Microsoft corrige une faille Outlook déjà exploitée, la mise à jour Office reste nécessaire même avec Windows à jour
Le correctif publié le 10 novembre 2026 ferme une faille d’Outlook permettant d’exposer des hachages NTLMv2. Voici les éditions concernées, les versions corrigées et les vérifications à privilégier sans attendre.
L'essentiel
- Microsoft a corrigé CVE-2026-124194 le 10 novembre 2026 ; des attaques l’exploitent déjà.
- Microsoft 365 Apps for Enterprise et les éditions LTSC 2021 et 2024 d’Office sont concernés.
- L’ouverture d’un message piégé peut exposer des informations d’authentification Windows.
- Le correctif passe par les mises à jour Office : Windows Update seul ne suffit pas.
Une faille déjà utilisée, malgré une sévérité modérée
Le rendez-vous de sécurité du 10 novembre 2026 apporte un correctif à ne pas laisser de côté si vous utilisez Outlook. Microsoft confirme que CVE-2026-124194 est déjà exploitée. Cette faille zero-day ne relève donc pas seulement d’un scénario théorique : des attaquants s’en servent pour exposer les informations d’authentification des utilisateurs.
Microsoft la range dans la catégorie des vulnérabilités d’usurpation d’identité. Son score CVSS atteint 6,5 sur 10, avec une sévérité qualifiée de modérée. Ce classement ne doit pas masquer la priorité du correctif : une exploitation constatée justifie de traiter rapidement les installations concernées, même sans étiquette « critique ».
La CISA l’a également inscrite à son catalogue des vulnérabilités exploitées connues le 10 novembre 2026. Elle impose aux agences fédérales concernées une remédiation avant le 24 novembre 2026. Cette échéance vise ces agences ; elle ne constitue pas une raison d’attendre pour mettre à jour votre propre installation.
Le risque porte sur l’authentification Windows
Le déclenchement nécessite l’ouverture d’un fichier de message malveillant dans Outlook. Le seul affichage dans le volet de prévisualisation ne déclenche pas la faille. Une fois le fichier ouvert, Outlook peut contacter un serveur aux mains de l’attaquant sans présenter l’alerte habituelle relative au contenu externe.
Cette connexion peut livrer un hachage NTLMv2 associé à l’utilisateur. Le risque ne se limite donc pas au contenu d’un courriel : l’attaquant peut tenter d’utiliser ce hachage pour s’authentifier sous l’identité de sa victime. C’est cette possibilité qui rend la correction urgente. La présence ou l’absence d’un avertissement à l’écran ne remplace pas l’installation du correctif.
Trois familles de produits à contrôler
Les produits touchés sont Microsoft 365 Apps for Enterprise, Office LTSC 2021 et Office LTSC 2024. Les installations 32 bits comme les installations x64 sont affectées. Ne considérez donc pas l’architecture de votre logiciel comme une protection : le contrôle doit porter sur l’édition utilisée et sur sa mise à jour.
Pour les éditions LTSC, deux numéros permettent de vérifier la présence de la correction. Office LTSC 2024 dispose du correctif dans la build 16.0.17932.21140. Pour Office LTSC 2021, la build corrigée porte le numéro 16.0.14334.21048. Ces repères sont utiles pour contrôler un poste ou transmettre une demande précise au service informatique.
Windows à jour ne veut pas dire Outlook corrigé
Le point décisif se trouve dans le circuit de distribution : cette correction d’Outlook arrive par les mises à jour Office. Avoir installé les correctifs Windows ne suffit donc pas à fermer cette faille. Si vous avez déjà effectué une mise à jour du système, vérifiez aussi celle d’Office, au lieu de considérer l’opération comme terminée.
Sur un ordinateur professionnel administré, demandez confirmation du déploiement du correctif Office. Cette vérification de sécurité est distincte du suivi des perturbations d’Outlook, Teams et OneDrive : retrouver une messagerie accessible ne prouve pas que son logiciel est corrigé. Le contrôle utile reste celui de la mise à jour installée.
