CVE-2026-124194 — Microsoft Office Outlook : absence d’avertissement pour action non sécurisée
Threat Intel · Alerte de sécurité
L'alerte
CVE-2026-124194 — Microsoft Office Outlook
Microsoft Outlook dans plusieurs éditions (Microsoft 365 Apps for Enterprise, Office LTSC 2024 et 2021) souffre d'une absence d'avertissement utilisateur avant actions potentiellement dangereuses. Un attaquant non authentifié peut envoyer un fichier de message spécialement conçu et inciter l'utilisateur à l'ouvrir, causant une connexion à un emplacement réseau contrôlé sans affichage d'avertissement habituel, divulguant potentiellement des informations d'authentification.
- Éditeur
- Microsoft
- Produit
- Microsoft Office Outlook
- Publication
- 10/11/2026
- Priorité
- Critique — exploitation connue
- Exploitation connue — CISA KEV
La faille
L'interface utilisateur de Microsoft Outlook ne prévient pas l'utilisateur des actions potentiellement dangereuses, permettant à un attaquant de contourner les avertissements de contenu externe.
Ce qu'elle permet à un attaquant
- Un attaquant envoie un fichier de message spécialement conçu ; en l'ouvrant, Outlook se connecte à un emplacement réseau contrôlé par l'attaquant sans afficher l'avertissement habituel de contenu externe, divulguant potentiellement l'authentification de l'utilisateur.
- Cette vulnérabilité divulgue le hash NTLMv2 de l'utilisateur à l'attaquant, qui peut l'utiliser pour s'authentifier en tant que cet utilisateur.
Qui est concerné
Microsoft 365 Apps for Enterprise 32-bit et 64-bit, version corrigée à partir de 16.0.1.
Microsoft Office LTSC 2024 32-bit et 64-bit, version corrigée 16.0.17932.21140.
Microsoft Office LTSC 2021 32-bit et 64-bit, version corrigée 16.0.14334.21048.
État de l'exploitation
La vulnérabilité est inscrite au catalogue CISA des vulnérabilités connues depuis le 10 novembre 2026.
Chronologie
- Publication de la vulnérabilité
- Ajout au catalogue CISA KEV
- Échéance fixée par la CISA aux agences fédérales américaines
Que faire
- Appliquer les mises à jour de sécurité Microsoft en suivant le guide du fournisseur à l'adresse aka.ms/OfficeSecurityReleases.
Termes utiles
- CWE-356
- Absence d'avertissement utilisateur pour les actions potentiellement dangereuses : l'interface du produit ne signale pas à l'utilisateur les actions susceptibles de créer un risque de sécurité.
- NTLMv2
- Protocole d'authentification Windows qui utilise une réponse basée sur un défi-réponse. Le hash NTLMv2 peut être capturé et utilisé pour se faire passer pour l'utilisateur sur un même domaine.