La Cybersecurity and Infrastructure Security Agency (CISA) a ajouté CVE-2026-124194, une vulnérabilité zero-day de type spoofing affectant Microsoft Outlook et activement exploitée, à son catalogue Known Exploited Vulnerabilities. L’entrée a été publiée le 10 novembre 2026 et fixe une date limite de remédiation au 24 novembre.
Impact sur Microsoft Outlook et produits affectés
La vulnérabilité permet à un attaquant non autorisé de usurper un réseau. Le dossier CVE de Microsoft attribue un score CVSS v3.1 de 6,5 : complexité d’attaque faible, aucun privilège requis et interaction utilisateur requise. L’impact sur la confidentialité est jugé élevé, tandis que les impacts sur l’intégrité et la disponibilité sont classés comme nuls. La faiblesse sous-jacente est référencée CWE-356, liée à l’absence d’interaction utilisateur avant des actions potentiellement dangereuses. Microsoft décrit un défaut d’alerte d’Outlook sur des comportements externes jugés dangereux. Contrairement à des vulnérabilités RCE publiées séparément, ce problème est catalogué comme spoofing et la description CVE ne désigne pas l’exécution de code arbitraire comme impact direct.
Détails techniques et mode d’exploitation
Selon les analyses publiées, un attaquant envoie un fichier de message spécialement conçu et persuade la victime de l’ouvrir. Outlook peut alors contacter un emplacement réseau contrôlé par l’attaquant sans afficher son avertissement habituel sur le contenu externe. Le dossier CVE confirme que l’interaction utilisateur est requise, rendant l’expression « zero-click » inexacte pour cette vulnérabilité. Cette connexion sortante peut exposer des informations d’authentification NTLMv2 plutôt qu’un mot de passe en clair. Les éléments d’authentification capturés peuvent permettre une usurpation via cassage de mot de passe ou attaques de relais, selon les protections présentes dans l’environnement. Les comptes rendus publics n’identifient pas les acteurs, les organisations touchées ni l’ampleur de la campagne, et l’entrée du catalogue n’indique pas d’implication de rançongiciels.
Correctifs, recommandations et mesures opérationnelles
Produits concernés : Microsoft 365 Apps for Enterprise, Office LTSC 2021 et Office LTSC 2024 sur configurations 32 bits et x64 prises en charge. Les builds LTSC corrigés sont 16.0.14334.21048 (LTSC 2021) et 16.0.17932.21140 (LTSC 2024). Les administrateurs examinant les mises à jour de novembre doivent vérifier les canaux de diffusion applicables et les builds installés plutôt que de supposer une mise à jour simultanée de tous les déploiements. Les instructions fournies par la CISA exigent des atténuations pilotées par l’éditeur, conformes à la guidance de patching fondée sur le risque BOD 26-04. Les parties prenantes doivent évaluer l’exposition Internet de chaque actif, suivre les conseils applicables des services cloud et retirer les produits affectés lorsque des atténuations ne sont pas disponibles. L’entrée précise qu’une triage médico-légal obligatoire n’est pas requis ; ceci n’établit pas que l’exploitation n’a laissé aucune trace.
Malgré la sévérité modérée notée, les organisations doivent prioriser le déploiement des correctifs, examiner les fichiers de message suspects et enquêter sur toute authentification sortante inattendue. Restreindre le trafic SMB sortant non nécessaire, imposer la signature SMB et revoir l’exposition NTLM peuvent offrir des protections supplémentaires. Comme pour d’autres campagnes d’exploitation de Microsoft Office, les contrôles défensifs doivent compléter, et non remplacer, le déploiement des mises à jour applicables.
