Secu
Microsoft corrige 1 235 failles, dont une zero-day Outlook exploitée pour dérober des identifiants
Par Guillaume Perissat, publié le 12 novembre 2026
Le Patch Tuesday de novembre 2026 s’accompagne d’une nouvelle vague massive de correctifs chez Microsoft. Parmi les vulnérabilités traitées, une faille zero-day dans Outlook, déjà exploitée, permet à un attaquant de récupérer les empreintes d’authentification NTLMv2 de ses victimes.
Microsoft poursuit sa série de Patch Tuesday hors normes. Après les 1 411 vulnérabilités corrigées en octobre et les 965 révélées en septembre, l’éditeur publie en novembre un nouveau volume impressionnant de correctifs. Selon le décompte de BleepingComputer, 1 235 failles sont concernées par cette livraison, dont 66 classées comme critiques. Parmi elles, 48 permettent une exécution de code à distance (RCE), 15 une élévation de privilèges et trois concernent des vulnérabilités de type Use-After-Free dans Microsoft Edge.
Les failles d’élévation de privilèges représentent la catégorie la plus importante, avec 536 CVE recensées, devant les exécutions de code à distance (296) et les divulgations d’informations (157). Pas moins de 639 vulnérabilités concernent Windows ou ses différents composants. Le navigateur Edge, dans sa déclinaison basée sur Chromium, concentre pour sa part 142 CVE.
Mais, au-delà de cette accumulation de correctifs, c’est surtout la présence d’une vulnérabilité zero-day déjà exploitée qui doit retenir l’attention des équipes de sécurité.
Outlook laisse fuiter les empreintes NTLM
CVE-2026-124194 est classée par Microsoft comme une vulnérabilité d’usurpation d’identité (spoofing) affectant Outlook. Elle permet à un attaquant non authentifié de provoquer une connexion de l’application vers une infrastructure réseau qu’il contrôle, sans afficher l’avertissement habituel relatif au contenu externe.
Le scénario d’exploitation repose sur l’envoi d’un message spécialement conçu. L’attaquant doit convaincre sa cible de l’ouvrir dans une version vulnérable d’Outlook, le simple aperçu dans le volet de lecture ne suffisant pas à déclencher la faille. L’ouverture provoque alors la connexion vers le serveur piégé, auprès duquel Windows peut tenter automatiquement de s’authentifier, exposant au passage l’empreinte de hachage NTLMv2 de l’utilisateur.
Presque aussi précieuse qu’un mot de passe
Il ne s’agit pas d’une divulgation directe du mot de passe en clair. Toutefois, cette empreinte constitue une donnée d’authentification sensible. Selon SecurityWeek, l’attaquant peut tenter de la casser hors ligne pour retrouver le mot de passe correspondant. Ou, selon les conditions, utiliser des techniques de type Pass-the-Hash pour usurper l’identité de la victime et accéder aux ressources ouvertes à son compte.
Microsoft précise que l’exploitation nécessite une interaction de l’utilisateur et une connectivité réseau. L’éditeur confirme néanmoins que la faille est déjà utilisée dans des attaques. Leurs circonstances précises et l’identité des acteurs impliqués ne sont pas détaillées dans son avis de sécurité.
Un score de gravité modéré, mais une urgence bien réelle
Un autre élément mérite l’attention des RSSI : malgré des attaques avérées, CVE-2026-124194 n’est classée que de gravité modérée. Son score CVSS 3.1 est de 6,5. Un niveau qui pourrait inciter certaines organisations à relativiser son traitement face aux nombreux correctifs critiques de cette livraison.
Ce serait une erreur de priorisation. Les attaques en cours constituent un indicateur de risque autrement plus immédiat que la seule note de sévérité. La faille a d’ailleurs été ajoutée au catalogue Known Exploited Vulnerabilities (KEV) de l’agence américaine CISA le 10 novembre.
Les autorités recommandent de déployer sans attendre les mises à jour de sécurité correspondantes. Sans oublier les 1093 autres CVE concernées par ce Patch Tuesday. Lequel illustre à nouveau l’ampleur du travail de sécurisation auquel Microsoft est confronté. Après un mois d’octobre record, novembre confirme une tendance attendue, mais préoccupante. Avec l’IA en découvreur de failles, le volume de correctifs à absorber augmente, tandis que certaines vulnérabilités sont exploitées avant même leur correction.
À LIRE AUSSI :
À LIRE AUSSI :
À LIRE AUSSI :
À LIRE AUSSI :
