La mise à jour de sécurité de novembre 2026 de Microsoft corrige plus de 1 200 vulnérabilités. Parmi elles, une faille zero-day affectant Outlook fait déjà l’objet d’une exploitation active par des cybercriminels.
Microsoft a publié, le 10 novembre 2026, son traditionnel ensemble de mises à jour de sécurité mensuelles, connu sous le nom de Patch Tuesday. Cette nouvelle édition attire particulièrement l’attention en raison du nombre important de vulnérabilités corrigées et de la découverte d’une faille zero-day dans Microsoft Outlook, déjà exploitée dans des attaques.
Selon le décompte élargi publié par BleepingComputer et repris par NHS England, cette édition concerne 1 235 vulnérabilités, dont 66 classées critiques. Ces failles touchent plusieurs produits et composants de l’écosystème Microsoft, notamment Windows, Office, Outlook et Microsoft Edge.
Les chiffres peuvent toutefois varier selon les méthodes de comptabilisation : un décompte plus strict des vulnérabilités attribuées directement à Microsoft fait état de 1 095 CVE.
Une faille zero-day dans Outlook particulièrement préoccupante
La principale alerte de cette édition concerne la vulnérabilité CVE-2026-124194, identifiée dans Microsoft Outlook.
Classée comme une faille d’usurpation d’identité (Spoofing), elle présente un risque de divulgation d’informations d’authentification.
Concrètement, un utilisateur peut recevoir un fichier de message spécialement conçu pour exploiter cette vulnérabilité. Lorsqu’il ouvre ce fichier avec une version vulnérable d’Outlook, l’application peut établir une connexion vers une destination contrôlée par un attaquant, sans afficher l’avertissement habituel concernant le contenu externe.
Cette connexion peut entraîner la divulgation d’informations d’authentification Windows, notamment le condensat NTLMv2, qui peut être utilisé dans des tentatives d’usurpation d’identité.
Microsoft confirme que cette vulnérabilité a déjà été exploitée dans des attaques avant la publication du correctif.
À retenir : la vulnérabilité ne nécessite pas simplement de recevoir un courriel. L’utilisateur doit ouvrir un fichier malveillant spécialement conçu. Microsoft précise également que le volet de visualisation d’Outlook (Preview Pane) ne constitue pas, à lui seul, un vecteur d’exploitation.
Plus de 1 200 vulnérabilités dans l’écosystème Microsoft
Au-delà de la faille Outlook, cette édition du Patch Tuesday corrige de nombreuses vulnérabilités pouvant compromettre la confidentialité, l’intégrité et la disponibilité des systèmes informatiques.
Les catégories les plus représentées comprennent :
- Élévation de privilèges : des failles susceptibles de permettre à un attaquant d’obtenir des autorisations supérieures sur un système.
- Exécution de code à distance (RCE) : des vulnérabilités pouvant permettre l’exécution de commandes ou de programmes à distance dans certaines conditions.
- Divulgation d’informations : des failles pouvant exposer des données ou des informations sensibles.
- Déni de service : des vulnérabilités susceptibles de perturber le fonctionnement ou la disponibilité de certains services.
Cette situation rappelle que les systèmes d’exploitation, les applications bureautiques et les services d’entreprise doivent faire l’objet d’une surveillance et d’une maintenance régulières.
Quelles mesures les entreprises doivent-elles prendre ?
Face à ces vulnérabilités, Microsoft recommande l’application des mises à jour de sécurité correspondantes. Les organisations doivent notamment vérifier que leurs postes de travail et leurs environnements professionnels bénéficient des correctifs nécessaires.
Voici les principales mesures à privilégier :
1. Mettre à jour Outlook et Microsoft Office
Les administrateurs doivent vérifier l’installation des mises à jour Office applicables, notamment pour Microsoft 365 Apps for Enterprise et Office LTSC 2021 et 2024. Il est important de ne pas considérer uniquement les mises à jour cumulatives de Windows : le correctif Outlook est distribué dans les mises à jour de sécurité Office.
2. Vérifier les mises à jour de Windows et des serveurs
Les systèmes Windows, les serveurs et les autres produits Microsoft concernés doivent également être examinés afin de s’assurer que les correctifs appropriés sont installés.
3. Renforcer la sécurité des messageries professionnelles
Les collaborateurs doivent rester vigilants face aux pièces jointes inattendues, aux fichiers provenant d’expéditeurs inconnus et aux messages inhabituels, même lorsqu’ils semblent provenir d’un contact connu.
4. Protéger les comptes et les identifiants
L’activation de l’authentification multifacteur (MFA), la limitation des privilèges des utilisateurs et le renforcement des mécanismes d’authentification contribuent à réduire les risques de compromission des comptes.
5. Maintenir une surveillance des systèmes
Les entreprises doivent disposer de mécanismes permettant d’identifier les activités inhabituelles, de détecter les comportements suspects et de réagir rapidement en cas d’incident.
La mise à jour des systèmes : un enjeu majeur pour les entreprises
Le Patch Tuesday de novembre 2026 rappelle une réalité importante : même les logiciels largement utilisés dans les entreprises peuvent présenter des vulnérabilités exploitées avant la disponibilité d’un correctif.
L’enjeu ne consiste donc pas uniquement à installer les mises à jour lorsqu’elles sont publiées, mais à mettre en place une politique continue de gestion des vulnérabilités, de surveillance et de protection des environnements informatiques.
Pour les organisations qui utilisent Microsoft 365, Outlook et les infrastructures Windows, cette actualité constitue un rappel de l’importance d’une gestion rigoureuse de la sécurité informatique.
Chez ATON, nous accompagnons les organisations dans la compréhension des enjeux de sécurité informatique et la mise en place de solutions adaptées à la protection de leurs environnements numériques.
Sources :
- Microsoft Security Response Center (MSRC) – Avis CVE-2026-124194.
- Microsoft – Guide des mises à jour de sécurité de novembre 2026.
- BleepingComputer – Microsoft November 2026 Patch Tuesday fixes 1,235 flaws, Outlook zero-day.
- NHS England Digital – Microsoft Releases November 2026 Security Updates.
- OPSWAT – Microsoft’s November 2026 Patch Tuesday.
