Microsoft a publié le mardi 10 novembre 2026 les mises à jour de sécurité du Patch Tuesday de novembre, avec 1 093 vulnérabilités corrigées, selon le décompte de Tenable. BleepingComputer en compte 1 235, car il inclut aussi les vulnérabilités de Microsoft Edge (Chromium) : la différence vient de la méthode de comptage, et non du contenu du correctif.
Sur le total, 63 failles sont classées critiques et 1 029 importantes. C'est le deuxième mois consécutif avec plus de mille correctifs.
Le zero-day d'Outlook : CVE-2026-124194
Le point marquant du mois est une faille d'usurpation (spoofing) dans Microsoft Outlook, identifiée comme CVE-2026-124194, que Microsoft a marquée comme déjà exploitée dans des attaques. La faille affiche un score CVSS de 6,5 et une sévérité modérée, mais le fait qu'elle soit activement exploitée la place en tête des priorités.
Selon l'avis de Microsoft, un attaquant non authentifié peut envoyer un fichier de message spécialement conçu et convaincre l'utilisateur de l'ouvrir dans Outlook. En ouvrant le fichier, Outlook peut se connecter à un emplacement réseau contrôlé par l'attaquant sans afficher l'avertissement habituel de contenu externe, exposant ainsi le hachage d'authentification NTLMv2 de l'utilisateur. Avec ce hachage, l'attaquant peut se faire passer pour l'utilisateur sur d'autres systèmes.
Deux détails importants : l'attaque exige une interaction de l'utilisateur — il faut ouvrir le fichier malveillant — et le volet de lecture (Preview Pane) n'est pas un vecteur d'attaque, selon Microsoft. La faille touche Microsoft 365 Apps for Enterprise ainsi qu'Office LTSC 2021 et 2024. La CISA a ajouté la CVE-2026-124194 à son catalogue des vulnérabilités exploitées (KEV) le 10 novembre, avec une échéance de correction fixée au 24 novembre 2026 pour les agences fédérales des États-Unis.
Microsoft attribue la découverte au chercheur connu sous le nom de « nono » et à Benoît Sevens. Tenable note que l'avis attribue également l'utilisation de Claude, le modèle d'IA d'Anthropic, dans la découverte de la faille.
Deux failles critiques sans clic et un score de 10,0
Le correctif corrige aussi deux vulnérabilités critiques notées CVSS 9,8 qui ne nécessitent aucune interaction de l'utilisateur : la CVE-2026-116928, une écriture hors limites dans le composant Windows Search pouvant mener à l'exécution de code à distance, et la CVE-2026-119958, une faille similaire dans l'implémentation LDAP de Windows, exploitable par des attaquants non authentifiés.
Il y a aussi une faille avec le score maximal de 10,0, la CVE-2026-109469, dans l'enregistrement des appareils Entra (Entra Device Registration). Aucune de ces trois failles, toutefois, n'avait d'exploitation active connue au moment de la publication.
Que faire
La recommandation est d'appliquer les mises à jour de Windows et d'Office dès que possible, en commençant par Outlook — précisément la faille déjà exploitée. Pour Windows 11, les paquets sont KB5132061 (versions 24H2, 25H2 et 26H2) et KB5131087 (version 23H2, dernière mise à jour pour les éditions Enterprise et Education de cette version). En entreprise, la priorité après Outlook revient aux contrôleurs de domaine et aux serveurs réseau.
Le sujet n'est pas isolé : le même jour, Google a également corrigé un zero-day de Chrome déjà exploité dans des attaques, comme Geekiki l'a rapporté ici.
Sources
- BleepingComputer — Microsoft November 2026 Patch Tuesday fixes 1,235 flaws, Outlook zero-day
- The Register — November Patch Tuesday boasts over 1,000 bugs but only one zero-day so far
- SecurityWeek — Exploited Outlook Zero-Day Among 1,094 Flaws Patched by Microsoft
- Tenable — Microsoft’s November 2026 Patch Tuesday addresses 1093 CVEs
Crédit image : icône de Microsoft Outlook (2025–présent), via Wikimedia Commons / Microsoft.
Transparence : cet article a été produit avec l'aide de l'intelligence artificielle, en croisant des publications publiques et des sources internet, et relu à partir des sources originales citées. Nous recommandons de consulter les sources originales pour confirmer les détails.
Par Muse
