Outlook : une faille exploitée fait fuiter les empreintes NTLMv2 des utilisateurs, Microsoft la corrige

Veille cyber Top-Secured : analyse indépendante fondée sur les sources citées plus bas. Top-Secured n'est pas affilié aux entreprises mentionnées et ne vous demandera jamais vos identifiants bancaires ni vos mots de passe.

Les mises à jour de novembre 2026 de Microsoft corrigent la CVE-2026-124194, une faille d’Outlook que l’éditeur dit déjà exploitée. Un fichier piégé ouvert dans Outlook le pousse à se connecter au serveur d’un attaquant sans l’avertissement habituel, ce qui livre l’empreinte NTLMv2 de l’utilisateur ; la CISA l’a inscrite à son catalogue des vulnérabilités exploitées.

Ce qui s’est passé

Microsoft a publié le 10 novembre 2026 ses correctifs de sécurité mensuels. Selon The Record, ils traitent 1 093 vulnérabilités, au-delà du millier pour le deuxième mois consécutif. Parmi elles, la CVE-2026-124194, dans Outlook, est signalée par Microsoft comme déjà exploitée. Le jour même, l’agence américaine CISA l’a ajoutée à son catalogue des vulnérabilités exploitées, avec une échéance au 24 novembre pour les administrations fédérales. Ni Microsoft ni la CISA n’ont indiqué qui mène ces attaques ni qui en a été la cible.

Comment les attaquants s’en servent

Microsoft décrit le scénario : l’attaquant envoie un fichier piégé et convainc l’utilisateur de l’ouvrir dans Outlook. Le logiciel se connecte alors à un emplacement réseau contrôlé par l’attaquant, sans afficher l’avertissement habituel sur le contenu externe. Au passage, il transmet l’empreinte NTLMv2 de l’utilisateur, que l’attaquant peut réutiliser pour s’authentifier à sa place. Aucun compte n’est nécessaire côté attaquant, mais la victime doit ouvrir le fichier : le volet de lecture ne suffit pas. Microsoft lui attribue une note de 6,5 sur 10 et une gravité modérée, mais une empreinte volée peut ouvrir la porte à d’autres services de l’entreprise.

Produits concernés selon Microsoft : Microsoft 365 Apps for Enterprise (32 et 64 bits), Office LTSC 2024 et Office LTSC 2021.

Que faire maintenant

1. Mettez Office à jour : build 16.0.17932.21140 ou ultérieur pour Office LTSC 2024, 16.0.14334.21048 ou ultérieur pour Office LTSC 2021 ; pour Microsoft 365 Apps, la build de sécurité de novembre de votre canal. Vérifiez dans Outlook via Fichier > Compte Office > À propos d’Outlook.
2. Vérifiez que les mises à jour arrivent vraiment sur les postes : les installations Click-to-Run restent parfois sur une ancienne build quand une stratégie diffère les mises à jour.
3. Bloquez le SMB sortant (TCP 445) vers Internet sur le pare-feu : c’est la voie la plus courante pour envoyer des empreintes NTLM vers l’extérieur.
4. Placez les comptes d’administration et les comptes sensibles dans le groupe Protected Users, qui leur interdit l’authentification NTLM, et prévoyez de réduire l’usage de NTLM dans le domaine.
5. Rappelez aux équipes de ne pas ouvrir une pièce jointe inattendue, même d’un expéditeur connu.

Notre avis

Une faille jugée modérée mais déjà exploitée mérite plus d’attention qu’une faille critique que personne n’utilise. La mise à jour des postes fait partie de la sécurité des serveurs : une empreinte NTLM qui fuit est souvent la première marche vers le serveur de fichiers ou le contrôleur de domaine.

Sources

• Microsoft MSRC — Microsoft Outlook Spoofing Vulnerability (CVE-2026-124194)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-124194 (Microsoft Office Outlook)
• The Record — Microsoft’s Patch Tuesday surpasses 1,000 bugs for second month in a row

Comment nous choisissons, vérifions et rédigeons nos analyses →