Microsoft vient de corriger une faille d’Outlook déjà exploitée dans des attaques. Le point inquiétant ne se limite pas à un faux expéditeur affiché dans un courriel : un fichier de message spécialement préparé peut pousser Outlook à contacter un serveur contrôlé par un attaquant et exposer des éléments d’authentification Windows.
La vulnérabilité porte la référence CVE-2026-124194. Elle touche notamment Microsoft 365 Apps for Enterprise ainsi que les éditions Office LTSC 2021 et 2024 qui n’ont pas reçu les versions corrigées. La priorité est donc très simple : mettre Office à jour, même si Windows semble déjà à jour.
Une pièce jointe Outlook suffit à créer le danger
Le bulletin relayé par JPCERT/CC décrit un scénario précis. Lorsqu’un utilisateur ouvre un fichier de message spécialement conçu, Outlook peut établir une connexion vers un serveur hostile sans afficher l’avertissement de sécurité habituel. Cette connexion risque alors de divulguer des informations d’authentification.
Il ne s’agit pas d’un attaquant qui lit directement votre mot de passe en clair. Le danger vient plutôt d’un élément dérivé de l’authentification Windows, souvent décrit comme un hash NTLMv2. Selon l’environnement et les protections en place, cette donnée peut servir à tenter de retrouver un mot de passe faible ou à rejouer une authentification contre un autre service.
Microsoft classe la faille avec un score CVSS de 6,5, donc au niveau moyen. Ce chiffre ne doit pourtant pas rassurer à lui seul. La vulnérabilité figure déjà parmi les failles exploitées, ce qui signifie que le risque n’est plus seulement théorique.
Windows Update ne raconte pas toujours toute l’histoire
Le correctif fait partie des mises à jour de sécurité Microsoft de novembre. Sur un PC personnel équipé de Microsoft 365, Office se met généralement à jour automatiquement. Il reste utile de lancer une vérification manuelle : ouvrez une application Office, allez dans Fichier, Compte, puis Options de mise à jour et Mettre à jour.
Sur un ordinateur professionnel, la version peut dépendre du service informatique et d’un canal de déploiement différé. Ne forcez pas l’installation d’un paquet trouvé sur un site tiers. Demandez plutôt si les correctifs Office du 10 novembre 2026 ont bien été déployés.
Profitez-en aussi pour lancer Windows Update. La mise à jour cumulative KB5132061 concerne Windows 11 24H2, 25H2 et 26H2, mais le correctif Outlook reste lié à Office. Un PC qui affiche « vous êtes à jour » dans Windows ne prouve donc pas automatiquement que toutes les applications Office le sont.
Les fichiers .msg méritent une vraie prudence
Un fichier .msg contient un message Outlook enregistré. Il peut circuler comme une pièce jointe, dans une archive ZIP, sur un partage réseau ou dans un dossier synchronisé. Les entreprises l’utilisent parfois pour transmettre un courriel complet avec ses métadonnées, ce qui lui donne une apparence parfaitement ordinaire.
Jusqu’à la confirmation de la mise à jour, évitez d’ouvrir un fichier de message inattendu, même s’il semble venir d’un collègue. Passez par le courriel original dans la boîte de réception ou demandez une confirmation par un autre canal.
Cette prudence rejoint les conseils valables contre les voleurs de données comme PureLogs. Les deux menaces ne fonctionnent pas de la même manière, mais elles cherchent toutes deux à transformer une action banale en accès à des données sensibles.
Une mise à jour reste plus efficace qu’une chasse aux symptômes
La faille ne provoque pas forcément de fenêtre étrange, de ralentissement ou d’alerte visible. Chercher un signe après coup ne remplace donc pas l’installation du correctif. Vérifiez la version d’Office, appliquez les mises à jour disponibles et redémarrez les applications ouvertes.
Si un fichier suspect a déjà été ouvert sur un poste professionnel, prévenez rapidement l’équipe de sécurité. Elle pourra examiner les connexions réseau, les journaux d’authentification et les tentatives inhabituelles. Changer le mot de passe peut faire partie de la réponse, mais ce geste doit suivre l’analyse de l’incident, surtout dans un domaine Windows.
La bonne nouvelle reste concrète : Microsoft a publié un correctif. Le mauvais réflexe serait de l’ignorer parce que le score n’affiche pas « critique ». Une faille moyenne déjà utilisée dans la nature mérite davantage d’attention qu’une faille spectaculaire encore purement théorique.