Faille Zero-Day Outlook Exploitée Parmi 1 094 Failles Corrigées par Microsoft

Selon SecurityWeek, la faille zéro-day, enregistrée sous le numéro CVE-2026-124194, a été classée comme une faille d'usurpation d'identité et provient du fait qu'Outlook n'alerte pas les utilisateurs avant qu'une action potentiellement dangereuse ne se produise.[1] Le média indique que Microsoft lui a attribué une évaluation de sévérité « modérée » et un score CVSS de 6,5.[1]Microsoft avertit que « un attaquant non authentifié pourrait envoyer un fichier message spécialement conçu et convaincre un utilisateur de l'ouvrir »,[2] rapporte BleepingComputer. BleepingComputer ajoute que la faille a été activement exploitée dans des attaques pour voler les hachages de comptes NTLM.[2]The Register rapporte que Microsoft n'a pas indiqué quand les attaques ont commencé, qui exploite cette faille et ce qu'ils font avec l'accès[3].Splashtop affirme que la correction ne fait pas partie de la mise à jour cumulative Windows (KB5132061), de sorte que les organisations qui déploient uniquement des mises à jour Windows restent exposées jusqu'à ce que la mise à jour Office soit installée.[4] Selon Splashtop, la CISA a ajouté CVE-2026-124194 à son catalogue des vulnérabilités exploitées connues le 10 novembre 2026, avec une date limite de correction au 24 novembre[4].The Register rapporte deux menaces zero-click dans ce mois-ci lot de corrections : CVE-2026-116928 et CVE-2026-119958.[3] BleepingComputer évalue le nombre à 1 235 failles record[2], tandis que SecurityWeek affirme que la version de novembre est plus petite que celle d'octobre, quand Microsoft a corrigé un record de 1 413 vulnérabilités.[1]SecurityWeek rapporte également que les mises à jour de ce mois-ci sont également les dernières pour les éditions Enterprise et Education de Windows 11 version 23H2.[1]