Le calendrier Microsoft
Cette semaine en sécurité : un Patch Tuesday record, la mauvaise passe de PHP, la plus ancienne vulnérabilité, des armées d’AI et bien plus encore. Microsoft a corrigé plus de 1 400 vulnérabilités en une seule fois. Le précédent record datait de septembre. Les quelque 1 000 vulnérabilités de septembre, atteignant environ dix fois la moyenne mensuelle normale, avaient établi ce record et, selon Tenable, Microsoft a dépassé les 4 000 CVE à deux mois de la fin de l’année.
Une seule de ces vulnérabilités est actuellement exploitée, et il s’agit de CVE-2026-96951, une faille de contournement de la fonctionnalité de sécurité de Windows Shell affectant Windows 10, 11 et certaines versions de Server.
Les mots de Windows
CVE-2026-108398 avait déjà été rendue publique. Au moins 78 vulnérabilités sont classées « critiques » et la plupart permettent l’exécution de code à distance sans interaction de l’utilisateur. La plupart permettent l’exécution de code à distance. Microsoft a discrètement prolongé les mises à jour gratuites de Windows 10 jusqu’en octobre 2027. L’entreprise attribue cela aux LLM.
Explications TLS
Selon une analyse de Fortra, seules 26 vulnérabilités Microsoft ont intégré le catalogue KEV de la CISA cette année, et ce catalogue est recommandé aux administrateurs pour la priorisation.
Par ailleurs, il est apparu que les clés privées de huit certificats intermédiaires — six TLS, deux de signature de code — de l’autorité de certification indienne eMudhra (emSign) avaient été compromises. Ces certificats étaient rattachés à emSign ECC Root CA – G3, en lequel Chrome, Apple et Mozilla font confiance. Un chercheur du nom de « Wayne » a prouvé les faits en signant des messages avec ces clés. Selon ce que Flüpke a partagé sur Mastodon, la valeur secrète de la clé « EM OV TLS CA – G3C » n’était que 4 ; les autres ont également été cassées en peu de temps :
La liste partagée par Flüpke sur Mastodon, montrant les valeurs secrètes des clés, contenait les six entrées suivantes, dans le même ordre et sous leur forme propre.
Chronologie des clés
La liste se composait de six valeurs. – 56 – 230 – 237 – 115 – 155 – 156 – 66
Il a été indiqué que les clés pouvaient être dérivées de certificats publics dès le moment de leur création en avril 2025. Le blocage n’a pas tardé. Selon The Hacker News, Chrome a publié un blocage en l’espace de deux heures, tandis que Mozilla a bloqué les certificats en moins de trois heures, retiré la racine de NSS et publié une mise à jour de Firefox (CVE-2026-113470).