Illustration éditoriale générée par IA — scène et personnage fictifs ; ne représente ni une équipe Microsoft ni un incident réel. Créée avec Imagegen pour Uminov.
Un planning à consulter, des devis à terminer, un outil métier utilisé chaque jour : dans une petite entreprise, la maintenance informatique doit rester concrète. Microsoft a publié le 25 octobre des correctifs .NET qui méritent une vérification auprès de l’éditeur de votre logiciel ou du prestataire qui le maintient. [1]
Un correctif manquant dans les précédentes mises à jour
La nouveauté concerne la vulnérabilité CVE-2026-70197, déjà signalée le 13 octobre. Le bulletin du 25 précise que son correctif n’était pas inclus dans les mises à jour précédentes et fournit désormais les versions corrigées. Microsoft classe la vulnérabilité en sévérité élevée, avec un score de 8,1 sur 10. [1]
Le périmètre vise certaines applications .NET sous Windows et un usage particulier de fonctions réseau. Posséder un ordinateur Windows ne suffit pas à établir que votre activité est concernée. Le point de départ est donc l’application réellement utilisée : son nom, sa version et la personne chargée de sa maintenance. [1]
Vous pouvez transmettre la référence CVE à votre interlocuteur habituel, sans essayer de traduire vous-même le détail technique. S’il ne gère qu’une partie de votre informatique, demandez qui suit le logiciel en question. Une réponse sur le poste de travail ne renseigne pas forcément sur l’application installée sur un autre équipement.
Si votre outil s’ouvre dans un navigateur, distinguez le poste qui l’affiche du service qui l’héberge. Adressez la demande au responsable de cette application : une mise à jour locale ne permet pas, à elle seule, de conclure sur un serveur distant. Précisez également si plusieurs sites ou plusieurs équipes utilisent le même outil, afin de convenir du périmètre du contrôle.
Les versions à faire vérifier
Pour les branches .NET 8, 9 et 10 concernées sous Windows, le bulletin donne les versions de runtime suivantes, c’est-à-dire les composants nécessaires à l’exécution des applications. Les références complètes des paquets figurent dans l’avis Microsoft. [1]
Branche concernée | Runtime corrigé indiqué |
|---|---|
.NET 8 | 8.0.33 |
.NET 9 | 9.0.22 |
.NET 10 | 10.0.14 |
Ces numéros servent à dialoguer avec le mainteneur. Ils ne constituent pas une consigne pour changer de branche .NET au hasard. Le bulletin traite également des préversions de .NET 11 ; leur présence dans l’avis ne justifie pas une migration improvisée de votre logiciel métier.
Demandez une réponse liée à votre installation : application concernée ou non, version présente, correction prévue. Si le prestataire conclut à une absence d’exposition, faites préciser sur quoi repose cette conclusion. Cette trace vous évitera de reprendre les mêmes vérifications avec un autre interlocuteur.
Pourquoi la mise à jour du poste peut ne pas suffire
Microsoft distingue deux modes de déploiement. Certaines applications utilisent un environnement .NET installé séparément sur la machine ; d’autres embarquent leur propre environnement d’exécution. Dans ce second cas, dit « autonome », le logiciel distribue aussi les composants nécessaires à son fonctionnement. [2]
Pour les applications autonomes touchées, l’avis de sécurité demande une recompilation et un redéploiement. Il indique aussi de redémarrer les applications après l’installation du runtime ou du SDK corrigé. Ce travail relève de l’éditeur ou du mainteneur compétent. [1]
Une confirmation générale « les mises à jour sont faites » mérite donc d’être rattachée au logiciel que vous utilisez. Pour une application fournie par un éditeur, demandez sa procédure et le canal officiel de distribution du correctif. Évitez de remplacer un composant en production sur la seule lecture d’un numéro de version.
Trois points à convenir avec le professionnel
Pour organiser l’intervention, vous pouvez demander :
Le périmètre exact : quels logiciels et équipements sont à vérifier, et qui prend en charge chaque action ?
Le créneau d’intervention : faut-il fermer l’application et prévenir les personnes qui l’utilisent ?
La vérification finale : quelle version sera contrôlée et comment confirmer le fonctionnement habituel après l’intervention ?
Si une prestation complémentaire est proposée, faites préciser ce qui est inclus et ce qui reste à la charge de l’éditeur. Conservez le compte rendu et la date d’intervention. L’objectif est d’obtenir une réponse claire sur votre outil de travail, puis une correction adaptée lorsque l’exposition est confirmée.
