Microsoft a corrigé 1 094 vulnérabilités le 10 novembre 2026, dont 63 critiques et une faille Outlook déjà exploitée : à traiter vite. Splashtop recommande 24 à 48 heures dans son mail et moins de 72 heures dans son blog. Ce Patch Tuesday novembre 2026 est crucial pour la sécurité.
Le problème : un volume de correctifs encore très élevé
L’importance du Patch Tuesday novembre 2026 pour la sécurité des systèmes
Voici ce que publient les éditeurs dont nous distribuons les solutions de gestion de parc :
| Source | Date | CVE corrigées | Critiques | Exploitées activement |
|---|---|---|---|---|
| Splashtop | 11 nov. 2026 | 1 094 | 63 | 1 (Outlook, CVE-2026-124194) |
| PDQ | 10 nov. 2026 | 1 093 | 63 | 1 |
| Action1 | 10 nov. 2026 | 1 094 | 63 | 1 zero-day |
Splashtop précise que c’est moins que le record d’octobre (1 413), mais l’une des plus grosses publications à ce jour. La faille Outlook exploitée n’est notée que « modérée » : ne vous fiez pas à la note seule pour fixer vos priorités.
L’écart d’une unité (1 093 contre 1 094) s’explique selon le blog de Splashtop : 1 093 vulnérabilités portent une note de sévérité. C’est aussi le total retenu par Tenable.
Un autre écart reste inexpliqué : le titre de BleepingComputer annonce 1 235 failles, contre 1 094 chez SecurityWeek et SOCRadar. Je ne sais pas expliquer ces 141 failles de différence, et je n’ai pas pu lire l’article de BleepingComputer.
Sur la faille Outlook, Tenable et SOCRadar décrivent une usurpation (CVSS 6,5, « modérée ») qui expose le hash NTLMv2 de l’utilisateur quand il ouvre un fichier piégé. Selon SOCRadar, la CISA l’a ajoutée à son catalogue des failles exploitées (KEV) le 10 novembre, avec une échéance de correction au 24 novembre pour les agences fédérales américaines. SOCRadar précise que le correctif passe par les mises à jour Office, pas par la mise à jour cumulative Windows : un parc qui ne met à jour que Windows reste exposé.
Les produits les plus touchés
Selon Splashtop, les 63 failles critiques concernent surtout l’infrastructure d’entreprise :
- Excel : 12 exécutions de code à distance critiques.
- Windows Message Queuing, Exchange Server et Active Directory Domain Services.
- Hyper-V : 8 élévations de privilèges critiques.
- 165 CVE non-Microsoft republiées, surtout Chromium/Chrome.
Splashtop cite aussi une faille Chrome (CVE-2026-125350). Elle n’apparaît que sur sa page : je n’ai pas pu la recouper ailleurs.
PDQ classe les produits par nombre de CVE :
| Produit | CVE |
|---|---|
| Microsoft Office (dont SharePoint) | 201 |
| Composants graphiques Windows | environ 76 |
| SQL Server et composants associés | 59 |
| Windows Installer | 36 |
| Windows DNS | 33 |
La solution : raccourcir le délai entre la sortie du correctif et son déploiement
- Solution : Splashtop Autonomous Endpoint Management (AEM), pilotable depuis la console Splashtop.
- Fonctionnalité : selon Splashtop, la console permet d’identifier les postes concernés, de déployer les correctifs critiques et de confirmer leur application.
- Bénéfice : toujours selon l’éditeur, ces trois étapes se font sans patching manuel, dans la fenêtre de 24 à 48 heures qu’il recommande dans son mail (son blog parle de moins de 72 heures).
Ces éléments sont ceux annoncés par Splashtop. IR&L Cloud Store peut vous montrer ce que cela donne sur votre propre parc lors d’une démonstration.
À faire cette semaine
- Traiter en premier la faille Outlook exploitée (CVE-2026-124194), via les mises à jour Office et pas seulement Windows.
- Déployer les correctifs critiques : Excel, Exchange, Active Directory, Hyper-V, Message Queuing.
- Prévoir les mises à jour Chrome/Chromium.
- Vérifier sur chaque poste que les correctifs sont bien appliqués.
À lire aussi : faille PHP2Shell : vos logiciels du Cloud Store sont-ils concernés ?
Sources
- Splashtop, « November 2026 Patch Tuesday – Review & Act via Splashtop Console », mail du 11 novembre 2026 et article de blog.
- PDQ, « PDQ’s November recap », mail du 10 novembre 2026, et page Patch Tuesday de novembre 2026.
- Action1, « Patch Tuesday is here: 1,094 patches, 63 critical », mail du 10 novembre 2026.
- Tenable, Microsoft November 2026 Patch Tuesday, 10 novembre 2026.
- SOCRadar, November 2026 Patch Tuesday zero-day, 11 novembre 2026.
- SecurityWeek, Exploited Outlook zero-day among 1,094 flaws.
- The Register, November Patch Tuesday, 10 novembre 2026.
- BleepingComputer, titre de l’article sur les 1 235 failles (page non lisible, seul le titre est repris).
