Faille Outlook zero-day CVE-2026-124194 : ouvrir un seul fichier peut livrer l’identifiant de vos employés
Mardi 10 novembre 2026, Microsoft a publié sa mise à jour mensuelle (le « Patch Tuesday ») : plus de 1 000 failles corrigées d’un coup. Une seule était déjà exploitée par des pirates, et elle touche l’outil que vos employés ouvrent en premier chaque matin : Outlook.
Cette faille Outlook zero-day, suivie sous le numéro CVE-2026-124194, n’a reçu qu’une note de 6,5 sur 10. Ne vous fiez pas au chiffre. Selon Microsoft, il suffit qu’un employé ouvre un fichier de message piégé pour qu’Outlook se connecte, sans l’avertissement habituel, à un serveur contrôlé par l’attaquant et lui envoie une empreinte de son identifiant Windows (le « hachage NTLMv2 »). Avec cette empreinte, le pirate peut se faire passer pour l’employé. La CISA, l’agence américaine de cybersécurité, l’a ajoutée le jour même à sa liste des failles activement exploitées.
Faille Outlook zero-day : le message piégé, annoté
Microsoft n’a publié ni le contenu des messages utilisés ni le nom des attaquants. Voici donc un exemple fictif, construit à partir de la description officielle, pour montrer à votre équipe à quoi ressemble ce genre de piège :
Ce qu’il faut remarquer
- 1Un prétexte banal et crédible : une numérisation, une soumission, un nom de client plausible.
- 2Le piège n’est pas un lien, mais un fichier de message joint. Selon Microsoft, c’est son ouverture qui déclenche la connexion vers le pirate; le simple volet de lecture (aperçu) ne suffit pas.
- 3L’urgence pousse à ouvrir sans réfléchir. Une heure de délai ne change rien pour un vrai client.
Une fois le fichier ouvert, rien de visible ne se passe à l’écran. C’est justement le problème : l’avertissement qu’Outlook affiche normalement avant de charger du contenu externe n’apparaît pas. Pendant ce temps, l’empreinte d’identifiant part vers le serveur de l’attaquant.
Ce que le pirate peut faire avec cette empreinte
Le hachage NTLMv2 n’est pas votre mot de passe en clair, mais il peut servir de deux façons, expliquent Microsoft et les chercheurs de Rapid7 :
🔁
Le relais en direct
Le pirate « rejoue » l’empreinte immédiatement pour se connecter, au nom de l’employé, à un autre service du réseau (partage de fichiers, serveur interne) qui accepte encore NTLM sans protection supplémentaire.
🔨
Le cassage hors ligne
Il tente de retrouver le mot de passe à partir de l’empreinte, sur ses propres ordinateurs. Un mot de passe court ou courant tombe vite; une longue phrase de passe résiste beaucoup mieux.
🏢
La suite
Avec un compte valide, il peut lire des fichiers, envoyer des courriels au nom de l’employé ou préparer une attaque plus grave, comme un rançongiciel.
Le risque est plus élevé si votre entreprise a encore un serveur Windows local, un partage de fichiers ou un domaine Active Directory. Une PME 100 % Microsoft 365 avec l’authentification multifacteur est moins exposée au relais, mais le mot de passe peut quand même être cassé hors ligne s’il est faible. Dans tous les cas, la mise à jour reste la vraie solution.
Votre Outlook est-il protégé? Le test en 4 questions
🧭 Suivez les questions dans l’ordre
Les dates à retenir
Au-delà de la mise à jour : réduire l’effet de la prochaine faille du même genre
Ce type de faille, qui fait « fuir » une empreinte NTLM vers Internet, revient régulièrement. Quelques réglages réduisent l’impact de la prochaine :
À faire avec votre responsable TI
- ☐ Bloquer le trafic SMB sortant (port TCP 445) vers Internet au pare-feu : vos postes n’ont aucune raison de se connecter à un partage de fichiers externe.
- ☐ Activer la signature SMB et LDAP sur vos serveurs, ce qui empêche une grande partie des attaques par relais, comme le rappelle Rapid7.
- ☐ Allonger les mots de passe : une phrase de passe de 16 caractères ou plus rend le cassage hors ligne beaucoup plus long.
- ☐ Rappeler la règle à l’équipe : on n’ouvre pas un fichier de message reçu sans l’avoir demandé; on appelle l’expéditeur à un numéro connu.
- ☐ Surveiller les connexions inhabituelles : un compte qui se connecte à des heures ou depuis des endroits anormaux doit déclencher une vérification.
Si vous avez déjà eu un vol de compte, rappelez-vous aussi que changer le mot de passe ne suffit pas toujours : lisez notre article sur le vol de session Microsoft 365. Et pour reconnaître les pièges les plus récents, voyez comment fonctionnait l’hameçonnage « comité IA » de TA419.
Questions fréquentes
Q1. Une note de 6,5 sur 10, c’est grave?
Oui, dans ce cas-ci. La note mesure la faille isolée, pas ce que le pirate peut faire ensuite. Microsoft la classe comme exploitée, et une empreinte d’identifiant ouvre souvent la porte à une attaque plus large.
Q2. Le volet de lecture est-il dangereux?
Non, selon Microsoft, l’aperçu dans le volet de lecture ne déclenche pas la faille. Il faut ouvrir le fichier piégé. D’où l’importance du réflexe « je n’ouvre pas ce que je n’attendais pas ».
Q3. Sait-on qui exploite la faille?
Non. Microsoft n’a donné aucun détail sur les attaques ni sur les cibles, et n’a pas publié d’indicateurs de compromission. Ces détails pourraient sortir dans les prochains jours.
Q4. Est-ce que l’antivirus suffit?
Il aide, mais il ne remplace pas le correctif. La mise à jour d’Office ferme la faille elle-même, peu importe le message reçu.
Comment NeoTech peut vous aider
Pour nos clients en services TI gérés, les correctifs Office et Windows de novembre sont déployés et vérifiés poste par poste, avec une surveillance automatisée 24/7 avec intervention du technicien de garde en cas de connexion suspecte. Nous révisons aussi vos réglages Microsoft 365 et de pare-feu pour limiter les fuites d’identifiants.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous vérifions avec vous si vos postes ont reçu le correctif d’Outlook, si le trafic SMB sortant est bloqué et où se trouvent vos points faibles.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- SecurityWeek — Exploited Outlook Zero-Day Among 1,094 Flaws Patched by Microsoft (10 nov. 2026) (en anglais)
- BleepingComputer — Microsoft November 2026 Patch Tuesday fixes 1,235 flaws, Outlook zero-day (en anglais)
- SecurityOnline — Outlook Zero-Day CVE-2026-124194 Exploited in the Wild (versions corrigées, ajout au catalogue KEV de la CISA) (en anglais)
- Rapid7 — Patch Tuesday, November 2026 (en anglais)
- The Register — November Patch Tuesday boasts over 1,000 bugs but only one zero-day so far (en anglais)
Photo : Mikhail Nilov, Pexels (licence Pexels).
One thought on “Faille Outlook zero-day CVE-2026-124194 : ouvrir un seul fichier peut livrer l’identifiant de vos employés”