Microsoft corrige une faille Outlook déjà exploitée
Microsoft a corrigé une faille d’Outlook déjà utilisée pour voler des identifiants. Ce que fait la CVE-2026-124194 et ce que votre bureau doit mettre à jour.
Microsoft a publié le mardi 10 novembre 2026 ses mises à jour de sécurité mensuelles, et l’une d’elles corrige une faille d’Outlook que des attaquants exploitaient déjà. Elle porte la référence CVE-2026-124194. Si votre entreprise utilise Outlook sous Windows, comme la plupart des bureaux équipés de Microsoft 365, c’est la mise à jour à vérifier dès cette semaine.
Ce que permet la faille
Microsoft la range parmi les vulnérabilités d’usurpation (spoofing). D’après BleepingComputer, l’attaquant envoie un fichier de message piégé et convainc quelqu’un de l’ouvrir dans Outlook. Outlook se connecte alors à un serveur contrôlé par l’attaquant sans afficher l’avertissement habituel sur le contenu externe, et lui transmet au passage le hachage NTLMv2 de l’utilisateur, une forme brouillée de ses identifiants Windows.
Selon SecurityWeek, Microsoft juge la faille « modérée », avec un score CVSS de 6,5. Elle ne peut pas être déclenchée par le volet de lecture et touche notamment Microsoft 365 Apps for Enterprise, Office LTSC 2021 et Office LTSC 2024. Microsoft confirme qu’elle a été exploitée, sans donner de détails sur les attaques. La faille n’était pas connue publiquement avant le correctif.
Pourquoi s’en soucier malgré la note « modérée »
La note tient au fait qu’il faut ouvrir le fichier. Dans une petite structure, ce n’est pas un vrai obstacle : un e-mail crédible avec une pièce jointe ressemblant à une facture ou à un message vocal suffit. Un hachage NTLMv2 volé permet de se connecter sous l’identité de la personne sur les systèmes qui acceptent encore NTLM et, si le mot de passe est faible, il peut souvent être cassé hors ligne. Un simple clic peut ainsi ouvrir l’accès aux partages de fichiers, à un serveur ou à d’autres postes du réseau.
Le reste des correctifs de novembre
La livraison est massive : BleepingComputer compte 1 235 failles, SecurityWeek 1 094, l’écart venant de la méthode de décompte. SecurityWeek signale des correctifs critiques pour Windows 10 et 11, Windows Server 2016 à 2025, Office, Exchange Server Subscription Edition et Edge. BleepingComputer cite des failles critiques dans les services de domaine Active Directory, à surveiller si vous avez votre propre contrôleur de domaine. Ce sont aussi les dernières mises à jour des éditions Entreprise et Éducation de Windows 11 version 23H2.
Que faire cette semaine
- Mettez Office à jour sur chaque poste. Microsoft 365 Apps se met généralement à jour seul, mais pas toujours rapidement. Dans Outlook : Fichier, Compte Office, Options de mise à jour, Mettre à jour maintenant, puis redémarrez Outlook. N’oubliez pas les PC peu utilisés ou rarement redémarrés.
- Installez les mises à jour Windows sur les postes, portables et serveurs, puis redémarrez-les. Si elles sont gérées de façon centralisée, consultez le rapport au lieu de supposer qu’elles sont passées.
- Rappelez à l’équipe de se méfier des pièces jointes inattendues, en particulier les fichiers de message (.msg ou .eml) et tout ce qui se présente comme « copie d’un e-mail ». En cas de doute, demander avant d’ouvrir.
- Bloquez le SMB sortant sur le pare-feu (port TCP 445 vers Internet) s’il ne l’est pas déjà. Ce type d’attaque repose en général sur une connexion du PC vers le serveur de l’attaquant.
- Utilisez des mots de passe longs et uniques pour les comptes Windows et Microsoft 365, afin qu’un hachage volé soit bien plus difficile à casser.
- Si quelqu’un a récemment ouvert un fichier suspect, changez son mot de passe et examinez les connexions récentes de ce compte.
Début novembre, nous avons décrit une autre porte d’entrée dans les comptes Microsoft 365 dans notre article sur les attaques par rejeu de jetons que la MFA n’a pas bloquées. Nos pages gestion des correctifs et sécurité de la messagerie et hameçonnage expliquent comment nous gardons à jour les mises à jour et la protection des e-mails des petites entreprises. Vous n’êtes pas sûr que votre bureau soit à jour ? Appelez le (213) 986-4855.