La CISA a ajouté le 10 novembre 2026 à son catalogue des vulnérabilités exploitées (KEV) une faille zero-day activement exploitée dans Microsoft Outlook — et deux jours plus tard, le 12 novembre 2026, une panne mondiale a frappé les services cloud de Microsoft. Aucune preuve n’établit un lien entre la vulnérabilité signalée et la perturbation de service, selon les informations disponibles.
Caractéristiques du zero-day Outlook (CVE-2026-124194)
La faille, référencée CVE-2026-124194, est une vulnérabilité de type spoofing affectant Microsoft Outlook, notée 6,5 sur l’échelle CVSS par Microsoft (sévérité modérée), et dont l’exploitation a été détectée. Un attaquant non authentifié pourrait exposer des informations d’authentification d’un utilisateur sans connaître son mot de passe. L’exploitation nécessite l’envoi d’un fichier de message spécialement construit et que la victime l’ouvre dans une version affectée d’Outlook.
Une fois le fichier ouvert, Outlook peut se connecter vers un emplacement réseau contrôlé par l’attaquant sans afficher son avertissement habituel sur le contenu externe, ce qui peut entraîner la fuite du hachage NTLMv2 de la victime. Un attaquant pourrait alors tenter d’utiliser ce hachage pour des tentatives d’authentification visant à usurper l’identité de l’utilisateur. Il ne s’agit pas d’une attaque « zero‑click » et la vulnérabilité n’octroie pas automatiquement le contrôle d’un ordinateur : Microsoft précise qu’une interaction utilisateur et une connectivité réseau sont requises. Le volet Aperçu d’Outlook n’est pas un vecteur d’attaque pour ce défaut.
La faille concerne Microsoft 365 Apps for Enterprise, Office LTSC 2021 et Office LTSC 2024. Microsoft a publié des correctifs et la CISA a donné aux agences fédérales américaines jusqu’au 24 novembre 2026 pour les appliquer.
La panne cloud de Microsoft et son explication technique
L’incident, survenu à partir du 12 novembre 2026 et se poursuivant le 13 novembre, a perturbé Microsoft 365, notamment Outlook et Teams, ainsi que d’autres outils cloud, touchant des utilisateurs dans plusieurs régions. Les mises à jour d’incident de Microsoft indiquent que des serveurs sont devenus indisponibles de façon inattendue et ont échoué aux contrôles de santé automatisés, ce qui a accru la charge sur l’infrastructure restante.
La société a identifié un processus central saturé sur des serveurs affectés et a rencontré des difficultés pour restaurer la capacité lors des opérations de reprise. Microsoft a déclaré ne disposer d’aucune preuve d’activité malveillante ou d’attaque liée à l’incident, position relayée par le ministre australien de l’Intérieur Tony Burke, qui a indiqué que Microsoft ne considérait pas l’événement comme une cyberattaque.
Proximité temporelle sans lien établi
Un utilisateur du réseau X, @Nerdy_Addict, a souligné dans un message publié le 13 novembre 2026 la proximité entre l’inscription par la CISA de la vulnérabilité et la panne mondiale, en précisant toutefois qu’aucun lien n’avait été établi. La fiche de la CISA confirme une exploitation active de la faille, mais cela n’implique pas que Microsoft ait reçu ou ignoré un avertissement privé.
Microsoft a évalué que CVE-2026-124194 n’a pas eu d’impact direct sur la disponibilité des services. La proximité temporelle des événements attire l’attention, mais, d’après les éléments publiés, elle ne constitue pas une preuve d’un lien de causalité. Reste à voir si de futures publications techniques apporteront des précisions supplémentaires.
