiers synchronisés un par un (spool de courrier, file d’attente), environ 45 % plus rapides.
4. Ce qu’il faut retenir en développement. Aucun mode ne sauve des données que l’application n’a pas synchronisées. Le schéma sûr reste le même : écrire dans un fichier temporaire, appeler fsync(), le renommer par-dessus l’ancien, puis synchroniser le répertoire. C’est ce que font SQLite et PostgreSQL, et c’est pour cela qu’ils tiennent sur le mode ordered par défaut. data=journal ne calcule pas non plus de sommes de contrôle sur les données : contre la corruption silencieuse, il faut un système de fichiers comme ZFS ou Btrfs.
5. Le vérifier sur ses machines. Le mode peut venir de /etc/fstab, de rootflags= sur la ligne de commande du noyau ou d’une valeur par défaut gravée dans le superbloc par tune2fs -o journal_data, qui n’apparaît pas dans /proc/mounts. La source fiable est /proc/fs/ext4/<périphérique>/options. Le mode ne se change pas par un simple remontage : il faut démonter, ou redémarrer pour la racine, en modifiant fstab et rootflags= ensemble, sinon la racine démarre en lecture seule.
Nix et Lix : des failles combinables jusqu’à root, correctifs publiés
Les projets Nix et Lix ont publié ensemble, le 13 octobre 2026, un lot de failles qui, combinées, permettent de devenir root sur une machine où tourne leur démon. Parmi elles : un débordement d’entier à l’allocation des listes Nix, des opérations repair non privilégiées capables de remplacer un chemin du store avant vérification, et une évasion du bac à sable Seatbelt sur macOS. Versions corrigées : Nix 2.35.3, 2.34.9, 2.31.6, 2.30.6 et 2.28.8, Lix 2.95.4 et 2.94.3. Guix n’est pas touché.
PostgreSQL 19 : huit à dix fonctions retirées en bêta, la revue par IA en cause
Peter Eisentraut, membre de l’équipe centrale de PostgreSQL, explique pourquoi environ huit à dix fonctions importantes ont été retirées de PostgreSQL 19 pendant la bêta. La revue de code assistée par IA fait remonter très vite de longues listes de défauts, souvent des cas limites, dans du code écrit avant ces outils. Il dit qu’il ne s’agit pas de « vibe coding ». La version gardera notamment REPACK CONCURRENTLY, la réplication logique des séquences et les indications au planificateur pg_plan_advice.
