Microsoft confirme l'exploitation active d'une nouvelle vulnérabilité zéro-jour dans Outlook

BleepingComputer rapporte que le Patch Tuesday de novembre 2026 de Microsoft a corrigé un nombre record de 1 235 failles, dont une vulnérabilité zéro-jour Microsoft Outlook activement exploitée.[2] TechRepublic note que l'analyse de Tenable a dénombré 1 093 CVE Microsoft.[3]Selon BleepingComputer, la faille est identifiée comme CVE-2026-124194 et a été activement exploitée dans des attaques pour voler les hachages de comptes NTLM.[2] Microsoft a averti que l'ouverture d'un fichier conçu à cet effet "pourrait amener Outlook à se connecter à un emplacement réseau contrôlé par un attaquant sans afficher l'avertissement habituel concernant le contenu externe."[2]Forbes rapporte que la faille affecte les Applications Microsoft 365 pour Entreprise et Office LTSC 2021 et 2024[1]. Jack Bicer d'Action1 a déclaré à Forbes que "cette faille transforme un fichier ouvert en identité volée."[1]TechRepublic, citant SecurityWeek, rapporte que Microsoft a attribué à la faille une évaluation de gravité modérée et un score CVSS de 6,5.[3] TechRepublic ajoute que la simple réception d'un email malveillant ne déclenche pas la vulnérabilité.[3]SOC Prime rapporte que la CISA a ajouté la vulnérabilité à son catalogue de vulnérabilités exploitées connues le 10 novembre[4] et a fixé le 24 novembre comme date limite de correction pour les agences fédérales américaines applicables. SecurityOnline rapporte que Microsoft n'a pas déclaré qui était derrière les attaques ni combien de cibles ont été atteintes.[5]Forbes rapporte que Tyler Reguly de Fortra a déclaré "tout le monde devrait s'efforcer de mettre à jour Outlook dès que possible."[1]