Le 13 octobre 2026, la CISA a ajouté CVE-2026-96951 à son catalogue KEV, avec une échéance au 16 octobre. Elle touche Windows Shell, la couche qui gère l'explorateur, les raccourcis, l'ouverture des fichiers et leurs associations. Trois jours pour corriger : c'est le délai réservé aux failles dont l'exploitation est confirmée et jugée pressante.
NVD n'a pas encore publié de score ni de versions à la date de rédaction. Pas de CVSS, pas de vecteur, pas de liste de builds concernés. Je ne vais pas en inventer : la référence est le guide des mises à jour de sécurité de Microsoft (MSRC) pour cet identifiant.
| Champ | Valeur |
|---|---|
| CVSS | non publié par NVD (à la date de rédaction) |
| Vecteur | non publié |
| Publication NVD | non publiée |
| Ajout CISA KEV | 2026-10-13 |
| Échéance CISA | 2026-10-16 |
| Ransomware | non signalé par la CISA |
Ce que l'on sait
La fiche KEV tient en une phrase :
Microsoft Windows Shell contains a command injection vulnerability that allows an unauthorized attacker to bypass a security feature over a network.
Trois éléments à retenir :
- injection de commande : une donnée contrôlée par l'attaquant finit interprétée comme une commande ;
- contournement d'une fonction de sécurité : la faille ne donne pas directement l'exécution de code, elle fait sauter une protection ;
- via le réseau : l'attaquant n'a pas besoin d'un accès local préalable.
La fiche ne nomme pas la fonction de sécurité contournée. Je ne vais pas deviner laquelle.
Pourquoi un « simple » contournement est pris au sérieux
Les failles de contournement dans Windows Shell font partie de celles que la CISA ajoute le plus régulièrement au KEV, et ce n'est pas un hasard. Le Shell est le point où un fichier reçu (pièce jointe, téléchargement, partage réseau, raccourci) devient une action sur le poste. Les protections qui s'y appliquent sont souvent la dernière barrière avant que l'utilisateur n'ouvre quelque chose de dangereux : avertissements, marquage de la provenance, contrôles de réputation.
Faire sauter l'une de ces barrières, c'est rendre une campagne de hameçonnage beaucoup plus efficace : le fichier s'ouvre sans l'avertissement qui aurait fait hésiter l'utilisateur. C'est pour cela qu'une faille notée « contournement » finit régulièrement au cœur de chaînes d'accès initial.
Qui est concerné
Sans liste NVD, la règle prudente est de considérer toutes les versions de Windows supportées, postes et serveurs, jusqu'à preuve du contraire dans l'avis Microsoft. Les postes utilisateurs sont la priorité : c'est là que le Shell manipule des fichiers venus de l'extérieur.
Détection
Sans détail technique publié, la détection reste générique :
- Processus enfants inhabituels de l'explorateur Windows : interpréteurs de commandes, PowerShell, hôtes de scripts, lancés juste après l'ouverture d'un fichier ou d'un raccourci
- Fichiers ouverts depuis des partages réseau externes ou des emplacements WebDAV inhabituels
- Pièces jointes de type raccourci ou conteneur (archives, images disque) dans la messagerie, suivies d'une exécution
- Alertes EDR liées à l'explorateur dans les jours précédant ton déploiement du correctif
Mitigation
- Déployer la mise à jour Microsoft qui corrige CVE-2026-96951, en suivant l'avis MSRC. Vise l'échéance CISA du 16 octobre, en commençant par les postes utilisateurs.
- Vérifier la couverture réelle du déploiement : un correctif approuvé dans l'outil de gestion n'est pas un correctif installé. Contrôle les postes nomades et ceux qui ne redémarrent jamais.
- Bloquer les connexions SMB et WebDAV sortantes vers Internet au pare-feu périmétrique. C'est une mesure de durcissement générale qui réduit la surface de nombreuses failles « via le réseau » du Shell.
- Filtrer à la passerelle de messagerie les pièces jointes de type raccourci et les conteneurs rarement légitimes.
- Rester attentif à l'avis Microsoft : s'il propose une mesure de contournement en attendant le correctif, l'appliquer sur les postes que tu ne peux pas mettre à jour immédiatement.
Pourquoi surveiller en continu votre parc Windows
Une faille Windows ajoutée au KEV avec trois jours d'échéance, sans score NVD au moment de l'ajout : si ta veille attend le CVSS pour prioriser, elle arrive après la bataille. Le signal fiable, ici, c'est l'exploitation confirmée.
Avec cveo.tech, inventorie tes versions de Windows et reçois une alerte dès qu'une CVE qui les concerne entre au catalogue CISA KEV, avec ou sans score.