// CLUBIC — CYBERSECURITY
Microsoft corrige 1 235 failles lors du Patch Tuesday de novembre 2026, dont un zero-day Outlook
Des pirates ont piégé des fichiers de message Outlook pour récupérer de quoi se connecter à votre place sur un réseau Windows. Microsoft a corrigé cette faille, exploitée avant la sortie du correctif, avec plus de 1 200 autres dans son Patch Tuesday de novembre.
Le Patch Tuesday cherche-t-il à battre un record cette année ? En janvier, l’éditeur avait corrigé 114 failles. En octobre, il a battu son record avec 1 411 vulnérabilités, selon notre dernier décompte. Pour Microsoft cette hausse, c'est la faute de l’intelligence artificielle, que ses équipes emploient pour fouiller son code. Avec 1 235 vulnérabilités, le lot de novembre est un peu moins lourd. Dans ce butin, Microsoft a corrigé une faille d’Outlook que des pirates exploitaient avant la sortie du correctif. Un zero-day de plus.
Pour tomber dans le piège, vous devez ouvrir un fichier de message conçu par le pirate, reçu par exemple en pièce jointe d’un e-mail. Un pirate ne peut pas déclencher l’attaque par le simple affichage du message dans le volet de lecture. C'est ce qu'explique Microsoft dans son bulletin de sécurité : « L’ouverture du fichier pourrait amener Outlook à se connecter à un emplacement réseau contrôlé par l’attaquant sans afficher l’avertissement habituel concernant le contenu externe ».
Le pirate récupère alors le hachage NTLMv2 de votre compte, l'empreinte de votre mot de passe, qui peut être transmise automatiquement par Windows quand vous vous connectez à un serveur du réseau. Avec elle, l’attaquant peut s’authentifier sous votre identité, prévient Microsoft. Il peut aussi tenter de la casser hors ligne pour retrouver votre mot de passe, puis s’en servir pour ouvrir vos comptes professionnels, ajoute BleepingComputer.
Vous êtes concerné si vous utilisez Outlook dans Microsoft 365 Apps for Enterprise, Office LTSC 2021 ou Office LTSC 2024. Microsoft ne classe la faille CVE-2026-124194 qu’au niveau « modéré », avec une note de gravité CVSS de 6,5 sur 10. Deux chercheurs l’ont signalée à l’éditeur, l’un sous le pseudonyme « nono », l’autre, Benoît Sevens, avec l’aide de Claude. Microsoft confirme que des pirates ont exploité la faille, mais ne dit rien des attaques ni de leurs victimes.
Sur les 1 235 vulnérabilités recensées, Microsoft a classé 66 d’entre elles au niveau critique. Dans 48 cas, un pirate peut exécuter du code à distance sur la machine touchée. Environ 639 failles concernent Windows. Les plus nombreuses, avec 536 cas, sont des failles d’élévation de privilèges. Un pirate peut s’en servir pour obtenir des droits d’administrateur sur un système où il dispose d’un simple accès. Viennent ensuite 296 failles d’exécution de code à distance.
Le total varie d’un média à l’autre. SecurityWeek, qui ne compte pas les failles de Chrome, arrive à 1 094 vulnérabilités.
Si votre PC tourne sous les éditions Entreprise ou Éducation de Windows 11 23H2, vous recevez avec ce Patch Tuesday votre dernière mise à jour de sécurité. Pour continuer à être protégé, vous devrez installer une version plus récente de Windows 11.
Sur votre ordinateur, vous pouvez installer les correctifs depuis Windows Update, avec les mises à jour KB5132061 et KB5131087 selon votre version de Windows 11. Si vous êtes inscrit au programme de mises à jour de sécurité étendues de Windows 10, vous recevrez la mise à jour KB5131096. Pour Outlook, vous pouvez lancer l’installation dans le menu Fichier, rubrique Compte Office, avec le bouton Options de mise à jour, sauf si votre entreprise gère ces mises à jour à votre place. Microsoft a corrigé plus de 5 000 vulnérabilités dans ses logiciels depuis janvier, selon SecurityWeek.