Patch Tuesday : résumé et faits marquants
Microsoft a publié ses correctifs de sécurité de novembre 2026, traitant au total 1 235 vulnérabilités, dont 63 jugées critiques et 1 029 de sévérité importante. Les mises à jour couvrent notamment 142 vulnérabilités affectant Microsoft Edge (Chromium-based). Selon le bulletin, une seule vulnérabilité a été identifiée comme exploitée activement dans la nature. Qualys note par ailleurs que son service InstaScan a présenté aux clients ses résultats de novembre 40 minutes avant la mise à jour de la page d’avis de Microsoft.
Vulnérabilité zero-day corrigée
Une vulnérabilité zero‑day affectant Microsoft Outlook a été corrigée : un attaquant non authentifié pouvait envoyer un fichier message spécialement conçu et inciter un utilisateur à l’ouvrir dans une version vulnérable d’Outlook. L’ouverture du fichier pouvait amener Outlook à se connecter vers un emplacement réseau contrôlé par l’attaquant sans afficher l’avertissement habituel concernant le contenu externe, ce qui pouvait entraîner la divulgation d’informations d’authentification et permettre l’usurpation d’identité. La CISA a inscrit cette vulnérabilité dans son Known Exploited Vulnerabilities Catalog et a recommandé de la corriger avant le 24 novembre 2026.
Vulnérabilités critiques et exemples significatifs
La livraison de novembre comporte de nombreux correctifs pour des failles pouvant provoquer une exécution de code à distance, une élévation de privilèges ou un déni de service. Parmi les vulnérabilités critiques signalées figurent (liste non exhaustive fournie par l’avis) :
CVE-2026-120003 (Microsoft Office Remote Code Execution) ; CVE-2026-118148 (Active Directory Domain Services Elevation of Privilege) ; CVE-2026-119382 (Windows TPM Elevation of Privilege) ; CVE-2026-119961 (Windows Internet Information Services Remote Code Execution) ; CVE-2026-119957 (Windows Remote Desktop Services Elevation of Privilege) ; CVE-2026-119962 (Windows CredSSP Remote Code Execution) ; CVE-2026-119969 (Graphic Fonts Remote Code Execution) ; CVE-2026-119966 (Windows Graphics Kernel Elevation of Privilege) ; CVE-2026-119958 (Windows LDAP Remote Code Execution) ; CVE-2026-119952 (Windows Schannel Remote Code Execution) ; CVE-2026-119951 (Windows Deployment Services Remote Code Execution) ; CVE-2026-116928 (Windows Search Remote Code Execution) ; CVE-2026-110043 (Microsoft Office Outlook Remote Code Execution) ; CVE-2026-119990 (Azure OpenAI Elevation of Privilege) ; CVE-2026-120005 (Microsoft PowerPoint Remote Code Execution) ; CVE-2026-122194 (Microsoft Defender Remote Code Execution) ; CVE-2026-111289 (Microsoft Office Remote Code Execution) ; CVE-2026-114160 (Azure Managed Grafana Elevation of Privilege) ; CVE-2026-110068 (Microsoft Office Outlook Remote Code Execution) ; CVE-2026-111309 (Microsoft Office Outlook Remote Code Execution) ; CVE-2026-118207 (Microsoft Exchange Server Remote Code Execution) ; et d’autres listées dans l’avis de Microsoft.
Points spécifiques par produit
Microsoft Office Excel : plusieurs CVE critiques (parmi eux CVE-2026-118702, CVE-2026-118296, CVE-2026-118701, CVE-2026-118297, CVE-2026-124170, CVE-2026-120788, CVE-2026-120786, CVE-2026-120789, CVE-2026-118292, CVE-2026-118711, CVE-2026-118713, CVE-2026-118730) affectent Excel et peuvent permettre l’exécution de code à distance via divers types de corruption mémoire (double-free, heap- ou stack-based buffer overflow, use-after-free).
Microsoft Office Word : CVE-2026-110047, CVE-2026-110067, CVE-2026-124185, CVE-2026-111285 sont cités pour des failles de type use-after-free, ressource non initialisée ou heap-based buffer overflow entraînant un risque d’exécution de code.
Windows Hyper-V : plusieurs CVE d’élévation de privilèges locales (CVE-2026-119947, CVE-2026-113860, CVE-2026-113861, CVE-2026-113864, CVE-2026-119960, CVE-2026-113865, CVE-2026-113856, CVE-2026-113753) sont listés, impliquant use-after-free, toctou, heap-based buffer overflow ou ressource non initialisée.
Windows Message Queuing : plusieurs CVE critiques (CVE-2026-119963, CVE-2026-119964, CVE-2026-119967, CVE-2026-116710, CVE-2026-109459) sont signalés pour des failles permettant l’exécution de code à distance via double-free ou buffer overflow.
Autres points marquants : l’avis mentionne aussi des vulnérabilités affectant Visual Studio Code (CVE-2026-121662 et CVE-2026-121663), Windows Installer, Windows Telephony Service, Windows Kernel, Azure DevOps Server (CVE-2026-112745), Winlogon (CVE-2026-83563) et de nombreuses autres composantes système et services, avec des classifications précises pour chaque CVE fournies dans le bulletin.
Couverture par familles de produits
Le résumé de publication présente les chiffres suivants par famille de produits :
Product Family Vulnerabilities Distinct Updates
Azure 20
Defender 1 1
Developer Tools 53 28
Exchange Server 9 1
Office 174 7
Other 25
SQL Server 59 13
SharePoint Server 27 3
Windows 726
Total 1094 53
Découverte, priorisation et remédiation (Qualys VMDR)
Qualys rappelle que VMDR détecte automatiquement les nouvelles vulnérabilités Patch Tuesday via des mises à jour continues de son Knowledgebase. Pour voir les hôtes impactés par ces vulnérabilités, l’avis fournit la requête QQL suivante :
vulnerabilities.vulnerability: ( qid: 110541 or qid: 110542 or qid: 110543 or qid: 389347 or qid: 389348 or qid: 389349 or qid: 389350 or qid: 50153 or qid: 92505 or qid: 92506 or qid: 92507 or qid: 92508 or qid: 92509 or qid: 92511 or qid: 92512 or qid: 92513 or qid: 92514 or qid: 92515 )
Pour trouver les correctifs manquants applicables à ce Patch Tuesday, l’avis propose également cette requête QQL :
( qid: 110541 or qid: 110542 or qid: 110543 or qid: 389347 or qid: 389348 or qid: 389349 or qid: 389350 or qid: 50153 or qid: 92505 or qid: 92506 or qid: 92507 or qid: 92508 or qid: 92509 or qid: 92511 or qid: 92512 or qid: 92513 or qid: 92514 or qid: 92515 )
Qualys indique que VMDR peut déployer rapidement les correctifs par technologie et que l’on peut filtrer le catalogue de correctifs sur “Missing” pour identifier et appliquer les correctifs disponibles.
Événements et ressources complémentaires
La prochaine édition de Patch Tuesday est programmée le 8 décembre. Qualys annonce aussi une série de webinaires mensuels (« This Month in Vulnerabilities & Patches ») pour aider ses clients à exploiter VMDR et TruRisk Eliminate afin de réduire le temps médian de remédiation des vulnérabilités critiques. L’avis invite à s’inscrire au webinaire Pour plus de détails techniques et la liste complète des CVE corrigées, se référer aux bulletins et aux outils fournis.
