Microsoft a publié un correctif pour une vulnérabilité Outlook activement exploitée, qui peut exposer des informations d'authentification lorsqu'un utilisateur ouvre un fichier malveillant. Son avis du 10 novembre indique que les attaquants pourraient utiliser ces informations pour usurper l'identité de l'utilisateur, ce qui fait de cette mise à jour une priorité pour les organisations qui utilisent les versions d'Outlook concernées.
La faille, CVE-2026-124194, reçoit une gravité modérée et un score de base CVSS de 6,5 sur 10. L'exploitation nécessite à la fois une connectivité réseau et l'ouverture du fichier par un utilisateur. Microsoft précise explicitement que le volet de lecture d'Outlook n'est pas un vecteur d'attaque.
Ce correctif fait partie d'une vaste publication de sécurité de novembre. Les notes de version du 11 novembre de Microsoft répertorient 1 094 CVE Microsoft, c'est-à-dire des identifiants attribués aux vulnérabilités, et 165 CVE non Microsoft republiées. Ensemble, ces éléments expliquent les 1 259 entrées signalées par The Hacker News, qui décrit novembre comme le deuxième mois consécutif à dépasser les 1 000 entrées.
Fonctionnement de l'attaque Outlook
Un attaquant n'a besoin ni de compte ni d'accès existant pour envoyer un fichier de message spécialement conçu et convaincre quelqu'un de l'ouvrir dans une installation Outlook vulnérable. Son ouverture pourrait amener Outlook à se connecter à un emplacement réseau contrôlé par l'attaquant, sans afficher son avertissement habituel sur le contenu externe.
Microsoft indique que cette connexion peut divulguer le hash NTLMv2 de l'utilisateur, une information d'authentification qu'un attaquant pourrait utiliser pour s'authentifier en tant que victime. Le risque concret dépasse donc l'affichage d'un contenu trompeur : l'ouverture du fichier pourrait exposer des informations permettant l'usurpation d'identité.
Microsoft a indiqué que la vulnérabilité était exploitée lors de sa publication initiale, le 10 novembre, et qu'elle n'avait pas été divulguée publiquement auparavant. L'entreprise crédite nono et Benoît Sevens, qui ont utilisé Claude d'Anthropic, de l'avoir signalée.
L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté la faille Outlook au catalogue Known Exploited Vulnerabilities le 10 novembre, en citant des preuves d'exploitation active. The Hacker News indique une échéance de correction au 24 novembre 2026 pour les agences fédérales. Cette obligation s'applique aux agences civiles du pouvoir exécutif fédéral, et non aux organisations en général.
L'alerte de la CISA décrit la Binding Operational Directive 26-04 comme exigeant de ces agences qu'elles hiérarchisent les vulnérabilités à haut risque du catalogue affectant les actifs exposés publiquement et qui accordent un contrôle total après exploitation, tout en reportant le traitement des vulnérabilités à risque moindre. Elle fixe aussi des attentes pour vérifier si des attaquants ont compromis des systèmes avant l'application des correctifs. La CISA encourage les autres organisations à hiérarchiser les vulnérabilités du catalogue grâce à une gestion des vulnérabilités fondée sur les risques.
Des failles critiques touchent aussi le traitement côté serveur
Plusieurs autres correctifs de novembre traitent des failles d'exécution de code à distance, qui peuvent permettre à un attaquant d'exécuter du code sur un système vulnérable. Trois avis Microsoft montrent pourquoi les administrateurs doivent examiner le service concerné et les prérequis d'attaque en plus des scores de gravité.
Windows Search : CVE-2026-116928. Microsoft classe cette vulnérabilité comme critique, avec un score de base de 9,8. Son avis décrit une écriture hors limites, c'est-à-dire une opération mémoire effectuée en dehors de sa frontière prévue, dans le composant Windows Search utilisé par Microsoft Exchange Server.
Un attaquant non authentifié pourrait envoyer un e-mail contenant une pièce jointe spécialement conçue. Exchange traite automatiquement la pièce jointe pour l'indexation, si bien que le destinataire n'aurait pas besoin d'ouvrir ni l'e-mail ni la pièce jointe. Une exploitation réussie pourrait exécuter du code avec les autorisations du service de traitement. Au moment de la publication, Microsoft n'avait recensé ni exploitation ni divulgation publique préalable, et jugeait l'exploitation moins probable.
Windows LDAP : CVE-2026-119958. Cette vulnérabilité critique a également un score de base de 9,8. LDAP, le Lightweight Directory Access Protocol, sert à accéder aux informations d'annuaire. L'avis de Microsoft décrit une autre écriture hors limites : un attaquant non authentifié pourrait envoyer des appels LDAP spécialement conçus et exécuter du code dans le contexte de sécurité du service LDAP. Aucune interaction de l'utilisateur n'est requise. Au moment de la publication, Microsoft n'avait recensé ni exploitation ni divulgation publique préalable, et jugeait l'exploitation moins probable.
Windows Schannel : CVE-2026-119952. Microsoft classe cette vulnérabilité comme critique, avec un score de base de 8,1, et juge l'exploitation plus probable, même si, à la publication, l'entreprise n'avait recensé aucune exploitation ni divulgation publique préalable. L'avis décrit une divergence temporelle observable et indique qu'un attaquant non authentifié pourrait envoyer un paquet réseau spécialement conçu à un service concerné afin d'exécuter du code sans interaction de l'utilisateur.
L'exploitation de Schannel suppose une condition supplémentaire : certains paramètres ou certaines configurations de protocole particuliers doivent être présents. Microsoft indique que ces exigences réduisent la probabilité d'attaques généralisées ou opportunistes.
The Hacker News a aussi mis en avant les correctifs d'exécution de code à distance pour Windows Virtual Filtering Platform, CVE-2026-95962, et pour Windows Xbox Live Networking Service, CVE-2026-112967, ainsi qu'une faille d'élévation de privilèges dans Azure OpenAI, CVE-2026-119990. L'élévation de privilèges donne à un attaquant des autorisations plus étendues.
Ce que les administrateurs doivent traiter en priorité
Les chiffres de Microsoft par famille de produits comprennent 726 vulnérabilités Windows, 174 dans Office, 59 dans SQL Server, 53 dans Developer Tools, 27 dans SharePoint Server, 20 dans Azure, neuf dans Exchange Server, une dans Defender et 25 classées dans la catégorie Other. The Hacker News indique que plus de 500 failles concernent l'élévation de privilèges, suivie de l'exécution de code à distance et de la divulgation d'informations. Le site cite le chercheur de Tenable Satnam Narang, qui affirme que Microsoft a traité plus de 5 100 CVE cette année.
Pour le tri, Jake Knott, responsable du renseignement sur les menaces chez watchTowr, a déclaré à The Hacker News que les équipes devraient commencer par les systèmes exposés sur Internet, puis par les vulnérabilités déjà exploitées, et vérifier si elles utilisent le composant vulnérable et remplissent ses prérequis d'exploitation.
Les administrateurs devraient appliquer le correctif Outlook ainsi que les mises à jour de novembre applicables aux produits déployés. Microsoft indique que les mises à jour de Windows 10 et Windows 11 sont cumulatives, c'est-à-dire qu'elles incluent les correctifs de sécurité précédents et les modifications hors sécurité. L'entreprise insiste sur l'installation de la dernière mise à jour de la pile de maintenance (servicing stack update), qui permet l'installation des mises à jour Windows. Les clients de Windows Server 2008 et 2008 R2 ont besoin des Extended Security Updates pour continuer à recevoir des mises à jour de sécurité.
Avant le déploiement, vérifiez les problèmes connus répertoriés par Microsoft pour SQL Server 2025 CU10 et 2022 CU27 ; Windows Server 2025, y compris les déploiements Hotpatch ; Windows Server 2022, 2019 et 2016 ; Windows 10 versions 1809, 21H2, 22H2 et 1607 ; ainsi que les mises à jour .NET 9.0 et 8.0. Microsoft renvoie les administrateurs vers l'onglet Deployments du Security Update Guide et vers la colonne Known Issues pour plus de détails.
