Patch Tuesday oct. 2026 : Exchange CVSS 8.8, Windows Server 2022 EOL

Ce qui s'est passé

Le Patch Tuesday d'octobre 2026, prévu le 13 octobre, s'annonce comme l'une des publications les plus concises de l'année pour Microsoft, après le record historique de septembre où 973 CVEs avaient été corrigés en un seul cycle. Les analyses anticipées publiées par des firmes spécialisées comme Help Net Security, Senserva et Trinetriops indiquent un périmètre restreint centré sur Exchange Server, avec CVE-2026-96940 comme vulnérabilité phare à corriger en priorité dans les environnements on-premises.

CVE-2026-96940 est une vulnérabilité d'élévation de privilèges dans Microsoft Exchange Server, cotée CVSS 8.8. Bien que Microsoft ne la classe pas en Critical mais en Important, son score élevé tient à la facilité d'exploitation dans un réseau interne : un attaquant authentifié sur le réseau disposant d'un compte Exchange de base peut exploiter cette faille pour obtenir des privilèges d'administrateur Exchange. Ce type de vulnérabilité est particulièrement dangereux dans les environnements où Exchange Server est déployé sans segmentation stricte des comptes utilisateurs ni contrôle d'accès réseau granulaire.

Les versions affectées couvrent l'ensemble des déploiements Exchange Server encore sous support actif : Exchange Server 2019 Cumulative Update 14 (CU14), Exchange Server 2019 CU15, Exchange Server 2016 CU23, et Exchange Server Subscription Edition RTM. La mise à jour s'applique à ces quatre builds via les canaux habituels de Windows Update et WSUS. Microsoft Exchange Online, la version hébergée dans Microsoft 365, n'est pas concernée — les correctifs sont déployés automatiquement côté infrastructure par Microsoft pour l'ensemble des tenants cloud.

Ce 13 octobre 2026 revêt une signification particulière au-delà des correctifs de sécurité habituels. Il marque simultanément la fin du support mainstream de Windows Server 2022, qui entre ce mois-ci dans sa phase de support étendu (Extended Support). Lancé en août 2021, Windows Server 2022 bénéficiera de correctifs de sécurité jusqu'en octobre 2031, mais Microsoft n'ajoutera plus de nouvelles fonctionnalités ni ne répondra aux demandes de changements non liés à la sécurité. La mise à jour de sécurité d'octobre 2026 constitue donc la dernière publiée dans le cadre du support mainstream pour ce système.

Pour les organisations qui n'ont pas encore planifié leur migration vers Windows Server 2025, ce jalon doit servir de signal d'alarme. Windows Server 2025, disponible depuis novembre 2024, apporte des améliorations significatives en matière de sécurité : meilleure intégration avec Microsoft Entra ID, protection renforcée contre les attaques de type pass-the-hash et pass-the-ticket, prise en charge native du protocole SMB over QUIC pour les accès distants sécurisés, et nombreuses améliorations dans la gestion des certificats et des politiques de sécurité réseau. La certification des applications métier critiques sur Windows Server 2025 est souvent le frein principal à la migration dans les grands comptes.

La prévision publiée par Help Net Security le 9 octobre mentionne également un "nettoyage Office" attendu dans ce cycle de correctifs. Plusieurs composants de Microsoft 365 Apps et Office 2021 devraient recevoir des mises à jour adressant des vulnérabilités de type divulgation d'informations et des défauts de validation d'entrées dans des composants de rendu de documents. Bien que moins spectaculaires que des vulnérabilités d'exécution de code à distance, ces corrections sont importantes pour les environnements où les utilisateurs ouvrent régulièrement des documents provenant de sources externes non maîtrisées.

Ce Patch Tuesday s'inscrit dans la tendance de l'année 2026 pour Microsoft. Avec 973 CVEs corrigés en septembre 2026 — un record absolu — Microsoft a illustré la croissance exponentielle de la surface d'attaque liée à l'expansion des services cloud, des produits IA et des composants tiers intégrés dans l'écosystème. Le volume restreint d'octobre, s'il se confirme, ne doit pas conduire les équipes IT à relâcher leur vigilance : un faible nombre de correctifs peut signifier que chacun d'entre eux adresse une vulnérabilité d'impact élevé dans un composant critique comme Exchange Server.

Du côté de la planification opérationnelle, les équipes IT doivent gérer ce Patch Tuesday en tenant compte d'une double contrainte. D'une part, le déploiement urgent de CVE-2026-96940 sur les serveurs Exchange on-premises, qui ne tolère pas de délai dans les environnements où Exchange est accessible depuis le réseau interne sans authentification multi-facteurs. D'autre part, l'évaluation de la posture Windows Server 2022 pour définir la trajectoire de migration vers Windows Server 2025. Pour les organisations disposant d'un grand parc de serveurs Exchange on-premises, ce cycle est aussi l'occasion de vérifier que tous les serveurs sont au minimum sur les Cumulative Updates supportées.

La posture de patch management pour Exchange Server est un sujet sensible depuis les compromissions massives de 2021, lorsque des groupes APT avaient exploité des zero-days Exchange pour compromettre des dizaines de milliers d'organisations mondiales. Depuis lors, les équipes sécurité ont généralement accéléré leurs cycles de déploiement pour Exchange, mais des délais subsistent dans de nombreuses organisations en raison des contraintes de tests de régression et de fenêtres de maintenance étroites. CVE-2026-96940 doit être traité avec le niveau de priorité le plus élevé compte tenu de ce contexte historique.

Pourquoi c'est important

CVE-2026-96940 dans Exchange Server mérite une attention particulière car elle s'inscrit dans une catégorie de failles historiquement très exploitées. Exchange Server est depuis longtemps une cible prioritaire pour les groupes APT et les opérateurs de ransomware, précisément parce qu'il centralise les communications d'entreprise et dispose, dans de nombreuses organisations, de permissions élevées dans l'Active Directory. Une élévation de privilèges dans Exchange Server peut facilement constituer la première étape d'une compromission du contrôleur de domaine, en particulier dans les environnements où les comptes de service Exchange font partie du groupe Exchange Trusted Subsystem avec des permissions étendues sur l'AD.

La fin du support mainstream de Windows Server 2022 pose une question stratégique pour de nombreuses DSI françaises. Les organisations qui avaient migré vers Windows Server 2022 lors de l'EOL de Windows Server 2019 en 2024 se retrouvent maintenant face à une nouvelle décision de migration à relativement court terme. Cette situation crée des fenêtres de vulnérabilité potentielles dans les organisations qui tardent à migrer, même si le support étendu jusqu'en 2031 garantit la continuité des correctifs de sécurité. La principale préoccupation est le coût et la complexité croissants des migrations consécutives dans un contexte de ressources IT sous pression.

Le contraste entre le record de septembre (973 CVEs) et le volume restreint d'octobre illustre une réalité opérationnelle complexe pour les équipes de patch management : les cycles de correctifs sont de plus en plus erratiques en volume, rendant difficile la planification des maintenances. Les équipes qui ont adapté leur cadence de déploiement pour absorber des volumes importants chaque mois doivent rester agiles pour traiter rapidement des correctifs critiques même lors de cycles légers. La prioritisation basée sur le score CVSS combiné au contexte d'exposition reste l'approche la plus robuste pour allouer les ressources de manière optimale.

Pour les équipes en charge d'environnements Exchange hybrides — maintenant des serveurs on-premises pour des raisons de compatibilité ou de coexistence avec Exchange Online — ce Patch Tuesday est également l'occasion de faire un état des lieux. De nombreuses organisations maintiennent des serveurs Exchange on-premises sans maintenir une posture de patch management rigoureuse, les considérant comme des composants résiduels. Ces serveurs représentent pourtant une surface d'attaque réelle et doivent bénéficier du même niveau de priorité que les serveurs Exchange en usage intensif, voire d'une priorité encore plus élevée en raison de leur visibilité réduite dans les outils de surveillance.

Ce qu'il faut retenir

• CVE-2026-96940 (CVSS 8.8) dans Exchange Server 2016/2019 doit être patché en priorité dès le 13 octobre — toutes les versions supportées on-premises sont affectées, Exchange Online ne l'est pas.
• Windows Server 2022 entre en support étendu le 13 octobre 2026 : les correctifs de sécurité continuent jusqu'en 2031, mais les nouvelles fonctionnalités cessent — c'est le moment de planifier la migration vers Windows Server 2025.
• Après le record de 973 CVEs en septembre, un faible volume en octobre ne signifie pas un faible risque : Exchange Server reste une cible prioritaire pour les groupes APT et les opérateurs de ransomware.