Patch Tuesday, novembre 2026 : une faille Outlook exploitée

Le 10 novembre 2026, Microsoft a publié ses correctifs mensuels. Une seule faille y est marquée comme exploitée : CVE-2026-124194, dans Outlook. Elle est cotée Modérée, avec un score CVSS de 6,5. La CISA l'a pourtant ajoutée à son catalogue des vulnérabilités exploitées (KEV) le jour même. C'est l'écart entre ces deux signaux qui mérite l'attention cette semaine.

Ce qui s'est passé

La faille exploitée. Selon l'avis de Microsoft, l'interface d'Outlook n'avertit pas l'utilisateur d'une action dangereuse. Un attaquant non authentifié envoie un fichier de message piégé et convainc l'utilisateur de l'ouvrir. Outlook peut alors se connecter à un emplacement réseau contrôlé par l'attaquant, sans l'avertissement habituel sur le contenu externe. Microsoft précise que cette connexion divulgue le hachage NTLMv2 de l'utilisateur, que l'attaquant peut utiliser pour s'authentifier à sa place.

Quelques détails de l'avis comptent pour évaluer le risque :

• le volet de lecture n'est pas un vecteur d'attaque, il faut une ouverture du fichier ;
• la faille n'avait pas été divulguée publiquement avant le correctif ;
• Microsoft indique « Exploitation Detected », sans nommer d'acteur ;
• les remerciements citent Benoit Sevens, d'Anthropic, et un chercheur nommé « nono ».

L'inscription au KEV. L'alerte de la CISA du 10 novembre ajoute six failles au catalogue, dont celle d'Outlook. Le flux JSON du catalogue fixe l'échéance au 24 novembre 2026 pour les agences fédérales américaines. La même alerte ajoute une faille de Chromium (CVE-2026-125350), un rappel que le navigateur aussi demande une mise à jour cette semaine.

Le reste du mois. Le volume reste très élevé. The Hacker News compte 1 259 failles corrigées, un deuxième mois de suite au-dessus de 1 000. Le fichier CVRF de Microsoft liste aussi des failles de composants tiers, comme Chromium et le noyau Linux, si bien que le total varie selon la façon de compter. Parmi les failles d'exécution de code à distance cotées Critique, trois touchent des services Windows très répandus :

Aucune de ces trois failles n'est marquée comme exploitée ni comme divulguée publiquement.

Pourquoi ça compte

La cote ne dit pas tout. Une équipe qui trie ses correctifs par score CVSS placera CVE-2026-124194 loin derrière les failles à 9,8. Pourtant, c'est la seule du mois que des attaquants utilisent déjà. Le score décrit la gravité technique ; l'exploitation décrit la menace réelle. Notre méthode de priorisation avec le catalogue KEV repose sur cette distinction.

Le courriel reste la porte la plus simple. La faille vise Outlook, donc chaque poste de travail qui ouvre des pièces jointes. L'attaquant n'a pas besoin d'un service exposé à Internet : il lui suffit qu'un employé ouvre un fichier. C'est la même logique que la campagne d'hameçonnage vocal au soutien technique : la cible est l'utilisateur, pas le pare-feu.

NTLM est encore là. Le hachage NTLMv2 n'a de valeur que si NTLM sert encore à s'authentifier quelque part dans votre réseau. Beaucoup d'environnements Windows l'acceptent toujours, souvent sans inventaire précis des applications qui en dépendent. Une faille qui fait fuir ce hachage rappelle que ce protocole est une dette, pas un détail.

Schannel mérite une place haute dans la file. Schannel gère TLS dans Windows. Microsoft juge son exploitation « plus probable », ce qui en fait la candidate la plus sérieuse parmi les failles non exploitées du mois.

Ce que nous en pensons chez Sentrix

1. Corrigez Outlook d'abord, malgré la cote Modérée. L'exploitation est confirmée par Microsoft et par la CISA. Les postes des comptes privilégiés, de la direction et des finances passent en premier, parce que leur hachage ouvre le plus de portes.
2. Bloquez les sorties SMB et WebDAV vers Internet. La fuite repose sur une connexion vers un emplacement réseau de l'attaquant. Microsoft ne précise pas le protocole, mais un poste de travail n'a généralement aucune raison d'ouvrir une session SMB vers l'extérieur ; une règle de pare-feu qui l'interdit réduit l'impact de cette faille et de celles qui suivront le même schéma.
3. Inventoriez l'usage de NTLM. Listez les applications et les serveurs qui l'exigent encore, puis planifiez leur passage à Kerberos ou à une authentification moderne. Notre service postes et serveurs couvre ce durcissement.
4. Placez Schannel, LDAP et Windows Search juste après. Schannel en tête, vu l'évaluation de Microsoft. Les contrôleurs de domaine, qui exposent LDAP, sont des actifs critiques à corriger dans la fenêtre normale la plus courte.
5. Mettez à jour les navigateurs basés sur Chromium. Chrome, Edge et les autres navigateurs qui reposent sur Chromium sont concernés par la faille ajoutée au KEV le même jour.
6. Gardez la preuve. Pour un audit ou un assureur, ce qui compte est la date de détection, la date de correction et l'écart entre les deux. Notre service vulnérabilités et correctifs produit cette trace, mois après mois. Pour comparer, voyez notre analyse du Patch Tuesday d'octobre.

La prochaine étape

Mesurez combien de vos postes ont reçu le correctif d'Outlook au 13 novembre, puis au 24. Si vous n'obtenez pas ce chiffre en quelques minutes, c'est l'outil de suivi qu'il faut revoir avant le prochain mois. Pour faire le point avec nous, contactez-nous.