Failles Windows de novembre 2026 : quel build vérifier après l'avis du CERT-FR

Le CERT-FR, le centre gouvernemental de veille et d'alerte, a publié le 12 novembre 2026 l'avis CERTFR-2026-AVI-1513 sur de multiples vulnérabilités dans Microsoft Windows. Il couvre les correctifs diffusés par Microsoft le 10 novembre, pour Windows 10, Windows 11 et Windows Server. Voici ce que l'avis dit, ce que les médias spécialisés ajoutent et ce que vous devez vérifier sur vos machines cette semaine.

Que contient l'avis du CERT-FR ?

L'avis recense des failles de plusieurs types : exécution de code à distance, élévation de privilèges, déni de service à distance, atteinte à la confidentialité ou à l'intégrité des données et contournement de la politique de sécurité. Le nombre d'identifiants CVE cité dépasse les sept cents. Les décomptes varient selon les sources, car Microsoft rattache à Windows plus ou moins de composants : le site Pureinfotech parle de 726 vulnérabilités Windows, d'autres médias avancent des totaux plus élevés en y ajoutant Edge et les services cloud. Pour vos machines, le chiffre compte moins que le numéro de version installé.

Sont concernés Windows 10 (versions 1607, 1809, 21H2 et 22H2), Windows 11 (23H2, 24H2, 25H2, 26H1 et 26H2) et Windows Server de 2012 à 2025, y compris les installations Server Core. Trois composants ont leur propre correctif : Windows Admin Center avant la version 2.1.36, Windows App Client for Windows Desktop avant la 2.0.1489.0 et Windows Sandbox avant la 0.8.111.0.

L'avis ne précise pas si l'une de ces failles est déjà exploitée par des attaquants. Plusieurs médias, dont Windows Mode et CrowdStrike, signalent une faille d'usurpation dans Outlook (CVE-2026-124194), notée 6,5 sur l'échelle CVSS. Windows Mode précise que la mise à jour cumulative de Windows ne la corrige pas : il faut aussi les mises à jour de Microsoft 365 Apps. Les sources ne s'accordent pas toutes sur l'identité de la faille exploitée, ce qui justifie de consulter le guide des mises à jour de sécurité de Microsoft avant toute décision.

Quelle version dois-je avoir après la mise à jour ?

Le CERT-FR donne pour chaque système le numéro de build corrigé. Windows 10 22H2 doit afficher au moins 10.0.19045.7846, et Windows Server 2025 au moins 10.0.26100.33822. Pour le connaître, tapez winver dans le menu Démarrer : la ligne « Build » indique le numéro complet. Si votre numéro est inférieur à celui de l'avis, le correctif de novembre n'est pas installé.

Les mises à jour cumulatives de Windows 11 de ce mois portent les références KB5132061 et KB5131087, selon BleepingComputer. Windows Update les propose automatiquement sur un poste personnel, sauf si vous avez mis les mises à jour en pause. Sur un parc géré par une entreprise, c'est l'équipe informatique qui décide du calendrier de déploiement, parfois plusieurs jours après la publication.

Novembre 2026 marque aussi, d'après Windows Mode, la dernière mise à jour pour Windows 11 23H2 en éditions Entreprise et Éducation. Un poste resté sur cette version ne recevra plus de correctifs de sécurité à partir de décembre. Passer à 24H2 ou à une version plus récente devient alors une affaire de sécurité, pas de confort.

Pourquoi un mois de correctifs aussi chargé touche aussi les particuliers

Une faille d'exécution de code à distance permet à un attaquant de lancer ses propres commandes sur une machine, parfois à partir d'un simple fichier ouvert ou d'une page consultée. Une faille d'élévation de privilèges intervient ensuite : l'attaquant, déjà présent avec un compte limité, obtient les droits d'administrateur. Les deux se combinent dans la plupart des intrusions décrites par les équipes de réponse à incident.

Sur un ordinateur personnel, l'enjeu est de protéger les comptes bancaires, les photos et les documents administratifs. Dans la même logique, nous avons détaillé la vérification des mises à jour sur un Google Pixel après la dernière série de failles Android.

Un cas concret : une PME de douze postes

Prenons un cabinet comptable de douze salariés. Huit postes tournent sous Windows 11 24H2, trois sous Windows 10 22H2 et un serveur de fichiers sous Windows Server 2019. Le cabinet n'a pas d'informaticien interne et laisse Windows Update décider seul.

Le mardi 10 novembre, Microsoft publie les correctifs. Si les mises à jour automatiques sont actives et que les postes sont allumés en fin de journée, huit à onze machines peuvent être à jour dès le jeudi. Le serveur, lui, demande un redémarrage planifié : si personne ne le fait, il reste vulnérable. C'est précisément le poste qui contient les dossiers clients.

Si le serveur reste non corrigé pendant trente jours, il reste exposé tout ce temps à des failles dont le détail est désormais public. Une attaque par rançongiciel peut alors bloquer les douze postes. À l'inverse, une intervention planifiée coûte environ une heure de redémarrage et de vérification pour le serveur, plus une trentaine de minutes par poste : au total, six à sept heures de travail réparties sur la semaine, soit un coût sans commune mesure avec trois jours d'arrêt complet.

Le bon réflexe consiste donc à dresser la liste des douze machines avec leur numéro de build, à le comparer à celui de l'avis du CERT-FR, puis à traiter le serveur en premier. Un prestataire informatique peut réaliser cet inventaire en une demi-journée et mettre en place un calendrier de correctifs mensuel.

Les pièges fréquents après un Patch Tuesday

Le premier piège tient au redémarrage. Windows télécharge et prépare la mise à jour, mais la protection ne s'applique qu'après le redémarrage. Un ordinateur laissé en veille prolongée pendant des semaines peut afficher « à jour » dans Windows Update tout en gardant un ancien build en mémoire. La commande winver après redémarrage lève le doute.

Le deuxième piège concerne les logiciels de gestion de parc. Sur un réseau d'entreprise, une règle de report peut retarder les correctifs de dix à trente jours pour tester la compatibilité des applications métier. Ce délai est légitime, mais il doit être connu, écrit et réduit pour les serveurs exposés à Internet et pour les postes qui lisent du courrier.

Le troisième piège vient des fausses alertes. Après chaque publication de correctifs, des courriels et des fenêtres publicitaires prétendent signaler une « mise à jour de sécurité urgente » et invitent à télécharger un fichier. Microsoft ne distribue ses correctifs que par Windows Update et par son catalogue officiel. Un lien reçu par courriel ne doit jamais servir à installer une mise à jour.

Que faire dès aujourd'hui

1. Ouvrez Windows Update (Paramètres, puis Windows Update) et lancez la recherche des mises à jour. Redémarrez quand le système le demande.
2. Tapez winver et comparez votre build à celui indiqué dans l'avis du CERT-FR pour votre version de Windows.
3. Mettez aussi à jour Outlook et les applications Microsoft 365 : le correctif de Windows ne les couvre pas.
4. Si vous êtes encore sous Windows 11 23H2 Entreprise ou Éducation, planifiez la migration vers une version prise en charge avant décembre.
5. Sauvegardez vos fichiers importants sur un disque externe ou un espace distinct, déconnecté de l'ordinateur après la copie.

Pour un parc de plusieurs machines, un serveur ou un poste que vous ne pouvez pas redémarrer sans arrêter l'activité, l'aide d'un expert en informatique évite les oublis. Sur Expert Zoom, un spécialiste en sécurité informatique peut auditer vos postes, hiérarchiser les correctifs et mettre en place des mises à jour automatiques fiables.

Les builds corrigés et la liste complète des produits concernés figurent dans l'avis officiel CERTFR-2026-AVI-1513 du CERT-FR, publié le 12 novembre 2026.