Le 10 novembre 2026, Microsoft a corrigé une faille de sécurité. Baptisée CVE-2026-124194, elle était déjà exploitée dans des attaques avant la publication du correctif.
CVE-2026-124194 est une vulnérabilité « zero-day ». Aucun corretif officiel n’était disponible durant son exploitation. Microsoft ne précise toutefois ni le nombre de victimes ni l’identité des attaquants.
Cette faille fait partie des nombreuses vulnérabilités corrigées par Microsoft lors de son Patch Tuesday du 10 novembre 2026. Selon l’entreprise de cybersécurité Rapid7, plus de 1 000 failles de sécurité ont été corrigées dans différents produits de l’éditeur, notamment Windows et Office.
Comment un fichier Outlook piégé peut-il faire sortir vos identifiants Windows ?
Tout commence lorsqu’un pirate vous fait parvenir un fichier spécialement préparé, notamment au format .msg, et vous convainc de l’ouvrir dans Outlook. Il pourrait, par exemple, le présenter comme un échange professionnel à consulter. Ce leurre reste hypothétique.
À l’ouverture, Outlook peut chercher à joindre une ressource réseau contrôlée par l’attaquant. Sauf que l’avertissement habituel n’apparaît pas. Windows peut alors transmettre des informations d’authentification à ce serveur. Aucun mot de passe n’est saisi, mais une donnée sensible peut être divulguée.
Notez cependant que le simple aperçu du message ne déclenche pas cette faille, confirme Microsoft. L’attaque exige l’ouverture du fichier malveillant et une connexion réseau. Recevoir un e-mail suspect ne signifie donc pas, à lui seul, que votre compte est compromis.
Que dérobe réellement l’attaquant ?
Une empreinte d’authentification NTLMv2, produite lors d’un échange permettant à Windows de prouver votre identité à certains services.
Dans un réseau insuffisamment protégé, un pirate peut tenter de relayer cette authentification ou d’exploiter l’empreinte pour retrouver un mot de passe faible. Il pourrait alors usurper votre identité sur certains services.
En revanche, capturer cette donnée ne donne pas automatiquement accès à tous vos comptes.
Le risque est particulièrement sensible en entreprise. Les droits d’accès définissent ce qu’un compte compromis permet de consulter ou de modifier. D’où l’intérêt de comprendre le rôle d’Active Directory dans l’authentification Windows. L’impact d’un vol d’identité dépend aussi des permissions accordées.
Un score de gravité potentiellement trompeur
Sur le papier, cette faille Outlook n’a rien de particulièrement alarmant. Microsoft lui attribue un score de gravité de 6,5 sur 10, ce qui la place dans la catégorie modérée. Plutôt rassurant, non ? Sauf que non.
Voyez-vous, cette note s’explique notamment par le fait que le pirate doit convaincre sa victime d’ouvrir un fichier piégé pour déclencher l’attaque. Mais figurez-vous que certains y sont déjà parvenus.
Microsoft confirme que des pirates exploitent cette vulnérabilité. L’agence américaine CISA l’a d’ailleurs ajoutée, le 10 novembre, à sa liste des failles activement exploitées.
La menace est prise suffisamment au sérieux pour que les agences fédérales civiles américaines concernées soient tenues d’installer le correctif avant le 24 novembre 2026. Pour les particuliers, aucune échéance n’est imposée, mais mieux vaut ne pas traîner.
Voyez-vous, même si Microsoft a corrigé le problème dans Outlook, le protocole d’authentification NTLM reste une faiblesse dans certains environnements Windows.
Ne vous fiez donc pas trop à cette note. Une faille n’a pas besoin d’obtenir la note maximale pour faire de gros dégâts.
Que faire pour se protéger ?
La faille concerne notamment certaines versions d’Outlook intégrées à Microsoft 365 Apps for Enterprise, Office LTSC 2021 et Office LTSC 2024.
Microsoft a déjà publié un correctif. Alors, si vous utilisez l’un de ces logiciels, mieux vaut faire en sorte que tout soit à jour. Et rassurez-vous, la manipulation est assez simple.
Il suffit d’ouvrir Outlook Classique ou Word, puis de cliquer sur Fichier > Compte (ou Compte Office) > Options de mise à jour > Mettre à jour maintenant. Vous pouvez aussi suivre les instructions officielles de Microsoft.
Vous ne trouvez pas cette option ? Pas de panique. Si vous utilisez un ordinateur professionnel, il est possible que votre entreprise gère les mises à jour à votre place. Dans ce cas, contactez votre service informatique pour vérifier que le correctif du 10 novembre a bien été installé.
Attention, mettre Windows à jour ne signifie pas forcément qu’Outlook est protégé. Les deux peuvent nécessiter des mises à jour distinctes.
En attendant, gardez un œil sur les fichiers .msg que vous recevez, surtout si vous ne les attendiez pas. Même un message envoyé par un collègue mérite une petite vérification si quelque chose vous paraît étrange. Et si vous avez déjà ouvert un fichier suspect, signalez-le rapidement à votre équipe informatique.
Du côté des entreprises, il est également recommandé de filtrer les pièces jointes douteuses et de limiter les connexions d’authentification NTLM vers l’extérieur.
- Partager l'article :
