CVE-2026-124194: Vulnérabilité Microsoft Office Outlook Manque d'interaction utilisateur pour action potentiellement dangereuse

L'avis de sécurité de Microsoft indique que la faille, CVE-2026-124194, permet à un attaquant non authentifié d'envoyer un fichier de message spécialement conçu et de convaincre un utilisateur de l'ouvrir dans une version affectée de Microsoft Outlook.[2]Microsoft affirme que l'ouverture du fichier pourrait faire en sorte qu'Outlook se connecte à un emplacement réseau contrôlé par un attaquant sans afficher l'avertissement habituel de contenu externe[2], ce qui pourrait exposer les données de connexion permettant à l'attaquant d'usurper l'identité de l'utilisateur. Microsoft affirme également que le volet Aperçu n'est pas un vecteur d'attaque.[2]SOC Prime rapporte que la faille peut exposer les données d'authentification NTLMv2 et permettre le vol d'identifiants et l'usurpation de compte[3]. Il rapporte également que Microsoft la classe comme Modérée avec un score CVSS 3.1 de 6,5.[3]Selon SOC Prime, le bogue affecte Microsoft 365 Apps for Enterprise, Microsoft Office LTSC 2021 et Microsoft Office LTSC 2024.[3]Shattered.io rapporte que la version a corrigé 1 094 CVE le 10 novembre[4], et que c'était le seul zero-day exploité dans la version.[4] Shattered.io note également que Microsoft n'a pas indiqué qui attaque Outlook, quand les attaques ont commencé ou leur ampleur[4]. Jack Bicer d'Action1, cité sur DEV Community, a déclaré : "L'email est la porte la plus facile pour accéder à n'importe quelle entreprise, et cette faille transforme un fichier ouvert en identité volée."[5]Selon WindowsForum, Splashtop rapporte que le correctif est fourni dans les mises à jour de sécurité Microsoft 365 Apps et Office LTSC 2021 et 2024 et non dans la mise à jour cumulative de Windows[4].