Zero-day Outlook CVE-2026-124194 : correctif (nov. 2026)

Qu'est-ce que la zero-day Outlook CVE-2026-124194 ?

CVE-2026-124194 est une vulnérabilité d'usurpation de Microsoft Outlook que des attaquants ont exploitée avant l'existence d'un correctif ; Microsoft l'a corrigée le 10 novembre 2026 ^[1][2].

Le Security Update Guide de Microsoft indique la faille comme « Exploitation Detected » et précise qu'elle n'avait pas été divulguée publiquement avant le correctif ^[1]. Son type de faiblesse est CWE-356, c'est-à-dire que le produit n'avertit pas l'utilisateur avant une action risquée ^[1][6].

En termes simples, Outlook devrait afficher un avertissement avant de récupérer du contenu depuis un emplacement réseau extérieur. Avec ce bug, un fichier de message spécialement conçu pouvait amener Outlook à se connecter à un serveur contrôlé par l'attaquant sans afficher cet avertissement ^[1][2].

C'était la seule zero-day activement exploitée de la publication de novembre 2026 de Microsoft, selon BleepingComputer et SecurityWeek ^[2][3]. Microsoft a remercié un chercheur connu sous le nom de « nono » et Benoît Sevens de l'avoir signalée ^[3].

Il s'agit d'une faille de sécurité, pas d'une panne de service.

Comment fonctionne la fuite du hachage NTLM dans Outlook ?

L'attaquant envoie un fichier de message piégé ; si la victime l'ouvre dans une version d'Outlook concernée, Windows peut tenter de se connecter au serveur de l'attaquant et lui remettre le hachage NTLMv2 de l'utilisateur ^[1][2].

1. Livraison : l'attaquant envoie par e-mail ou partage autrement un fichier de message malveillant ^[1].
2. Action de l'utilisateur : la victime ouvre le fichier dans Outlook. Microsoft indique que le volet de lecture n'est pas un vecteur d'attaque ; un clic pour l'ouvrir est donc nécessaire ^[1].
3. Connexion cachée : Outlook se connecte à un emplacement réseau contrôlé par l'attaquant sans l'avertissement habituel sur le contenu externe ^[1].
4. Envoi du hachage : Windows tente automatiquement de s'authentifier, ce qui expose le hachage NTLMv2 de l'utilisateur ^[1][2].
5. Exploitation : l'attaquant peut tenter de casser le hachage hors ligne ou s'en servir pour s'authentifier comme l'utilisateur ^[1][2].

NTLM est un ancien protocole de connexion de Windows. Un hachage n'est pas le mot de passe lui-même, mais BleepingComputer indique qu'un hachage NTLMv2 capturé pourrait être cassé hors ligne ^[2], et Microsoft note que NTLM est vulnérable aux attaques par relais SMB, par interception (man-in-the-middle) et par force brute ^[9]. BleepingComputer a aussi noté que des failles de fuite NTLM similaires ont déjà été exploitées via des pièces jointes malveillantes dans des campagnes d'hameçonnage ^[2].

L'avis de Microsoft ne donne aucun détail sur les personnes visées ni sur l'ampleur des attaques ^[3].

Quelles versions d'Outlook sont concernées et quelles sont les versions corrigées ?

Microsoft indique que Microsoft 365 Apps for Enterprise, Office LTSC 2021 et Office LTSC 2024 sont concernés, en éditions 32 bits et 64 bits ^[1][5].

La publication de sécurité d'Office de novembre 2026 est sortie le 10 novembre et couvre chaque canal de mise à jour ^[5]. Microsoft répertorie CVE-2026-124194 dans la section Outlook de cette publication ^[5]. Le tableau ci-dessous présente les versions corrigées telles que Microsoft les indique pour chaque canal et chaque version. Comparez votre build avec la ligne qui correspond à votre canal et à votre version.

Pour trouver votre build, ouvrez Fichier, puis Compte Office (ou Compte) dans une application Office ; la section Informations sur le produit affiche le nom du produit et, dans certains cas, le numéro de version complet, et le bouton À propos de l'application affiche la version complète ^[10]. Pour installer la mise à jour, choisissez Options de mise à jour, puis Mettre à jour maintenant ^[8]. Si Options de mise à jour est absent et que seul un bouton À propos apparaît, votre copie est sous licence en volume ou gérée par votre organisation : utilisez Microsoft Update ou contactez votre service d'assistance ^[8].

SecurityWeek a cité les trois mêmes produits concernés ^[3]. L'avis de Microsoft ne cite que des produits Office comme concernés et renvoie aux notes de sécurité d'Office pour le correctif ; une mise à jour cumulative de Windows n'est donc pas le correctif ^[1][5].

Quelle est la gravité de la zero-day Outlook ?

Microsoft la classe Modérée, avec un score de base CVSS 3.1 de 6,5, mais elle mérite une action rapide car des attaques ont déjà lieu ^[1][3][4].

Le vecteur CVSS montre qu'une interaction de l'utilisateur est requise (l'utilisateur doit ouvrir un fichier), avec un impact élevé sur la confidentialité et aucun impact sur l'intégrité ni sur la disponibilité ^[1].

Trois faits renforcent l'urgence pratique au-delà du score :

• Exploitation confirmée : Microsoft l'a marquée comme exploitée, et la CISA l'a ajoutée au catalogue Known Exploited Vulnerabilities le 10 novembre 2026 ^[1][4].
• Vol d'identifiants : Microsoft indique que le hachage divulgué pourrait servir à s'authentifier comme l'utilisateur ^[1], et note que NTLM est vulnérable aux attaques par relais et par force brute ^[9].
• Livraison par hameçonnage : BleepingComputer indique que des failles NTLM similaires ont déjà été exploitées via des pièces jointes malveillantes dans des campagnes d'hameçonnage ^[2].

La CISA a donné aux agences civiles fédérales américaines jusqu'au 24 novembre 2026 pour appliquer le correctif ^[4]. La CISA indique ignorer si des groupes de rançongiciels ont utilisé la faille ^[4]. Le JPCERT/CC au Japon a aussi publié une alerte exhortant les utilisateurs à appliquer les mises à jour ^[6].

Comment se protéger de CVE-2026-124194 ?

Installez d'abord la mise à jour d'Office de novembre 2026 ; l'avis de Microsoft indique la mise à jour comme correctif et ne donne aucune solution de contournement distincte ^[1][5]. Envisagez ensuite les mesures générales de durcissement ci-dessous ^[7][9].

1. Mettre Office à jour : dans Outlook, choisissez Fichier, Compte Office, Options de mise à jour, Mettre à jour maintenant, ou déployez la mise à jour via vos outils de gestion ^[5][8].
2. Confirmer le build : comparez le build affiché dans Outlook avec la liste de Microsoft pour votre canal ^[5].
3. Bloquer le SMB sortant : les recommandations générales de Microsoft sur le SMB conseillent de bloquer le port TCP 445 sortant vers Internet au niveau du pare-feu d'entreprise, et précisent que vous en avez peu de chances d'en avoir besoin, sauf si une offre de cloud public comme Azure Files ou Office 365 l'exige ^[7]. C'est une défense en profondeur, pas une solution de contournement indiquée par Microsoft pour cette faille.
4. Couvrir les portables : Microsoft recommande des règles de pare-feu sortantes sur les portables pour les réseaux publics, car elles réduisent les attaques d'hameçonnage qui envoient les utilisateurs vers des serveurs malveillants pour récolter des identifiants ^[7].
5. Restreindre le NTLM sortant : la stratégie Windows « Sécurité réseau : Restreindre NTLM : trafic NTLM sortant vers des serveurs distants » permet d'auditer ou de refuser le NTLM sortant ; Microsoft conseille de choisir d'abord Auditer tout et d'examiner le journal ^[9].
6. Se méfier des fichiers de message : n'ouvrez pas de pièces jointes de message inattendues, même venant de contacts connus.

Comme un hachage capturé peut être cassé hors ligne ^[2], un mot de passe long et unique est la meilleure défense. Voir le guide Pouyam Password Managers Explained: How They Work and Whether They Are Safe.

Que faire si vous avez ouvert un fichier de message suspect ?

Par précaution générale, changez le mot de passe du compte Windows ou professionnel avec lequel vous étiez connecté, et prévenez votre équipe informatique afin qu'elle vérifie les journaux de connexion.

L'avis de Microsoft indique que la faille divulgue le hachage NTLMv2 de l'utilisateur, qui pourrait servir à s'authentifier comme l'utilisateur ^[1] ; il ne donne aucune démarche pour les personnes qui auraient déjà ouvert un tel fichier. Un hachage capturé est dérivé de l'ancien mot de passe ; avec un nouveau mot de passe, ce hachage ne correspond donc plus au compte.

• Signalez-le : indiquez au personnel informatique ou de sécurité l'heure à laquelle vous avez ouvert le fichier et qui l'a envoyé.
• Conservez l'e-mail : ne le supprimez pas ; il aide les enquêteurs à trouver d'autres destinataires.
• Vérifiez les connexions : les administrateurs peuvent examiner l'activité du compte à la recherche d'emplacements ou d'appareils inconnus.
• Utilisez l'authentification multifacteur : elle rend un mot de passe cassé moins utile pour se connecter à des services en ligne, bien qu'elle ne puisse pas empêcher un attaquant d'essayer de casser le hachage.

Les administrateurs qui ont réglé la stratégie NTLM sortant en mode audit verront les tentatives consignées dans le journal opérationnel NTLM, qui identifie les serveurs recevant des demandes d'authentification NTLM de l'appareil ^[9]. Pour les particuliers, les étapes sont plus simples : mettez Office à jour, changez votre mot de passe si vous avez ouvert un fichier étrange et activez la connexion en deux étapes. Le guide Pouyam Two-Factor Authentication Explained: Which 2FA Method Is Safest? compare les options.

Que Microsoft a-t-il corrigé d'autre au Patch Tuesday de novembre 2026 ?

La publication de novembre 2026 de Microsoft a corrigé plus de 1.000 vulnérabilités, mais les médias ont compté différemment : SecurityWeek a rapporté 1.094 et BleepingComputer 1.235 ^[2][3].

Aucun des deux médias n'explique complètement l'écart. BleepingComputer indique que son total exclut 108 failles corrigées plus tôt dans le mois ^[2], tandis que SecurityWeek donne une ventilation par produit et mentionne aussi 165 CVE tierces que Microsoft a republiées ^[3]. BleepingComputer a indiqué que 66 des failles étaient classées Critiques ^[2]. SecurityWeek a compté 726 failles Windows et 174 dans Office ^[3].

Le bug d'Outlook était la seule faille signalée comme exploitée ^[1][2][3]. La publication comprenait aussi les dernières mises à jour de sécurité mensuelles pour les éditions Enterprise et Education de Windows 11 version 23H2, a rapporté SecurityWeek ^[3].

La publication d'octobre était plus volumineuse, un record : BleepingComputer a rapporté 1.411 correctifs et SecurityWeek 1.413 ^[2][3]. BleepingComputer a noté que Microsoft continue d'utiliser l'IA pour trouver et corriger des vulnérabilités ^[2]. Pour les particuliers, le conseil pratique est le même chaque mois : laissez Windows Update et les mises à jour d'Office s'installer, puis redémarrez.

Comment les attaques par fichier de message Outlook atteignent-elles les gens ?

Ce type d'attaque arrive généralement par hameçonnage : un e-mail avec une pièce jointe malveillante, comme le décrit BleepingComputer pour des failles NTLM similaires ^[2].

Microsoft indique que l'attaquant doit convaincre l'utilisateur d'ouvrir un fichier malveillant ^[1]. La vigilance ordinaire face à l'hameçonnage est donc la première ligne de défense. Méfiez-vous des pièces jointes inattendues, des demandes urgentes et des expéditeurs dont l'adresse ne correspond pas au nom.

Pour une liste de vérification plus complète, voir le guide Pouyam What Is Phishing? How to Recognise Fake Emails, Texts and QR Codes.

Les organisations peuvent aussi filtrer les pièces jointes de fichiers de message provenant d'expéditeurs externes à la passerelle de messagerie et avertir les utilisateurs quand un message vient de l'extérieur de l'entreprise. Ces mesures ne remplacent pas le correctif, mais elles réduisent le nombre de personnes qui voient le fichier.