Faille Outlook CVE-2026-124194 : zero-day exploité qui expose les identifiants, correctifs Microsoft de novembre 2026

La réponse courte : les correctifs Microsoft publiés le 10 novembre 2026 corrigent CVE-2026-124194, une faille d’Outlook que Microsoft signale comme exploitée. Un attaquant envoie un fichier de message piégé ; si l’utilisateur l’ouvre, Outlook se connecte à un serveur de l’attaquant sans afficher l’avertissement habituel et lui transmet le hachage NTLMv2 de l’utilisateur, réutilisable pour usurper son identité. La CISA l’a ajoutée le jour même à son catalogue des vulnérabilités exploitées. Mettez à jour Microsoft 365 Apps et Office LTSC sur tous les postes, puis installez la mise à jour cumulative Windows de novembre, qui corrige aussi des failles critiques dans LDAP et Active Directory.

Microsoft classe la faille en gravité « modérée ». Ce classement ne doit pas rassurer : c’est la seule faille de ce Patch Tuesday déjà utilisée dans des attaques, et elle vise l’outil que vos équipes ouvrent toute la journée. Dans les PME que nous accompagnons au Maroc, les échanges de pièces jointes avec les clients, fournisseurs et administrations sont permanents ; un identifiant volé par ce biais peut ensuite ouvrir l’accès à la messagerie, aux partages de fichiers ou au VPN.

Ce qui est touché

CVE-2026-124194 (Microsoft Outlook, usurpation) : selon Microsoft, l’interface d’Outlook n’avertit pas l’utilisateur d’une action dangereuse, ce qui permet à un attaquant non authentifié de mener une usurpation à travers le réseau. Le scénario décrit par l’éditeur :

• l’attaquant envoie un fichier de message ou un fichier Office spécialement conçu ;
• l’utilisateur l’ouvre dans une version vulnérable d’Outlook ;
• Outlook se connecte à un emplacement réseau contrôlé par l’attaquant, sans l’avertissement sur le contenu externe ;
• le hachage NTLMv2 de l’utilisateur est divulgué et peut servir à s’authentifier à sa place.

Microsoft précise que le volet de lecture n’est pas un vecteur d’attaque : il faut une action de l’utilisateur.

Produit	Versions touchées	Version corrigée
Office LTSC 2024 (32 et 64 bits)	builds antérieurs à 16.0.17932.21140	16.0.17932.21140
Office LTSC 2021 (32 et 64 bits)	builds antérieurs à 16.0.14334.21048	16.0.14334.21048
Microsoft 365 Apps, Current Channel	versions antérieures au build 20527.20196	Version 2610, build 20527.20196
Microsoft 365 Apps, Monthly Enterprise Channel	versions antérieures aux builds du 10 novembre	Version 2610 (20527.20194), 2609 (20430.20264) ou 2608 (20326.20320)
Microsoft 365 Apps, Semi-Annual Enterprise Channel	versions antérieures aux builds du 10 novembre	Version 2610 (20527.20192), 2609 (20430.20262) ou 2608 (20326.20318)

Source : guide des mises à jour de sécurité Microsoft (MSRC), fiche CVE-2026-124194, et page Microsoft des mises à jour de sécurité de Microsoft 365 Apps, publications du 10 novembre 2026.

Office 2016 et Office 2019 ne sont plus pris en charge depuis octobre 2025, comme l’a rappelé le maCERT de la DGSSI : un poste qui utilise encore ces versions ne doit pas être considéré comme protégé.

Gravité et exploitation

• Gravité publiée : Microsoft classe la faille « Moderate » avec un score CVSS 3.1 de 6.5. L’impact retenu est une perte de confidentialité élevée.
• Exploitation : Microsoft l’indique « Exploitation Detected ». La CISA l’a ajoutée à son catalogue KEV le 10 novembre 2026, avec une échéance au 24 novembre pour les agences fédérales américaines et une demande d’analyse forensique. La NVD reprend l’inscription au catalogue.
• Divulgation publique : non, selon Microsoft.
• Mesure de contournement : la fiche Microsoft n’en propose aucune. Seule la mise à jour d’Office corrige la faille.
• maCERT : à la date de rédaction de cette alerte, nous n’avons pas trouvé de bulletin de la DGSSI consacré au Patch Tuesday de novembre. Nous mettrons cet article à jour s’il est publié.

Les autres correctifs Microsoft de novembre à ne pas oublier

Le lot du 10 novembre est d’un volume record selon la presse spécialisée. Aucune autre faille n’est signalée comme exploitée, mais plusieurs failles critiques concernent directement les PME. Elles sont corrigées par la mise à jour cumulative Windows du mois :

• Windows LDAP, CVE-2026-119958 : exécution de code à distance par une série d’appels LDAP, sans authentification, notée 9.8 par Microsoft. Les contrôleurs de domaine sont les premiers serveurs à traiter.
• Active Directory Domain Services, CVE-2026-118146 : exécution de code sur le serveur par un attaquant disposant d’un compte à faibles privilèges, notée 8.8 et « Exploitation More Likely ».
• Exchange Server Subscription Edition, CVE-2026-118207 : exécution de code par un utilisateur authentifié, sans action de l’utilisateur, notée 8.8 et « Exploitation More Likely ». Correctif KB5133453 (build 15.02.2562.057).
• Outlook, Word et Excel : plusieurs failles critiques d’exécution de code par un document piégé, corrigées par les mêmes builds Office que ci-dessus.

Windows	Mise à jour de novembre	Build corrigé
Windows 11 24H2	KB5132061 ou KB5132043	26100.9974 ou 26100.9911
Windows 11 23H2	KB5131087	22631.7711
Windows 11 26H1	KB5132059	28000.3501
Windows 10 21H2 / 22H2	KB5131096	19044.7846 / 19045.7846
Windows Server 2025	KB5131080 ou KB5131077	26100.33822 ou 26100.33730
Windows Server 2022	KB5131090	20348.5870
Windows Server 2019	KB5131085	17763.9487
Windows Server 2016	KB5131291	14393.9688

Source : guide des mises à jour Microsoft, fiches CVE-2026-119958 et CVE-2026-118146. Pour Windows 11 25H2 et 26H2, la fiche donne les builds 26200 et 26300 correspondants.

Les vérifications à faire

1. Contrôler la version d’Office sur chaque poste : dans Outlook, menu Fichier, Compte Office, comparer le numéro de build au tableau. Sur Microsoft 365 Apps, lancer « Mettre à jour maintenant » puis redémarrer Outlook ; une mise à jour téléchargée mais non appliquée ne protège pas.
2. Repérer les Office 2016 et 2019 encore installés : ils ne reçoivent plus de correctifs. Leur remplacement par Microsoft 365 Apps ou Office LTSC est la seule solution durable.
3. Bloquer le SMB sortant vers internet : la fuite de hachage NTLM repose sur une connexion vers un serveur de l’attaquant. Sur votre pare-feu, interdisez les connexions sortantes sur le port TCP 445 vers internet si votre activité n’en a pas besoin, et vérifiez la règle sur les postes nomades.
4. Protéger les comptes sensibles : placez les comptes d’administration dans le groupe « Protected Users » d’Active Directory et réduisez l’usage de NTLM là où Kerberos suffit, après test.
5. Installer la mise à jour cumulative Windows sur tous les postes et serveurs, en commençant par les contrôleurs de domaine, puis contrôler le build avec winver.
6. Traiter Exchange sur site : installer KB5133453 sur Exchange Server Subscription Edition et vérifier le build affiché par le serveur.
7. Chercher des traces : connexions sortantes inhabituelles depuis les postes vers des adresses externes en SMB ou WebDAV, authentifications de comptes depuis des machines inconnues, alertes de votre antivirus ou EDR depuis début novembre.

Notre lecture pour les entreprises au Maroc

Cette faille ne vise pas un serveur exposé : elle vise l’utilisateur et sa boîte de réception, comme le zero-day Windows Shell corrigé le mois dernier et détaillé dans notre alerte sur les correctifs Microsoft d’octobre 2026. Les parcs les plus exposés sont ceux où personne ne sait quels postes ont réellement appliqué les mises à jour d’Office, et ceux qui gardent d’anciennes versions d’Office installées « parce qu’elles marchent ». Une gestion des correctifs structurée, appuyée sur Microsoft Intune, règle ce point. Côté messagerie, les 10 réglages pour sécuriser Microsoft 365 réduisent le nombre de fichiers piégés qui arrivent jusqu’aux utilisateurs, et nos exemples d’arnaques par phishing visant les PME au Maroc aident à sensibiliser les équipes. Enfin, un EDR managé avec supervision 24/7 permet de repérer une connexion sortante anormale même avant que le correctif soit partout.

Comment nous pouvons vous aider

Partenaire Microsoft, nous mettons à jour Office et Windows sur vos postes et serveurs, vérifions les builds réellement installés, remplaçons les versions d’Office sans support, durcissons les règles de pare-feu et assurons la supervision 24/7 avec une prise en charge des incidents critiques en moins de 15 minutes. Retrouvez notre approche de la cybersécurité des entreprises au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.

Sources : guide des mises à jour Microsoft, CVE-2026-124194, CVE-2026-119958, CVE-2026-118146, CVE-2026-118207, mises à jour de sécurité de Microsoft 365 Apps, alerte CISA du 10 novembre 2026, catalogue CISA KEV, NVD CVE-2026-124194, bulletin maCERT sur la fin de support d’Office 2016 et 2019.