Patch Tuesday de novembre 2026 : un zero-day d'Outlook qui divulgue des identifiants et plus de mille failles corrigées

Publié le 11 novembre 2026 · L'équipe mitza.es

Le 10 novembre 2026, Microsoft a publié son bulletin de sécurité mensuel. Après le record de plus de 1 400 failles en octobre, ce mois-ci il repasse au-dessus du millier, avec un détail qui compte pour tout bureau qui utilise la messagerie : le seul zero-day exploité touche Outlook. Nous résumons ce que l'on sait au 11 novembre 2026, recoupé avec BleepingComputer, Krebs on Security, SecurityWeek et SANS ISC.

L'essentiel en cinq points

• Plus de mille vulnérabilités corrigées : entre 1 093 et 1 260 selon qui les compte (nous expliquons pourquoi plus bas).
• Un seul zero-day exploité : CVE-2026-124194, dans Outlook. C'est une usurpation qui expose le hash NTLMv2 de la personne qui ouvre un fichier de message piégé. Microsoft la qualifie de gravité modérée (CVSS 6,5).
• Entre 63 et 68 failles critiques selon le média. Selon BleepingComputer, 48 de ses 66 sont des exécutions de code à distance.
• Les mises à jour de Windows 10 (ESU) et de Windows 11 sont déjà disponibles.
• Aucune des sources que nous avons lues ne mentionne d'autres failles déjà exploitées ou rendues publiques avant le correctif.

Combien de failles : pourquoi les chiffres ne coïncident pas

Comme en octobre, chaque média donne un total différent. Voici ceux que nous avons vérifiés :

• BleepingComputer : 1 235, dont 142 failles de Microsoft Edge (basé sur Chromium). Son décompte n'inclut que ce qui a été publié le mardi même et exclut 108 failles corrigées plus tôt dans le mois.
• SANS ISC : 1 260, dont 68 critiques et 167 de Chromium qui touchent Edge.
• SecurityWeek : 1 094 : 726 dans Windows, 174 dans Office, 59 dans SQL Server, 53 dans les outils de développement, 27 dans SharePoint, 20 dans Azure et 9 dans Exchange.
• Krebs on Security : 1 093, dont 63 critiques.

L'écart semble tenir surtout à la façon de compter les failles d'Edge et celles corrigées avant le mardi. Seul BleepingComputer explique son critère ; les autres ne détaillent pas le leur, nous ne pouvons donc pas l'affirmer avec certitude. Pour une PME, la conclusion ne change pas : le volume est énorme, et ce qui compte, c'est de savoir quoi corriger en premier.

Le zero-day d'Outlook : CVE-2026-124194

Microsoft le décrit comme une vulnérabilité d'usurpation : Outlook n'avertit pas l'utilisateur avant une action potentiellement dangereuse. Si un attaquant parvient à faire ouvrir à quelqu'un un fichier de message piégé, Outlook se connecte à un emplacement réseau contrôlé par l'attaquant sans afficher l'avertissement habituel de contenu externe et lui remet le hash NTLMv2 de l'utilisateur. Microsoft confirme qu'elle est déjà exploitée, et SecurityWeek ajoute qu'elle n'avait pas été rendue publique avant l'existence du correctif.

Ce qu'est un hash NTLMv2 et pourquoi cela compte

NTLM est un protocole d'authentification de Windows. Quand votre ordinateur s'identifie auprès d'un autre, il n'envoie pas le mot de passe tel quel, mais une valeur calculée à partir de celui-ci : le hash. En termes généraux, celui qui obtient cette valeur peut essayer de retrouver le mot de passe en testant des combinaisons sur son propre ordinateur ou, dans certains environnements, la réutiliser pour s'identifier auprès d'autres services. Plus le mot de passe est long et unique, plus il est difficile à retrouver. Pour ce cas précis, les sources ne parlent que de la fuite du hash, pas de ce que fait ensuite l'attaquant.

Comment elle peut (et ne peut pas) être exploitée

• L'attaquant n'a pas besoin d'être authentifié : il suffit d'envoyer le fichier et de convaincre la personne de l'ouvrir.
• Il faut que l'utilisateur l'ouvre. Selon Microsoft, la faille ne se déclenche pas avec le seul volet de lecture d'Outlook.
• Elle exige une connectivité réseau et l'interaction de l'utilisateur, selon la description de Microsoft citée par BleepingComputer.

Qui est concerné

SecurityWeek cite Microsoft 365 Apps for Enterprise, Office LTSC 2021 et Office LTSC 2024 ; Krebs parle de Microsoft 365 Apps for Enterprise et d'éditions d'Office. Aucune source ne donne de numéros de build, le plus pratique est donc de vérifier qu'Office est à jour. Si vous utilisez Office 2021, il est judicieux de relire aussi notre avis sur la fin du support de Windows 11 24H2 et d'Office 2021. Les sources ne détaillent pas d'autres produits, et nous n'avons trouvé aucune mesure alternative au correctif.

Que faire face à cette faille

1. Mettez Office à jour. Dans Outlook : Fichier → Compte Office → Options de mise à jour → Mettre à jour maintenant. Sur les postes gérés, demandez à votre prestataire de confirmer la version.
2. Prévenez le personnel de ne pas ouvrir de fichiers de message ni de pièces jointes inattendus, même s'ils semblent venir d'un contact. C'est la même règle que pour les faux messages et les codes QR falsifiés.
3. Limitez les connexions sortantes du pare-feu. Bloquer le trafic SMB (port 445) vers internet est une bonne pratique générale ; les sources ne détaillent pas quel protocole cette attaque utilise, c'est donc une mesure de renfort et non un substitut au correctif. Vous trouverez les bases dans ce qu'est un pare-feu et ce dont une PME a besoin.
4. Utilisez des mots de passe longs et uniques et activez la vérification en deux étapes. Vous pouvez tester la robustesse d'un mot de passe avec notre vérificateur de mots de passe et en créer d'autres avec le générateur, qui fonctionnent dans votre navigateur.
5. Si vous soupçonnez que quelqu'un a ouvert un fichier suspect, changez son mot de passe et prévenez votre prestataire informatique.

Autres failles critiques à surveiller

Parmi les critiques citées par BleepingComputer et SANS ISC, voici celles qui peuvent le plus toucher un bureau :

• Serveurs d'identité et de messagerie : exécution de code à distance dans Active Directory Domain Services (CVE-2026-118146) et dans Exchange Server (CVE-2026-118207). Si vous avez un serveur en propre, c'est prioritaire.
• Office : trois failles d'exécution de code à distance dans Excel (CVE-2026-118292, CVE-2026-118296 et CVE-2026-118297) et une dans Microsoft Defender (CVE-2026-122194).
• Windows : CredSSP (CVE-2026-119962), Windows Deployment Services (CVE-2026-119951), polices graphiques (CVE-2026-119969), TCP/IP (CVE-2026-113859) et LDAP (CVE-2026-119958). SANS recommande de ne pas exposer ce dernier à internet.

Il y a d'autres failles critiques dans la liste complète de Microsoft ; nous n'avons pas pu toutes les recouper avec des sources indépendantes, nous ne retenons donc ici que celles qui figurent littéralement dans les notes de BleepingComputer et de SANS.

Windows 10 et Windows 11 : les mises à jour de novembre

Windows 10 (mises à jour de sécurité étendues, ESU)

La mise à jour KB5131096 inclut les correctifs du mois et corrige, entre autres, une erreur d'impression (code 87) lors de l'ajout d'imprimantes publiées dans Active Directory. Elle introduit un changement utile à connaître si vous utilisez des scripts : une validation plus stricte de l'encodage lors de la signature de scripts PowerShell, de sorte que ceux qui contiennent de l'UTF-8 non valide peuvent échouer à la validation de la signature. BleepingComputer indique que Microsoft ne liste aucun problème connu ouvert. Si vous êtes toujours sous Windows 10, consultez les options dont vous disposez dans Windows 10 ESU : que faire dans votre PME.

Windows 11

Les mises à jour KB5132061 et KB5131087 sont obligatoires car elles incluent les correctifs du mois. Selon BleepingComputer, Microsoft ne connaît pas de nouveaux incidents (des commentaires d'utilisateurs évoquent des échecs à l'installation, sans confirmation). Elles apportent des améliorations comme un menu contextuel de l'Explorateur de fichiers plus personnalisable et la réinstallation de WinRE depuis Windows Update. Deux avertissements : un avertissement est ajouté avant les opérations de protection des données avec invite (DPAPI), dont l'expérience avec invite sera retirée en avril 2027 ; et, selon SecurityWeek, c'est le dernier correctif mensuel pour les éditions Enterprise et Education de Windows 11 23H2.

Que faire cette semaine : checklist

1. D'abord, ce qui est exploité : mettez Office et Outlook à jour sur tous les postes (voir ci-dessus).
2. Serveurs : si vous avez Exchange Server ou des contrôleurs de domaine, planifiez dès maintenant leur mise à jour, avec une sauvegarde préalable.
3. Postes Windows : testez la mise à jour sur un ou deux postes et déployez-la sur les autres en un ou deux jours, sauf si un problème est détecté.
4. Vérifiez qu'elles ont bien été appliquées (version de Windows et d'Office) et notez la date et les postes.
5. S'il vous reste des postes non mis à jour, appliquez les consignes de notre guide pour lire un avis et fixer des délais de correction : une faille exploitée se traite en 24 à 48 heures.
6. Ayez des sauvegardes récentes et testées.

Questions rapides

Pourquoi cela compte-t-il si la faille est « modérée » ?

Le score mesure la gravité technique, pas le fait que quelqu'un l'attaque. Cette faille est déjà exploitée, et voler un hash d'identifiants peut être la première étape d'une attaque plus large. C'est pourquoi nous la traitons comme urgente.

Dois-je corriger les 1 000 failles ?

Les mises à jour mensuelles les incluent toutes. Ce qui détermine l'ordre, c'est ce qui est exploité, ce qui est exposé à internet et ce qui touche vos serveurs.

Et si mon entreprise utilise Microsoft 365 ?

Les applications Microsoft 365 se mettent à jour toutes seules, mais pas toujours instantanément. Vérifiez la version et forcez la mise à jour depuis Outlook si vous avez un doute.

Comment Mitza peut vous aider

Nous vérifions les versions de Windows et d'Office sur tous vos postes, nous appliquons d'abord ce qui est urgent et nous vous laissons une trace de ce qui a été fait. Découvrez notre service de maintenance informatique pour PME ou exposez-nous votre cas depuis la page de contact.

À lire aussi : le huitième zero-day de Chrome en 2026 et le Patch Tuesday de septembre.