La mise à jour de sécurité de Microsoft du 10 novembre 2026 a corrigé plus de 1 000 failles, dont une vulnérabilité d’Outlook que des attaquants avaient déjà exploitée pour exposer les données de connexion Windows des utilisateurs.
Tenable a recensé 1 093 vulnérabilités Microsoft dans cette mise à jour, dont 63 jugées critiques. Le décompte plus large de BleepingComputer atteint 1 235 en incluant les failles de Microsoft Edge, qui repose sur Chromium. Les totaux varient selon la façon dont les failles sont comptabilisées.
La vulnérabilité d’Outlook, répertoriée sous le numéro CVE-2026-124194, peut permettre à des attaquants de faire passer une fausse identité pour une identité fiable. Ils peuvent la déclencher en persuadant quelqu’un d’ouvrir un fichier spécialement conçu. Outlook peut alors se connecter à un emplacement contrôlé par un attaquant sans afficher son avertissement habituel.
Cela pourrait révéler le hachage d’authentification NTLMv2 de l’utilisateur, une forme codée de ses données de connexion. Les attaquants pourraient s’en servir lors de tentatives ultérieures pour usurper l’identité de l’utilisateur. Microsoft a jugé la faille modérée et lui a attribué une note de 6,5 sur l’échelle CVSS.
Mais, puisque Microsoft a confirmé que des attaquants l’avaient exploitée, l’installation du correctif est une priorité urgente. La mise à jour corrige également des failles critiques dans des produits et composants Microsoft qui pourraient permettre à des attaquants d’exécuter du code à distance. Elle corrige aussi des failles critiques qui pourraient permettre à des attaquants d’obtenir des niveaux d’accès plus élevés dans des produits et composants Microsoft.
Comme le correctif d’Outlook est fourni par l’intermédiaire des produits Office concernés, les utilisateurs devraient vérifier la disponibilité des mises à jour d’Office en plus des correctifs Windows. Les personnes qui utilisent des appareils gérés par leur entreprise devraient suivre les consignes de leur équipe informatique.