Microsoft corrige une faille zero-day dans Outlook alors que le Patch Tuesday de novembre cible plus de 1 000 vulnérabilités

Le Patch Tuesday de novembre de Microsoft apporte une nouvelle série importante de correctifs de sécurité, mais une vulnérabilité d’Outlook mérite une attention immédiate.

Les mises à jour de novembre 2026 corrigent plus de 1 000 vulnérabilités signalées dans le portefeuille logiciel de Microsoft, dont une faille zero-day dans Outlook activement exploitée qui pourrait exposer des informations d’authentification Windows.

Répertoriée sous le numéro CVE-2026-124194, la faille présente un niveau de gravité modéré et un score CVSS de 6,5. Malgré cette classification, son exploitation avérée en fait une priorité pour les entreprises utilisant des versions concernées de Microsoft 365 Apps et d’Office.

La vulnérabilité pourrait permettre à des attaquants de capturer des éléments d’authentification NTLM lorsqu’un utilisateur ouvre un fichier de message spécialement conçu, ce qui pourrait faciliter d’autres attaques contre les systèmes de l’entreprise.

Les attaquants pourraient tenter de casser le hash capturé ou de le relayer afin d’usurper l’identité de la victime et d’accéder aux ressources de l’entreprise. L’attaque nécessite une interaction de l’utilisateur et une connexion réseau, mais Microsoft affirme que le volet de prévisualisation ne constitue pas un vecteur d’attaque.

Microsoft n’a pas révélé l’identité des attaquants, les organisations touchées ni l’ampleur de la campagne. L’agence américaine Cybersecurity and Infrastructure Security Agency a ajouté la vulnérabilité à son catalogue des vulnérabilités exploitées connues, accordant aux agences fédérales jusqu’au 24 novembre pour appliquer le correctif.

Jack Bicer, directeur de la recherche sur les vulnérabilités chez Action1, a averti que la note de gravité modérée sous-estimait le risque et recommandé aux entreprises de mettre immédiatement à jour leurs installations d’Outlook, en commençant par les administrateurs et les autres comptes à forte valeur.

Les failles critiques ne se limitent pas à Outlook

La faille zero-day n’est qu’un élément d’une publication qui comprend 63 vulnérabilités critiques. Plusieurs autres failles méritent la priorité, car elles pourraient permettre à des attaquants de compromettre des systèmes sans dérober d’identifiants ni convaincre des employés d’ouvrir des fichiers malveillants.

Parmi les plus graves figurent :

Jack Bicer, d’Action1, a averti que la vulnérabilité LDAP pourrait permettre à des attaquants non authentifiés d’accéder au service d’annuaire chargé de gérer les « utilisateurs, groupes et ordinateurs de l’annuaire ». Il a ajouté : « Cette écriture hors limites obtient un score de 9,8 et est facile à déclencher. » Une attaque réussie pourrait exposer des identifiants, permettre la création de comptes administrateur frauduleux et ouvrir la voie au déploiement de rançongiciels.

Microsoft a également corrigé de graves faiblesses dans Exchange Server et Message Queuing. Elles méritent une attention particulière, car une infrastructure de messagerie compromise peut exposer les communications de l’entreprise et perturber les applications qui dépendent du traitement interne des messages.

La vulnérabilité d’Azure OpenAI est une autre source d’inquiétude, alors que les entreprises connectent de plus en plus les services d’IA à leurs informations et flux de travail internes. 

Mike Walters, président et cofondateur d’Action1, a averti qu’une élévation de privilèges non autorisée pourrait « exposer les prompts, les résultats des modèles, les données connectées et la logique métier, ou permettre aux attaquants d’utiliser le service à mauvais escient et de faire exploser les coûts », ajoutant qu’« une compromission à ce niveau pourrait entraîner la fuite d’informations sensibles, nuire à la confiance dans les processus pilotés par l’IA et créer des problèmes de conformité ». 

La découverte de vulnérabilités pilotée par l’IA accroît la pression sur les défenseurs

Novembre est un nouveau mois marqué par la correction de plus de 1 000 vulnérabilités, après la publication record d’octobre. 

Dans un e-mail adressé à eSecurity Planet, Dustin Childs, responsable de la veille sur les menaces à la Zero Day Initiative, a averti que « l’enchaînement de deux mois au-dessus de 1 000 CVE prouve que la chasse automatisée aux bugs a définitivement réinitialisé le volume de correctifs, mais l’absence totale de failles zero-day activement exploitées ne doit pas donner un faux sentiment de sécurité. Avec l’IA, la comparaison des correctifs et la génération d’exploits sont presque instantanées : la fenêtre de menace s’ouvre dès la publication de ces mises à jour. »

Childs recommande de traiter en priorité les serveurs Exchange et les contrôleurs de domaine, de restreindre les services DNS et DHCP exposés, et de vérifier si les services cloud nécessitent des correctifs administratifs manuels. 

Le principal défi pour les équipes de sécurité n’est plus simplement d’identifier les vulnérabilités. Il consiste à décider quels systèmes nécessitent une attention immédiate sans submerger les administrateurs de centaines d’exigences de mise à jour simultanées.

Ce que les mises à jour de novembre changent pour les utilisateurs de Windows et d’Office

Les entreprises ne doivent pas supposer que l’installation de la mise à jour cumulative de Windows corrige automatiquement la faille zero-day d’Outlook. La vulnérabilité d’Outlook nécessite la mise à jour de sécurité Office correspondante ; les équipes informatiques doivent donc vérifier que les installations de Windows et de Microsoft 365 ou d’Office sont toutes deux couvertes.

Pour les utilisateurs de Windows 11, les mises à jour comprennent également des changements supplémentaires en matière de sécurité et de fiabilité, même si leur disponibilité et leur comportement peuvent dépendre de la version installée.

Les administrateurs doivent donner la priorité aux exploitations confirmées et aux systèmes exposés à Internet, puis traiter les vulnérabilités critiques restantes en fonction de l’exposition de leur environnement et de l’importance de leurs activités.

Pour les particuliers, installer rapidement les mises à jour disponibles de Windows et d’Office et rester prudent face aux pièces jointes inattendues demeurent des précautions importantes.

Le cas d’Outlook rappelle qu’une note de gravité modérée ne signifie pas nécessairement qu’une vulnérabilité présente un risque opérationnel modéré, en particulier lorsque des attaquants l’exploitent déjà.

Autre information : une vulnérabilité iOS récemment révélée, baptisée « worse_query », pourrait permettre à des applications malveillantes de contourner les protections du bac à sable d’Apple et d’accéder aux données sensibles stockées par d’autres applications, notamment aux identifiants de connexion et aux clés de portefeuilles de cryptomonnaies, sans qu’aucun correctif confirmé ne soit encore disponible.