Patch Tuesday d'octobre 2026 : Microsoft corrige plus de 1 000 failles dans Windows 11, et ce n'est pas fini

Avec plus de 1 400 vulnérabilités corrigées en un seul mois, Microsoft vient de battre un record historique. Un nombre vertigineux, qui pose une question dérangeante : pourquoi accepte-t-on du logiciel ce qu'on refuserait de n'importe quel autre produit ?

Ce 13 octobre 2026, Microsoft a publié un nouveau Patch Tuesday, son traditionnel ensemble mensuel de correctifs de sécurité, diffusé le deuxième mardi de chaque mois. Mais celui d'octobre n'a rien d'habituel. Comme on peut le constater dans son bulletin officiel, l'éditeur a corrigé d'un coup 1 413 vulnérabilités dans ses produits, dont 70 sont jugées critiques, selon le site spécialisé BleepingComputer, et 3 seraient de type zero-day, c'est-à-dire connues ou exploitées avant l'arrivée d'un correctif. L'une d'elles, logée dans l'interface Windows Shell, était déjà utilisée par des pirates.

De fait, c'est le plus gros Patch Tuesday de l'histoire de Microsoft. Et c'est le troisième record battu en quatre mois : en septembre, l'éditeur avait déjà corrigé près de 1 000 failles dans ses logiciels. À titre de comparaison, un Patch Tuesday ordinaire en comptait encore moins d'une centaine il y a quelques années encore. Toutes ne concernent pas Windows : Office, SQL Server et Azure sont aussi comptabilisés, mais le système d'exploitation en cumule tout de 1100 à lui seul ce mois-ci !

Failles de Windows 11 : des milliers de vulnérabilités depuis 2021

Combien de failles ont été corrigées dans Windows 11 depuis sa sortie, en octobre 2021 ? La question paraît simple, mais aucune source ne fournit de réponse officielle. Une même faille touche souvent plusieurs versions de Windows à la fois, et les bases de données de vulnérabilités ne les classent pas toutes de la même façon.

Les ordres de grandeur, eux, ne laissent guère de doute. Le site spécialisé stack.watch recense 501 failles publiées pour Windows 11 en 2022, 539 en 2023, 545 en 2024 et 603 en 2025. Soit environ 2 300 failles en un peu plus de quatre ans. Mais tout s'est accéléré en 2026, avec plus de 2 000 failles comptabilisés en l'espace de dix mois. Au total, Windows 11 aurait ainsi très probablement dépassé le cap des 4 000 failles corrigées depuis sa sortie. Et ce n'est certainement pas fini !

Une précision s'impose : une faille n'est pas forcément une porte grande ouverte. Beaucoup ne peuvent être exploitées que dans des conditions très particulières, et moins de 1 % des failles corrigées par Microsoft en 2026 auraient effectivement été exploitées dans des attaques connues, selon Tyler Reguly, de la société de sécurité Fortra. Inutile donc d'effrayer la population comme le font certains sites spécialisés avec des nombres chocs : le risque concerne surtout les machines qui ne sont pas mises à jour Il n'empêche : chacune d'elles est un défaut, présent dans un produit vendu à des centaines de millions d'utilisateurs.

À ce propos, il ne faut pas confondre faille et bug, même s'il s'agit de défauts. Un bug est un défaut fonctionnel, plus ou moins gênant, qui entraine un problème d'utilisation voire un plantage du système ou de la machine. Une faille – référencée avec le code CVE associé à une description souvent cryptique – est une faiblesse logicielle qui, quand elle est exploitée, permet de détourner des accès et des fonctions de sécurité, sans nuire en l'état pour cela au fonctionnement général. La preuve : même avec des milliers de failles, Windows 11 reste utilisable !

Failles des systèmes d'exploitation : Windows n'est pas un cas isolé

Il serait d'ailleurs injuste de faire de Microsoft l'unique coupable en la matière. Aucun système d'exploitation n'échappe au phénomène. Apple corrige chaque année plusieurs centaines de failles dans macOS et iOS, dont certaines exploitées par des logiciels espions. Le noyau Linux, le cœur des systèmes du même nom, est devenu en 2025 le premier émetteur mondial de références de vulnérabilités, avec 5 681 failles recensées en une seule année.

Ce dernier chiffre demande lui aussi une nuance. Depuis 2024, les développeurs du noyau Linux attribuent eux-mêmes ces références, et ils ont choisi une politique très large : la moindre correction susceptible d'avoir un effet sur la sécurité en reçoit une. Seules trois des failles de 2025 ont été confirmées comme exploitées. Les comparaisons brutes entre systèmes n'ont donc guère de sens : elles mesurent autant les méthodes de comptage que la qualité du code.

Au total, plus de 45 000 vulnérabilités ont été publiées dans le monde en 2025, tous logiciels confondus. Le problème dépasse largement Microsoft et Windows. Il concerne toute l'industrie du logiciel et du numérique, y compris les objets connectés, comme vient de le rappeler douloureusement la cyberattaque qui a frappé des frigos de supermarchés (voir notre article).

Failles et bugs dans les logiciels : une exception à la règle

Imaginons un instant qu'un constructeur automobile procède chaque mois au rappel de ses voitures, pour corriger plusieurs centaines de défauts à la fois. L'affaire ferait la une des journaux, les autorités s'en mêleraient sans tarder, et les automobilistes hésiteraient avant d'acheter ou de conduire un véhicule de cette marque.

L'automobile connaît pourtant, elle aussi, des défauts graves. Le scandale des airbags Takata, qui pouvaient projeter des fragments métalliques lors de leur déclenchement, a entraîné le rappel de dizaines de millions de véhicules dans le monde. En France, Citroën a même dû demander à de nombreux propriétaires de C3 et de DS3 de cesser d'utiliser leur voiture. Mais ces défauts y sont traités comme des anomalies graves. Le constructeur est tenu de les réparer gratuitement, il en répond devant la justice, et chaque rappel est rendu public.

L'aéronautique offre un contraste plus frappant encore. Le logiciel embarqué dans les avions doit être certifié selon des normes extrêmement strictes, avec un niveau d'exigence proportionné aux conséquences d'une panne. Et quand un logiciel a failli, avec le système MCAS du Boeing 737 MAX impliqué dans deux accidents qui ont fait 346 morts, l'avion a été cloué au sol pendant près de deux ans. La preuve qu'un logiciel peut atteindre une fiabilité très élevée, quand la loi et les enjeux l'exigent.

L'informatique grand public, elle, vit sous un régime à part. Les contrats de licence des logiciels limitent généralement la responsabilité de l'éditeur, qui livrent leurs produits "en l'état", sans réelle garantie. Et la correction permanente est devenue la norme, au point d'être organisée en rendez-vous mensuel chez Microsoft. Un produit livré avec des milliers de défauts, puis réparé au fil de l'eau, aux frais du temps et de la vigilance de ses utilisateurs : peu d'industries pourraient se le permettre.

Le droit européen de la consommation offre toutefois quelques garde-fous. Depuis 2022, les vendeurs de produits et de contenus numériques sont tenus de fournir les mises à jour, y compris de sécurité, pendant la durée que le consommateur peut légitimement attendre. Mais cette obligation porte sur la correction des défauts, pas sur leur prévention.

Failles dans les logiciels : des défauts en partie évitables

Les failles logicielles ne relèvent pas uniquement de la fatalité. Dès 2019, Microsoft reconnaissait qu'environ 70 % des vulnérabilités qu'il corrigeait chaque année étaient liées à la gestion de la mémoire. Ce type d'erreur est propre aux langages de programmation anciens, comme le C et le C++, qui laissent au développeur le soin de manipuler directement la mémoire de l'ordinateur. Des langages plus récents, comme Rust, rendent la plupart de ces erreurs impossibles.

L'exemple de Google montre que le changement porte ses fruits. En privilégiant ces langages pour le nouveau code d'Android, l'entreprise a vu la part des failles liées à la mémoire passer de 76 % en 2019 à 24 % en 2024. Microsoft s'est engagé dans la même voie, en réécrivant progressivement certaines parties de Windows en Rust. Mais réécrire des dizaines de millions de lignes de code prend des années, et l'essentiel de Windows repose encore sur des fondations anciennes, héritées des versions précédentes. Ce code tentaculaire, qui rassemble des portions écrites à des années d'écart par des équipes différentes, induit des interactions multiples et complexes, très délicates à gérer. Les problèmes, et notamment les failles, peuvent ainsi se multiplier de manière quasi exponentielle, ce qui les rend difficiles à détecter et à corriger.

D'autres facteurs pèsent, moins techniques. La course aux nouveautés pousse les éditeurs à livrer toujours plus vite, et chaque fonction ajoutée élargit la surface d'attaque. L'intégration de l'IA dans Windows en est le dernier exemple en date. Les tests, eux, ne suivent pas toujours. Le modèle économique de la mise à jour permanente a d'ailleurs un effet pervers : puisqu'on pourra toujours corriger plus tard, la tentation est grande de livrer un produit inachevé, pour respecter les promesses d'un calendrier et continuer à rester "dans la course".

Les défenseurs de l'industrie ont des arguments sérieux, qu'il faut entendre. Un système d'exploitation moderne est l'un des objets les plus complexes jamais conçus par des ̂êtres humains. Windows doit ainsi pouvoir fonctionner sur des milliers de configurations matérielles différentes, avec des millions de logiciels. Et résister à des adversaires qui cherchent activement ses points faibles en l'étudiant en permanence. Des menaces auxquelles la plupart des appareils de notre quotidien n'ont pas à faire face.

L'explosion récente des chiffres a aussi une part de bonne nouvelle. Microsoft utilise désormais des outils d'IA capables de passer son code au crible, et trouve bien plus de failles qu'auparavant. Ces vulnérabilités n'ont pas été créées en 2026 : elles dormaient souvent dans le code depuis des années. Les corriger avant que des pirates ne les découvrent vaut mieux que de les ignorer. Mais l'argument se retourne aussi : si des milliers de failles pouvaient encore être trouvées, c'est qu'elles avaient échappé aux contrôles de qualité au moment de la mise sur le marché. Et il y a clairement beaucoup d'améliorations à apporter sur ce plan.

Failles dans les logiciels : l'Europe va commencer à demander des comptes

La situation pourrait bientôt changer, au moins en Europe. Le règlement européen sur la cyberrésilience – le Cyber Resilience Act ou CRA –, adopté fin 2024, impose progressivement des exigences de sécurité à tous les produits comportant des éléments numériques. Depuis le 11 septembre 2026, les fabricants doivent déjà signaler toute faille activement exploitée ou tout incident de sécurité grave dans les 24 heures, à l'ENISA, l'agence européenne de cybersécurité, et à l'autorité nationale compétente, l'ANSSI en France.

Le 11 décembre 2027, le texte s'appliquera dans son intégralité. Les produits numériques devront alors intégrer la sécurité dès leur conception et porter le marquage CE pour être vendus dans l'Union. Leurs fabricants devront aussi fournir un inventaire détaillé des composants logiciels qu'ils contiennent, sur le modèle de la liste d'ingrédients des produits alimentaires. Le non-respect de ces règles pourra entraîner de lourdes amendes.

La nouvelle directive européenne sur la responsabilité du fait des produits défectueux va plus loin encore. Elle reconnaît explicitement les logiciels comme des produits à part entière. Un éditeur pourra donc voir sa responsabilité engagée si une faille cause un dommage, comme un constructeur automobile pour un frein défaillant. Le texte s'appliquera aux produits mis sur le marché à partir de décembre 2026.

Il aura fallu près d'un demi-siècle d'informatique grand public pour que le logiciel commence à être traité comme un produit comme les autres. Les quelque 1 400 failles corrigées en octobre ne seront pas les dernières. Mais l'époque où l'on pouvait vendre du code défectueux sans avoir à en répondre pourrait bientôt toucher à sa fin. C'est tout ce que l'on espère, et c'est clairement l'un des domaines où l'IA pourrait vraiment contribuer au bien-être de l'humanité.