Microsoft a publié le 10 novembre 2026 son Patch Tuesday, qui corrige plus de 1 000 vulnérabilités, dont une faille Outlook exploitée, référencée CVE-2026-124194. Selon les notes de version de Microsoft, le décompte atteint environ 1 094 CVE. La faille Outlook est déjà utilisée dans des attaques.

Cette publication arrive dans un contexte de correctifs très nombreux, alors que les failles critiques se succèdent chez les éditeurs, comme le montre la faille CVE-2026-19868 qui contourne le MFA du VPN SSL de SonicWall. Microsoft distribue ses correctifs gratuitement, par les canaux habituels, à l'échelle mondiale. La CISA, l'agence américaine de cybersécurité, a ajouté la faille Outlook à son catalogue des vulnérabilités exploitées le jour même.

Faille Outlook exploitée : ce que permet CVE-2026-124194

La faille Outlook exploitée CVE-2026-124194 est une vulnérabilité d'usurpation (spoofing). Microsoft la classe Moderate et lui attribue un score CVSS 3.1 de base de 6,5, malgré les attaques confirmées.

Le scénario d'attaque demande une action de la victime. Un message spécialement conçu amène le destinataire à ouvrir un fichier malveillant. Outlook se connecte alors à un emplacement réseau contrôlé par l'attaquant, sans l'avertissement habituel sur le contenu externe. Il ne s'agit donc pas d'une attaque sans clic.

Ce que l'attaquant récupère est un hash NTLMv2, et non un mot de passe en clair. Ce hash peut servir de deux façons :

  • Être relayé vers d'autres systèmes pour se connecter en tant qu'utilisateur;
  • Être craqué pour retrouver le mot de passe.

Outlook a déjà connu des failles du même genre. Le groupe APT28 a exploité CVE-2023-23397 pour récupérer des hash Net-NTLMv2, et CVE-2024-21413 (MonikerLink) a contourné la Protected View pour voler des identifiants NTLM. La différence avec ces précédents est que CVE-2026-124194 exige l'ouverture d'un fichier par la victime.

Comment corriger la faille Outlook exploitée ?

Pour corriger la faille Outlook exploitée, il faut passer par les mises à jour Office. Installer la mise à jour cumulative Windows seule ne suffit pas à fermer CVE-2026-124194.

Les produits concernés sont Microsoft 365 Apps for Enterprise, Office LTSC 2021 et Office LTSC 2024. Dans Outlook, la mise à jour manuelle se lance par Fichier, Compte, Options de mise à jour, puis Mettre à jour maintenant. La CISA a fixé au 24 novembre l'échéance de correction pour les agences fédérales américaines.

Patch Tuesday de novembre 2026 : Windows 11 KB5132061 et fin de support de 23H2

Le Patch Tuesday de novembre 2026 comprend, pour Windows 11, la mise à jour KB5132061. Elle apporte les builds 26200.9974 pour la version 25H2 et 26300.9974 pour la version 26H2. Microsoft indique que la mise à jour de sécurité de novembre est disponible pour toutes les versions supportées de Windows.

Cette livraison marque aussi une fin de support. Windows 11 version 23H2, dans ses éditions Enterprise et Education, cesse de recevoir des mises à jour le 10 novembre 2026. La mise à jour de novembre est la dernière pour ces éditions, dont les administrateurs doivent migrer vers une version supportée.

Microsoft a par ailleurs mis à jour 87 vulnérabilités existantes ce mois-ci et n'a publié aucun nouvel avis de sécurité. Côté mobile, Google a de son côté déployé sa mise à jour de novembre, détaillée dans notre article sur Android 17 QPR2 sur Pixel.

Pourquoi le Patch Tuesday de Microsoft compte autant de correctifs ?

Le volume du Patch Tuesday de Microsoft s'explique en partie par l'usage de l'intelligence artificielle. Microsoft utilise ses modèles d'IA pour trouver des vulnérabilités, par milliers depuis l'été, et pour aider à les corriger. Le nombre de CVE publiées chaque mois s'en trouve nettement augmenté.

Pour les entreprises, la priorité est donc de déployer rapidement les mises à jour Office en plus des correctifs Windows, puisque la faille Outlook est déjà exploitée. Les équipes de sécurité peuvent aussi surveiller les connexions sortantes vers des emplacements réseau inhabituels depuis Outlook, qui sont le signe de ce type d'attaque.