Microsoft a corrigé une faille zero-day activement exploitée dans Outlook (CVE-2026-124194) qui permet à des attaquants de dérober des informations d’authentification Windows via un fichier de message malveillant. La vulnérabilité, publiée le 10 novembre 2026, est classée par Microsoft — qui est le CNA assignataire — avec une criticité maximale qualifiée de « Moderate », malgré des attaques confirmées visant ce défaut.
Microsoft Outlook : mécanisme de l’exploitation
Un attaquant n’a besoin d’aucun compte ni privilège préexistant : il envoie un fichier de message spécialement conçu et convainc le destinataire de l’ouvrir dans une installation Outlook vulnérable. L’ouverture du fichier peut entraîner une connexion d’Outlook vers un emplacement réseau contrôlé par l’attaquant sans afficher l’avertissement habituel sur le contenu externe. Cette connexion peut divulguer les informations d’authentification NTLMv2 de la victime — décrites par Microsoft comme le haché NTLMv2 de l’utilisateur, et non comme un mot de passe en clair.
Impact possible et limites de l’attaque
Les hachés NTLMv2 capturés peuvent servir à des tentatives de cassage de mot de passe hors ligne ou à des attaques de relais en direct, selon l’environnement ciblé et les protections en place. Des campagnes d’exploitation antérieures d’Outlook ont montré que des réponses d’authentification fuitées pouvaient permettre des accès non autorisés. Microsoft précise que cette vulnérabilité requiert une interaction de l’utilisateur et ne doit pas être qualifiée d’attaque « zero-click ». Le problème s’inscrit dans une continuité de vols d’identifiants via des connexions non désirées vers des serveurs externes.
Classification, scores et état du correctif
Le défaut est mappé à CWE-356, désormais désigné par MITRE comme « Missing User Interaction for Potentially Unsafe Action » (absence d’interaction utilisateur pour une action potentiellement dangereuse). Microsoft indique un score CVSS 3.1 de base de 6.5 et un score temporel de 6.2, avec le vecteur suivant : CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N/E:H/RL:O/RC:C. Les métriques temporelles signalent une forte maturité d’exploitation, l’existence d’un correctif officiel et des signalements confirmés.
Produits affectés et mesures recommandées
Les produits concernés incluent Microsoft 365 Apps for Enterprise et Office LTSC 2021 et 2024. Les versions LTSC corrigées sont les builds 16.0.14334.21048 et 16.0.17932.21140. Les administrateurs sont invités à consulter l’avis Microsoft pour appliquer les mises à jour appropriées. En complément du déploiement des correctifs, il est recommandé d’enquêter sur les tentatives d’authentification externes inattendues et d’examiner les fichiers de message suspects. Les contrôles tels que la réduction de l’usage inutile de NTLM, le blocage des connexions SMB sortantes non nécessaires, l’imposition du SMB signing et la revue de l’exposition NTLM peuvent diminuer les risques de vol et de relais d’identifiants, mais ne remplacent pas la correction des installations Outlook affectées.
