# CVE-2026-124194 — Microsoft Office Outlook : absence d’avertissement pour action non sécurisée

- Link: https://dpioch.aristeecampus.org/veille/veille-v2-14488ad637189a6a1181cbad/
- Published: 2026-11-11T22:24:43+01:00
- Author: Admin

![Logo Microsoft](https://dpioch.aristeecampus.org/wp-content/uploads/2026/10/microsoft-
57b61617f3f3.png)

Threat Intel · Alerte de sécurité

## L'alerte

CVE-2026-124194 — Microsoft Office Outlook

Microsoft Outlook dans plusieurs éditions (Microsoft 365 Apps for Enterprise, Office
LTSC 2024 et 2021) souffre d'une absence d'avertissement utilisateur avant actions
potentiellement dangereuses. Un attaquant non authentifié peut envoyer un fichier
de message spécialement conçu et inciter l'utilisateur à l'ouvrir, causant une connexion
à un emplacement réseau contrôlé sans affichage d'avertissement habituel, divulguant
potentiellement des informations d'authentification.

 Éditeur Microsoft

 Produit Microsoft Office Outlook

 Publication 10/11/2026

 Priorité Critique — exploitation connue

 * Exploitation connue — CISA KEV

## La faille

L'interface utilisateur de Microsoft Outlook ne prévient pas l'utilisateur des actions
potentiellement dangereuses, permettant à un attaquant de contourner les avertissements
de contenu externe.

## Ce qu'elle permet à un attaquant

 * Un attaquant envoie un fichier de message spécialement conçu ; en l'ouvrant, 
   Outlook se connecte à un emplacement réseau contrôlé par l'attaquant sans afficher
   l'avertissement habituel de contenu externe, divulguant potentiellement l'authentification
   de l'utilisateur.
 * Cette vulnérabilité divulgue le hash NTLMv2 de l'utilisateur à l'attaquant, qui
   peut l'utiliser pour s'authentifier en tant que cet utilisateur.

**0 j**entre la publication et l’inscription au KEV

**24/11/2026**échéance CISA (agences fédérales américaines)

## Qui est concerné

Microsoft 365 Apps for Enterprise 32-bit et 64-bit, version corrigée à partir de
16.0.1.

Microsoft Office LTSC 2024 32-bit et 64-bit, version corrigée 16.0.17932.21140.

Microsoft Office LTSC 2021 32-bit et 64-bit, version corrigée 16.0.14334.21048.

## État de l'exploitation

La vulnérabilité est inscrite au catalogue CISA des vulnérabilités connues depuis
le 10 novembre 2026.

## Chronologie

 1. 10/11/2026Publication de la vulnérabilité
 2. 10/11/2026Ajout au catalogue CISA KEV
 3. 24/11/2026Échéance fixée par la CISA aux agences fédérales américaines

## Que faire

 1. Appliquer les mises à jour de sécurité Microsoft en suivant le guide du fournisseur
    à l'adresse aka.ms/OfficeSecurityReleases.

Termes utiles

  CWE-356 Absence d'avertissement utilisateur pour les actions potentiellement dangereuses:
l'interface du produit ne signale pas à l'utilisateur les actions susceptibles de
créer un risque de sécurité. NTLMv2 Protocole d'authentification Windows qui utilise
une réponse basée sur un défi-réponse. Le hash NTLMv2 peut être capturé et utilisé
pour se faire passer pour l'utilisateur sur un même domaine.

## Sources

![Sceau de la CISA](https://dpioch.aristeecampus.org/wp-content/uploads/2026/10/
cisa-5a454c90bac7.png)

Présence et version locales non établies : vérifier l'inventaire avant de conclure
à une exposition.

 * [Catalogue CISA KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-124194)
 * [Enregistrement CVE officiel (Microsoft MSRC)](https://api.msrc.microsoft.com/sug/v2.0/en-US/vulnerability?%24filter=cveNumber+eq+%27CVE-2026-124194%27&%24count=true&%24top=2&%24skip=0)