Mis à jour le vendredi 13 novembre 2026
Réponse courte : la faille Outlook CVE-2026-124194, corrigée par Microsoft le 10 novembre 2026, est déjà exploitée par des attaquants. Il suffit qu’un utilisateur ouvre un fichier de message piégé pour que son empreinte de mot de passe Windows (hachage NTLMv2) parte vers un serveur pirate. Mettez à jour Office sur tous les postes cette semaine et vérifiez le numéro de version.
Points clés
- CVE-2026-124194 touche Outlook dans Microsoft 365 Apps for Enterprise, Office LTSC 2021 et Office LTSC 2024 ; score CVSS 6,5, gravité « modérée » selon Microsoft.
- La faille est exploitée dans la nature : la CISA l’a ajoutée à son catalogue KEV le 10 novembre 2026 avec une échéance de correction au 24 novembre.
- Versions corrigées : build 16.0.14334.21048 pour Office LTSC 2021 et 16.0.17932.21140 pour Office LTSC 2024.
- Le volet de lecture n’est pas un vecteur d’attaque : il faut que la victime ouvre le fichier piégé.
- Le CERT-FR a publié le 12 novembre 2026 ses avis sur les correctifs Microsoft de novembre, dont l’avis CERTFR-2026-AVI-1511 consacré à Microsoft Office.
La faille Outlook CVE-2026-124194 est la seule vulnérabilité « zero-day » du Patch Tuesday de novembre 2026, sur plus d’un millier de failles corrigées par Microsoft ce mois-ci. Son score paraît modeste, mais elle est déjà utilisée par des attaquants et vise l’outil que tous les salariés d’une PME ouvrent chaque matin. Voici ce qu’il faut savoir, comment vérifier si vos postes sont concernés et comment l’intégrer à votre gestion des correctifs.
Qu’est-ce que la faille Outlook CVE-2026-124194 ?
CVE-2026-124194 est une vulnérabilité d’usurpation (spoofing) d’Outlook qui permet à un attaquant de récupérer le hachage NTLMv2 d’un utilisateur lorsqu’il ouvre un fichier de message spécialement conçu.
Une CVE (Common Vulnerabilities and Exposures) est l’identifiant unique attribué à une faille de sécurité publique. Le score CVSS (Common Vulnerability Scoring System) mesure sa gravité technique de 0 à 10. Ici, le score est de 6,5, ce qui explique la gravité « modérée » affichée par Microsoft.
Selon la description de Microsoft reprise par SecurityWeek, Outlook se connecte à un emplacement réseau contrôlé par l’attaquant sans afficher l’avertissement habituel sur le contenu externe. Au passage, Windows envoie automatiquement l’empreinte d’authentification de l’utilisateur. La faiblesse est classée CWE-356 : absence de confirmation de l’utilisateur avant une action potentiellement dangereuse.
Pourquoi un hachage NTLMv2 est-il précieux pour un pirate ?
NTLM est un ancien protocole d’authentification Windows, encore actif dans la plupart des réseaux de PME. Le hachage NTLMv2 n’est pas le mot de passe en clair, mais il permet deux attaques documentées par Rapid7 : le cassage hors ligne du mot de passe, ou le relais de l’authentification vers un autre serveur. Ce relais fonctionne lorsque la signature SMB ou LDAP et la protection étendue de l’authentification (EPA) ne sont pas activées. Autrement dit, un simple fichier ouvert peut devenir une porte d’entrée vers le serveur de fichiers ou l’annuaire de l’entreprise.
Quels produits et quelles versions sont concernés ?
Sont concernés Outlook dans Microsoft 365 Apps for Enterprise (32 et 64 bits), Office LTSC 2021 et Office LTSC 2024 ; Rapid7 précise que toutes les versions supportées d’Outlook « classique » reçoivent un correctif.
Le tableau ci-dessous résume la fiche technique, à partir des informations publiées par Microsoft et reprises par Cybersecurity News, SecurityOnline et SecurityWeek.
| Élément | Détail |
|---|---|
| Identifiant | CVE-2026-124194 |
| Type | Usurpation (spoofing), CWE-356, fuite du hachage NTLMv2 |
| Score CVSS | 6,5 (gravité Microsoft : modérée) |
| Produits affectés | Outlook dans Microsoft 365 Apps for Enterprise, Office LTSC 2021, Office LTSC 2024 |
| Version corrigée Office LTSC 2021 | Build 16.0.14334.21048 |
| Version corrigée Office LTSC 2024 | Build 16.0.17932.21140 |
| Microsoft 365 Apps | Build corrigé selon le canal de mise à jour (guide « Office Security Releases » de Microsoft) |
| Vecteur | Ouverture d’un fichier de message piégé ; le volet de lecture n’est pas un vecteur |
| Exploitation | Exploitation détectée par Microsoft avant le correctif (zero-day) |
| Catalogue KEV de la CISA | Ajout le 10 novembre 2026, échéance fédérale le 24 novembre 2026 |
| Avis CERT-FR | CERTFR-2026-AVI-1511 « Multiples vulnérabilités dans Microsoft Office », 12 novembre 2026 |
Le catalogue KEV (Known Exploited Vulnerabilities) est la liste tenue par la CISA, l’agence américaine de cybersécurité, des failles dont l’exploitation réelle est prouvée. Les administrations fédérales américaines doivent corriger ces failles dans un délai imposé. Pour une PME française, c’est un excellent signal de priorité.
Comment savoir si mon entreprise est concernée ?
Votre entreprise est concernée si au moins un poste utilise Outlook classique (Microsoft 365 Apps, Office 2021 ou 2024) avec un numéro de build antérieur à la version corrigée.
La vérification prend une minute par poste : dans Outlook, ouvrez Fichier, puis Compte Office, et lisez le numéro de version et de build affiché sous « À propos d’Outlook ». Comparez-le au tableau ci-dessus. Pour Microsoft 365 Apps, le build attendu dépend du canal (Actuel, Entreprise mensuel, Semi-annuel) : référez-vous au guide des versions de sécurité Office publié par Microsoft.
Dans une PME de plus de cinq postes, cette vérification manuelle devient vite source d’oublis. Un outil d’inventaire ou de supervision, comme ceux utilisés en infogérance PME et TPE, remonte automatiquement la version d’Office de chaque machine et signale celles qui sont en retard.
Et si j’utilise Outlook sur le web ou le nouvel Outlook ?
Les sources consultées ne listent comme affectés que les éditions d’Office installées sur le poste (Microsoft 365 Apps, LTSC 2021 et 2024). Ne vous arrêtez pas là pour autant : si un seul collaborateur garde Outlook classique, le risque existe pour toute l’entreprise, puisque son hachage peut servir à attaquer le réseau.
Que faire maintenant pour corriger la faille Outlook ?
Il faut appliquer la mise à jour de sécurité d’Office de novembre 2026 sur tous les postes, redémarrer Outlook, puis contrôler le numéro de build obtenu.
- Recenser les postes équipés d’Outlook classique, y compris les portables des commerciaux et les postes de direction, souvent oubliés.
- Lancer la mise à jour : dans Outlook, Fichier, Compte Office, Options de mise à jour, Mettre à jour maintenant. Sur un parc géré, déclenchez le déploiement depuis votre console (Intune, WSUS ou outil de patch management).
- Fermer et rouvrir toutes les applications Office pour que le correctif s’applique réellement.
- Vérifier le build obtenu sur chaque poste et le comparer aux versions corrigées (16.0.14334.21048 pour LTSC 2021, 16.0.17932.21140 pour LTSC 2024).
- Prévenir les équipes : ne pas ouvrir de pièce jointe de type message (.msg, .eml) reçue d’un expéditeur inattendu, même si elle semble interne.
- Durcir le réseau en parallèle : bloquer le trafic SMB sortant vers Internet (port TCP 445) sur le pare-feu et activer la signature SMB sur les serveurs.
- Documenter la date de correction et les postes traités, pour votre registre de sécurité et vos obligations de conformité.
Les sources consultées ne mentionnent pas de contournement officiel propre à Outlook : la mise à jour reste la seule vraie protection. Le blocage du port 445 sortant est une mesure de défense en profondeur, utile contre toute la famille des fuites NTLM.
Quelle est la chronologie de cette faille ?
Microsoft a publié le correctif le 10 novembre 2026, la CISA a inscrit la faille au catalogue KEV le même jour et le CERT-FR a publié ses avis Microsoft le 12 novembre.
- Avant le 10 novembre 2026 : exploitation détectée par Microsoft, sans détail public sur les attaquants, les victimes ou l’ampleur de la campagne.
- 10 novembre 2026 : Patch Tuesday de novembre ; correctif publié pour CVE-2026-124194, seule faille zero-day exploitée du mois selon Tenable, SecurityWeek et Rapid7.
- 10 novembre 2026 : ajout au catalogue KEV de la CISA, avec cinq autres failles (Barracuda, Google Chrome, Cisco BroadWorks, Openwave) ; échéance au 24 novembre pour Outlook.
- 11 et 12 novembre 2026 : articles de Cybersecurity News et SecurityOnline confirmant l’exploitation active.
- 12 novembre 2026 : le CERT-FR, centre gouvernemental de veille et de réponse aux attaques rattaché à l’ANSSI, publie plusieurs avis Microsoft, dont CERTFR-2026-AVI-1511 pour Office et CERTFR-2026-AVI-1513 pour Windows.
Quelles autres failles corriger cette semaine ?
La même semaine, une faille de Google Chrome (CVE-2026-125350) est elle aussi exploitée et doit être corrigée en priorité sur tous les postes.
Il s’agit d’une faille de type « use-after-free » dans le composant XML de Chrome, notée 8,8 sur 10. Google a reconnu qu’un exploit circule. Le CERT-FR l’a signalée dans son avis CERTFR-2026-AVI-1488 du 10 novembre 2026. Les versions corrigées sont 157.0.8103.50 sous Windows et Linux et 157.0.8103.51 sous macOS. Il faut redémarrer le navigateur pour que la mise à jour s’applique.
Le Patch Tuesday de novembre corrige aussi des failles critiques dans Windows, Exchange et SharePoint. SecurityWeek indique par ailleurs que Windows 11 23H2 en éditions Entreprise et Éducation reçoit ce mois-ci sa dernière mise à jour mensuelle. Si vous avez encore des postes dans cette version, planifiez leur passage à une version supportée, comme nous l’expliquions pour Windows 10 sans mises à jour.
Quelle leçon de patch management pour une PME ?
La leçon principale : le score CVSS ne suffit pas à prioriser, une faille « modérée » mais exploitée doit passer avant une faille critique théorique.
Le patch management désigne l’ensemble du processus d’inventaire, de test, de déploiement et de vérification des correctifs de sécurité. Dans une PME, il se résume souvent à « Windows se met à jour tout seul ». Or Office, Chrome, les NAS, le pare-feu ou les logiciels métier suivent chacun leur propre rythme.
Une règle simple permet de trier : toute faille présente au catalogue KEV de la CISA ou faisant l’objet d’une alerte du CERT-FR se corrige sous 7 jours, sans attendre le cycle mensuel. Les autres failles critiques suivent le cycle normal, idéalement sous 30 jours. Pour structurer cette démarche, consultez notre article sur l’importance des mises à jour de sécurité et notre page dédiée au patch management PME.
Erreurs à éviter
- Se fier au score CVSS de 6,5 et reporter la mise à jour au mois prochain, alors que la faille est déjà exploitée.
- Croire que Windows Update suffit : Office se met à jour par son propre mécanisme, qui peut être désactivé ou bloqué sur un canal ancien.
- Oublier les portables qui sortent rarement du sac et ne se mettent jamais à jour au bureau.
- Laisser le port 445 ouvert en sortie sur le pare-feu, ce qui permet au hachage NTLM de quitter le réseau.
- Ne pas vérifier le build après la mise à jour : un poste peut afficher « à jour » en restant sur un ancien canal.
L’avis de l’expert
J’ai piloté le patch management de parcs de plusieurs dizaines de milliers de postes chez de grands comptes. La règle qui y fonctionne s’applique très bien à une PME de dix personnes : on ne trie pas les correctifs par gravité théorique, mais par exploitation réelle. Une faille inscrite au catalogue KEV passe devant tout le reste, même avec un score de 6,5.
Ma méthode tient en trois anneaux de déploiement. Le premier jour, je mets à jour deux ou trois postes « pilotes », dont le mien. Si rien ne casse en 24 heures, je déploie sur le reste du parc. Au bout de 72 heures, je contrôle le build poste par poste et je relance les retardataires. Pour une faille Outlook comme celle-ci, tout le parc doit être corrigé en moins d’une semaine.
Dernier conseil de terrain : profitez de cette alerte pour bloquer le SMB sortant sur votre box ou votre pare-feu. C’est une règle de cinq minutes qui neutralise d’avance toute une famille d’attaques visant les hachages NTLM, y compris celles qui ne sont pas encore découvertes.
Et pour les PME du 92 ?
Les PME des Hauts-de-Seine, de La Garenne-Colombes à Nanterre, Courbevoie, Colombes, Puteaux, Rueil-Malmaison ou Boulogne-Billancourt, utilisent massivement Microsoft 365. Beaucoup n’ont pas de service informatique interne et découvrent ce type d’alerte trop tard.
SOSPC82 intervient sur place 24 h/24 et 7 j/7 dans tout le 92, et à distance partout en France. Nous pouvons vérifier la version d’Office de chaque poste, déployer le correctif, bloquer le SMB sortant et former vos équipes aux pièces jointes suspectes grâce à notre sensibilisation au phishing. Si vous soupçonnez qu’un fichier piégé a déjà été ouvert, notre service de réponse à incident cyber prend le relais. Pour aller plus loin sur Outlook et Microsoft 365, lisez aussi notre guide sur la double authentification Microsoft 365 et notre accompagnement Microsoft 365 et Google Workspace.
Questions fréquentes
La faille Outlook CVE-2026-124194 est-elle dangereuse si son score n’est que de 6,5 ?
Oui, car elle est déjà exploitée par des attaquants. Le score CVSS mesure la gravité technique, pas le risque réel. Une faille exploitée et présente au catalogue KEV de la CISA doit être corrigée en priorité, quel que soit son score.
Faut-il cliquer sur un lien pour être piraté ?
Non, il suffit d’ouvrir un fichier de message spécialement conçu. Le simple affichage dans le volet de lecture n’est pas un vecteur d’attaque selon Microsoft. L’ouverture du fichier déclenche une connexion vers un serveur pirate et l’envoi du hachage NTLMv2.
Comment vérifier ma version d’Outlook ?
Dans Outlook, ouvrez Fichier puis Compte Office et lisez le numéro de build. Pour Office LTSC 2021, il doit être au moins 16.0.14334.21048, et pour Office LTSC 2024 au moins 16.0.17932.21140. Pour Microsoft 365 Apps, le build attendu dépend de votre canal de mise à jour.
Mon mot de passe a-t-il été volé si j’ai ouvert un fichier suspect ?
Pas forcément en clair, mais son empreinte a pu être transmise. Par précaution, changez le mot de passe du compte concerné, activez la double authentification et faites vérifier les connexions récentes. En cas de doute, contactez un prestataire de réponse à incident.
Windows Update corrige-t-il automatiquement Outlook ?
Pas toujours. Microsoft 365 Apps et Office LTSC se mettent à jour par leur propre service, qui peut être désactivé ou bloqué. Vérifiez toujours le numéro de build après la mise à jour.
Que dit le CERT-FR sur cette faille ?
Le CERT-FR a publié le 12 novembre 2026 ses avis sur les correctifs Microsoft de novembre, dont l’avis CERTFR-2026-AVI-1511 consacré à Microsoft Office. La mesure à retenir reste l’application des mises à jour de sécurité Office publiées par Microsoft le 10 novembre.
En résumé
- CVE-2026-124194 permet de voler le hachage NTLMv2 d’un utilisateur Outlook via un fichier piégé ; elle est exploitée et inscrite au catalogue KEV depuis le 10 novembre 2026.
- Mettez à jour Office sur tous les postes cette semaine et contrôlez le build (16.0.14334.21048 pour LTSC 2021, 16.0.17932.21140 pour LTSC 2024).
- Bloquez le SMB sortant, corrigez aussi Chrome (CVE-2026-125350) et priorisez les failles exploitées plutôt que les scores CVSS.
Besoin d’aide pour corriger vos postes rapidement ? Découvrez notre service de gestion des correctifs pour les PME, avec devis gratuit sous 24 h, ou appelez-nous au 07 69 36 92 60.
K.A, fondateur SOSPC82
Sources
- Exploited Outlook Zero-Day Among 1,094 Flaws Patched by Microsoft, SecurityWeek, 10 novembre 2026
- Microsoft’s November 2026 Patch Tuesday addresses 1093 CVEs (CVE-2026-124194), Tenable, 10 novembre 2026
- Patch Tuesday – November 2026, Rapid7, 10 novembre 2026
- CISA Adds Six Exploited Flaws in Outlook, Chrome, Barracuda, Cisco and Openwave to KEV Catalog, SecurityOnline, 11 novembre 2026
- CISA Confirms Active Exploitation of Outlook User Interaction 0-Day Vulnerability, Cybersecurity News, 12 novembre 2026
- CERTFR-2026-AVI-1511 : Multiples vulnérabilités dans Microsoft Office, CERT-FR (ANSSI), 12 novembre 2026
- CERTFR-2026-AVI-1488 : Multiples vulnérabilités dans Google Chrome, CERT-FR (ANSSI), 10 novembre 2026
- Chrome : l’ANSSI alerte sur une faille déjà exploitée, Armees.com, 11 novembre 2026