Microsoft corrige une faille d'Outlook exploitée pour voler des identifiants Windows

Avec sa mise à jour de sécurité de novembre, publiée le 10 novembre, Microsoft corrige une faille d'Outlook que des attaquants exploitaient déjà avant le correctif. Un fichier de message piégé pousse Outlook à se connecter discrètement à un serveur contrôlé par l'attaquant, et Windows lui transmet au passage le hachage NTLMv2 du compte de l'utilisateur. Les utilisateurs d'Outlook ont intérêt à installer la mise à jour d'Office dès maintenant. Au total, la publication corrige 1 093 vulnérabilités, selon Tenable, ou 1 235 si l'on compte, comme BleepingComputer, les correctifs du navigateur Edge.

Comment fonctionne l'attaque par Outlook

Microsoft classe CVE-2026-124194 parmi les failles d'usurpation et lui attribue une gravité modérée, avec un score CVSS de 6,5. L'attaquant n'a pas besoin de compte : il envoie un fichier de message spécialement conçu. Quand la victime l'ouvre, Outlook se connecte à un emplacement réseau contrôlé par l'attaquant sans afficher l'avertissement habituel sur le contenu externe. Windows peut alors tenter de s'authentifier automatiquement auprès de ce serveur et envoyer le hachage NTLMv2 de l'utilisateur.

L'attaquant peut tenter de casser ce hachage hors ligne pour retrouver le mot de passe, ou s'en servir pour se faire passer pour l'utilisateur lors d'attaques ultérieures. Il faut pour cela que la victime ouvre le fichier et soit connectée au réseau. Selon Microsoft, le volet de lecture n'est pas un vecteur d'attaque : parcourir la liste des messages ne suffit donc pas.

Microsoft confirme que la faille a servi dans des attaques réelles, sans dire qui en est l'auteur, qui était visé ni à quelle échelle. BleepingComputer rappelle que des failles similaires d'Outlook ont déjà été exploitées, le plus souvent par des courriels d'hameçonnage avec des pièces jointes malveillantes. D'après Tenable, le bulletin remercie un chercheur qui a trouvé le bug avec l'aide du modèle Claude d'Anthropic.

Qui doit mettre à jour

Sont concernées les versions 32 et 64 bits d'Office LTSC 2021, d'Office LTSC 2024 et de Microsoft 365 Apps for Enterprise. Le correctif passe par les mises à jour d'Office. Si Windows Update n'est pas réglé pour installer les mises à jour des autres produits Microsoft, vérifiez Office à part : dans Outlook, ouvrez « Fichier », puis « Compte Office », « Options de mise à jour » et choisissez « Mettre à jour ».

Les entreprises ont d'autres priorités. Tenable signale des failles critiques d'exécution de code à distance dans les services de domaine Active Directory et dans Exchange Server, toutes deux notées 8,8 et marquées « exploitation plus probable », ainsi qu'une faille de Schannel, le composant Windows qui gère les connexions chiffrées, exploitable sans authentification et notée 8,1. Un bug d'élévation de privilèges dans SharePoint Server atteint 9,9 mais n'est classé qu'« important ».

D'où viennent ces chiffres

Le total dépend de qui compte. Tenable et Cyber Security News recensent 1 093 vulnérabilités publiées le jour du Patch Tuesday. BleepingComputer y ajoute 142 entrées liées à Edge et arrive à 1 235. Il laisse de côté 108 autres correctifs publiés plus tôt en novembre, surtout pour Mariner, la distribution Linux de Microsoft, et pour Edge. Environ la moitié des failles relèvent de l'élévation de privilèges : elles donnent davantage de contrôle à un attaquant déjà présent sur l'ordinateur.

BleepingComputer qualifie le cru de novembre de record, alors que, selon son propre décompte, octobre était plus fourni avec 1 411 failles. Quoi qu'il en soit, les publications mensuelles se comptent désormais en milliers. En début d'année, elles étaient bien plus modestes : 54 correctifs en février et 163 en avril, selon Tenable. BleepingComputer attribue cette hausse au recours de Microsoft à l'IA pour trouver et corriger les failles.

Pour les particuliers, deux gestes suffisent : installer les mises à jour de Windows et d'Office, et ne pas ouvrir de fichiers de message ou de pièces jointes inattendus, même s'ils semblent venir d'une connaissance.