Microsoft corrige un zero-day Outlook exploité dans son Patch Tuesday de novembre

Microsoft a corrigé une faille zero-day dans Outlook, exploitée avant la publication du correctif, dans le cadre de son Patch Tuesday de novembre 2026. Le 11 novembre 2026, Clubic rapporte que le lot comprend 1 235 vulnérabilités et détaille le risque lié à l’ouverture de fichiers de message piégés (Clubic (ouvre clubic.com dans un nouvel onglet)Aller vers clubic.com).

Un fichier piégé pouvait exposer des identifiants Windows

L’attaque nécessite que la victime ouvre un fichier de message conçu par un pirate, par exemple reçu en pièce jointe. Selon les explications de Microsoft rapportées par Clubic, cette ouverture pouvait provoquer une connexion à un emplacement réseau contrôlé par l’attaquant, sans afficher l’avertissement habituel relatif au contenu externe. En revanche, le simple affichage du message dans le volet de lecture ne suffisait pas à déclencher l’attaque.

La connexion pouvait transmettre le hachage NTLMv2 du compte Windows. Il s’agit d’une empreinte liée au mot de passe, que Windows peut envoyer automatiquement lors d’une connexion à un serveur du réseau. Un attaquant pouvait ensuite s’en servir pour s’authentifier sous l’identité de la victime. Il pouvait aussi tenter de casser cette empreinte hors ligne pour retrouver le mot de passe, puis accéder à des comptes professionnels, selon les éléments rapportés par Clubic.

La faille est répertoriée sous le nom CVE-2026-124194. Microsoft la classe comme modérée, avec un score CVSS de 6,5 sur 10. Elle concerne Outlook dans Microsoft 365 Apps for Enterprise, Office LTSC 2021 et Office LTSC 2024. Microsoft confirme que la vulnérabilité a été exploitée, mais Clubic indique que l’éditeur n’a pas communiqué de détails sur les attaques ou leurs victimes.

Quels correctifs installer

Pour Windows 11, les mises à jour KB5132061 et KB5131087 sont proposées via Windows Update, selon la version du système. Les personnes inscrites au programme de mises à jour de sécurité étendues de Windows 10 peuvent recevoir la mise à jour KB5131096. Pour Outlook, l’installation se lance depuis le menu Fichier, dans Compte Office, puis Options de mise à jour. Dans certaines entreprises, les mises à jour sont gérées par l’administrateur.

Les éditions Entreprise et Éducation de Windows 11 23H2 reçoivent avec ce Patch Tuesday leur dernière mise à jour de sécurité. Pour continuer à bénéficier de correctifs, il faut installer une version plus récente de Windows 11, précise Clubic.

Un lot de correctifs conséquent

Microsoft a recensé 1 235 vulnérabilités pour ce mois-ci, dont 66 classées critiques. Dans 48 cas, un pirate peut exécuter du code à distance. Environ 639 failles concernent Windows. Les vulnérabilités d’élévation de privilèges sont les plus nombreuses, avec 536 cas ; 296 failles concernent l’exécution de code à distance.

Ces totaux varient selon la méthode de comptage. Clubic signale que SecurityWeek arrive à 1 094 vulnérabilités en excluant celles de Chrome. Le volume global ne doit toutefois pas masquer l’urgence pratique : les utilisateurs concernés doivent installer les correctifs d’Outlook et de Windows correspondant à leurs produits.