Windows : une injection de commande dans le Shell contourne une protection à distance
Une faille de haute gravité du Shell de Windows permet à un attaquant distant de contourner une fonction de sécurité par injection de commande. Elle est exploitée : les mises à jour de Windows et de Windows Server sont à installer.
Pour les pros
Pour les professionnels
Exploitée, catalogue KEV
Correctif disponible, 10.0.14393.9612, 10.0.17763.9376, 10.0.19044.7807, 10.0.19045.7807, 10.0.22631.7652, 10.0.26100.9711, 10.0.26200.9711, 10.0.28000.3231, 10.0.26300.9711, 10.0.20348.5761, 10.0.26100.33650
CVE-2026-96951
- Nature
- injection de commande dans le Shell Windows, permettant à un attaquant non autorisé de contourner une fonction de sécurité par le réseau
- CVSS v3.1, gravité
- CVSS8,8
- Corrigé dans
- 10.0.14393.9612
- 10.0.17763.9376
- 10.0.19044.7807
- 10.0.19045.7807
- 10.0.22631.7652
- 10.0.26100.9711
- 10.0.26200.9711
- 10.0.28000.3231
- 10.0.26300.9711
- 10.0.20348.5761
- 10.0.26100.33650
- Versions touchées
- outlook_web
- windows_10_1607 : < 10.0.14393.9612
- windows_10_1809 : < 10.0.17763.9376
- windows_10_21h2 : < 10.0.19044.7807
- windows_10_22h2 : < 10.0.19045.7807
- windows_11_23h2 : < 10.0.22631.7652
- windows_11_24h2 : < 10.0.26100.9711
- windows_11_25h2 : < 10.0.26200.9711
- windows_11_26h1 : < 10.0.28000.3231
- windows_11_26h2 : < 10.0.26300.9711
- windows_server_2012 : r2
- windows_server_2016 : < 10.0.14393.9612
- windows_server_2019 : < 10.0.17763.9376
- windows_server_2022 : < 10.0.20348.5761
- windows_server_2025 : < 10.0.26100.33650
- Vecteur CVSS v3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- EPSS (24/10)
- EPSS1,5 % (74e centile)
- Catalogue KEV
- KEVExploitéeoui, ajoutée le 13/10
- Fiches et avis
- NVD pour CVE-2026-96951, cve.org pour CVE-2026-96951
Ce qu'on sait de l'exploitation
La vulnérabilité CVE-2026-96951 figure au catalogue KEV de la CISA, qui recense les failles exploitées, depuis le 13 octobre 2026. L’agence a fixé au 16 octobre 2026 l’échéance de remédiation pour les organismes fédéraux américains. Le catalogue indique que l’usage par des rançongiciels est inconnu.
À faire, dans l'ordre
Lancer Windows Update et installer les mises à jour de sécurité sur chaque poste et serveur
Vérifier que la version atteint au moins la version corrigée, par exemple 10.0.26100.9711 pour Windows 11 24H2 ou 10.0.19045.7807 pour Windows 10 22H2
Suivre les mesures de l’éditeur et les consignes de la CISA, qui demandent aussi un triage forensique des équipements exposés
En clair
Pour tout le monde
Une faille du Shell, la partie de Windows qui gère les fichiers et les dossiers, permet à quelqu’un d’envoyer par le réseau une commande piégée et de contourner une protection du système. Elle touche Windows 10, Windows 11 et Windows Server. Il faut installer les mises à jour de sécurité de Microsoft, sans les différer.
Réseau de sources
Qui a relevé l’alerte, et quelles autorités la documentent.
- Fiches CVE
- Exploitation confirmée
- Scores EPSS
Sources (4)
- Fiches CVEAutoritéCVE-2026-96951 sur CVE.org (site externe, nouvel onglet)cve.org
- Fiches CVEAutoritéCVE-2026-96951 dans la NVD (site externe, nouvel onglet)nvd.nist.gov
- Exploitation confirméeAutoritéCISA, catalogue des vulnérabilités exploitées (KEV) (site externe, nouvel onglet)cisa.gov
- Scores EPSSAutoritéFIRST, Exploit Prediction Scoring System (site externe, nouvel onglet)first.org