Microsoft a publié ses mises à jour de sécurité de novembre le 10 novembre 2026. Parmi les problèmes corrigés figure une vulnérabilité d’Outlook activement exploitée, aux côtés de vulnérabilités graves dans Windows et dans des services d’entreprise.
Ce que Microsoft a publié
La publication de Microsoft pour le Patch Tuesday de novembre 2026 couvre notamment Microsoft Outlook, Windows, SharePoint et Active Directory Domain Services. Un problème particulièrement urgent est CVE-2026-124194, une vulnérabilité d’usurpation (spoofing) d’Outlook que Microsoft signale comme exploitée en conditions réelles. TechiesJournal a traité le mois précédent dans les mises à jour de sécurité de Microsoft d’octobre 2026.
Les analyses publiées divergent sur le nombre total de vulnérabilités. Tenable compte 1093 CVE, tandis que BleepingComputer en compte 1235. Les propres données de mises à jour de sécurité de novembre 2026 de Microsoft, consultées le 12 novembre, répertorient 1417 entrées CVE. La différence tient à la règle de comptage :
| Entrées des données de Microsoft de novembre 2026 | Nombre |
|---|---|
| Produits Microsoft autres que Microsoft Edge et Azure Linux | 1093 |
| Microsoft Edge (basé sur Chromium) | 220 |
| Azure Linux (Mariner) | 104 |
| Total des entrées | 1417 |
Entrées comptées selon les produits qu’elles concernent, à partir du document de mise à jour de sécurité de Microsoft de novembre 2026 (révisé le 11 novembre). Décompte de TechiesJournal.
Le total de Tenable correspond à la première ligne. Cette concordance est une observation de TechiesJournal, et non une méthode indiquée par Tenable. BleepingComputer énonce une règle différente : il compte les failles publiées lors du Patch Tuesday et exclut 108 failles corrigées plus tôt dans le mois (une pour Entra Device Registration, 82 pour Mariner et 25 pour Edge). Le document de Microsoft s’est également enrichi après le 10 novembre, puisque 81 entrées portent une date de publication initiale au 11 novembre. Aucun chiffre isolé ne devrait être présenté comme le total de Microsoft sans sa règle de comptage. La priorité de sécurité immédiate consiste à savoir si les systèmes d’une organisation sont concernés et corrigés.
Source : Microsoft Security Update Guide, novembre 2026 et ses données lisibles par machine.
Vulnérabilité d’Outlook exploitée : CVE-2026-124194
CVE-2026-124194 est une vulnérabilité d’usurpation dans Microsoft Outlook. L’avis de Microsoft indique qu’un attaquant non authentifié pourrait envoyer un fichier de message spécialement conçu et convaincre un utilisateur de l’ouvrir dans une version concernée d’Outlook. L’ouverture du fichier pourrait amener Outlook à se connecter à un emplacement réseau contrôlé par l’attaquant sans afficher l’avertissement habituel relatif au contenu externe. L’empreinte NTLMv2 (hash) de l’utilisateur est alors divulguée, et l’attaquant pourrait s’en servir pour s’authentifier en tant que cet utilisateur.
Ce scénario nécessite une interaction de l’utilisateur et une connectivité réseau, et Microsoft précise que le volet de lecture (Preview Pane) n’est pas un vecteur d’attaque. Cela ne signifie pas que la simple réception d’un e-mail ordinaire compromette tous les clients Outlook.
Statut d’exploitation : Microsoft la signale comme exploitée et non divulguée publiquement. Gravité : Microsoft la classe Moderate (modérée), avec un score de base CVSS v3.1 de 6,5 (vecteur d’attaque réseau, interaction de l’utilisateur requise, impact élevé sur la confidentialité, aucun impact sur l’intégrité ni sur la disponibilité). La gravité décrit l’impact si une faille est exploitée, tandis que le statut d’exploitation décrit ce que font les attaquants. C’est pourquoi une faille Moderate peut constituer la première priorité du mois. Tenable indique le même score.
Produits concernés et builds corrigés : Microsoft répertorie Microsoft Office LTSC 2021 (éditions 32 bits et 64 bits), corrigé dans le build 16.0.14334.21048, Microsoft Office LTSC 2024 (éditions 32 bits et 64 bits), corrigé dans le build 16.0.17932.21140, et Microsoft 365 Apps for Enterprise (32 bits et 64 bits), mis à jour au moyen des notes de publication de sécurité d’Office de Microsoft.
Référence officielle : Microsoft CVE-2026-124194. Rapports complémentaires : BleepingComputer, Tenable.
Autres vulnérabilités importantes de novembre
Les données de Microsoft mettent en avant d’autres vulnérabilités à vérifier dans les déploiements concernés. Aucune des quatre ci-dessous n’est signalée comme exploitée ou divulguée publiquement. Elles ne doivent donc pas être regroupées avec la faille d’Outlook.
| CVE et vulnérabilité | CVSS v3.1 et gravité selon Microsoft | Libellé d’exploitabilité de Microsoft |
|---|---|---|
| CVE-2026-120002, élévation de privilèges dans SharePoint Server (autorisation incorrecte) | 9,9 (Important) | Exploitation Less Likely |
| CVE-2026-119958, exécution de code à distance dans Windows LDAP (écriture hors limites) | 9,8 (Critical) | Exploitation Less Likely |
| CVE-2026-118146, exécution de code à distance dans Active Directory Domain Services (autorisation incorrecte) | 8,8 (Critical) | Exploitation More Likely |
| CVE-2026-119952, exécution de code à distance dans Windows Schannel (différence de timing observable) | 8,1 (Critical) | Exploitation More Likely |
D’après le document de mise à jour de sécurité de Microsoft de novembre 2026, consulté le 12 novembre 2026. Il s’agit de vulnérabilités mises en avant, et non de l’inventaire complet. Les libellés d’exploitabilité sont les évaluations de Microsoft pour la dernière version du logiciel.
Leurs prérequis d’exploitation et les configurations concernées diffèrent. Microsoft classe les problèmes d’Active Directory Domain Services et de Schannel « Exploitation More Likely » (exploitation plus probable), ce qui constitue une raison de les placer tôt dans une planification fondée sur l’exposition, même si aucune exploitation n’est signalée.
Ce que les équipes informatiques doivent faire
Traiter en priorité les installations d’Outlook concernées. Identifiez les installations d’Office LTSC 2021, d’Office LTSC 2024 et de Microsoft 365 Apps for Enterprise couvertes par CVE-2026-124194, appliquez les mises à jour fournies par Microsoft et vérifiez que les terminaux atteignent le build 16.0.14334.21048 (LTSC 2021), le build 16.0.17932.21140 (LTSC 2024) ou le build corrigé de Microsoft 365 Apps indiqué dans les notes de publication de Microsoft. Prêtez attention aux appareils distants et aux systèmes qui suivent des canaux de mise à jour différés.
Examiner les services d’entreprise critiques. Déterminez si des installations SharePoint, des contrôleurs de domaine et des services Windows concernés sont présents. Hiérarchisez la remédiation en fonction des informations d’applicabilité de Microsoft, de l’exposition et de la criticité pour l’activité. Appliquez les procédures de maintenance et de restauration établies pour les services d’annuaire et les autres systèmes critiques.
Confirmer le déploiement des mises à jour. Vérifiez que les correctifs sont installés, que les redémarrages requis ont été effectués et que les services concernés restent opérationnels. Pour les contrôleurs de domaine, vérifiez l’authentification et la réplication selon les besoins.
Enquêter en cas d’indices de compromission. Examinez les événements d’authentification et des terminaux pertinents si une activité suspecte d’Outlook est détectée. L’application d’un correctif traite la vulnérabilité pour l’avenir, mais ne prouve pas qu’un système compromis auparavant est sain.
Le Microsoft Security Update Guide reste la source qui fait foi pour déterminer les versions concernées, les mises à jour et les conditions d’installation.
Ce que les organisations doivent retenir
La faille d’Outlook exploitée donne aux administrateurs une priorité précise pour novembre. D’autres problèmes à fort impact touchant SharePoint, Windows LDAP, Active Directory et Schannel exigent une évaluation fondée sur l’exposition et une application rapide des correctifs. L’objectif opérationnel n’est pas de réagir à un chiffre mis en avant dans les titres, mais de confirmer que les systèmes concernés ont reçu les mises à jour de sécurité pertinentes.
Sources
- Microsoft November 2026 Security Update Guide
- Microsoft Outlook CVE-2026-124194
- Microsoft November 2026 security update data
- Tenable November 2026 assessment
- BleepingComputer November 2026 report
Les sources ont été consultées le 12 novembre 2026. Microsoft peut réviser ses avis, de sorte que les décomptes et les numéros de build peuvent changer.