Osegi
Sécurité·2 min de lecture

Faille Outlook CVE-2026-124194 : exploitée avant le correctif

Un fichier de message piégé pouvait connecter Outlook à un serveur pirate sans avertissement et faire fuiter des identifiants Windows. Microsoft a corrigé la faille.

A laptop showing the Outlook email client with a red security warning shield overlaid on the screen.
Image: ギズモード・ジャパン
SUMO Dialo ediviewer giftdetect

Ouvrir un fichier de message piégé dans Outlook pouvait suffire à envoyer discrètement des données d'authentification Windows à un serveur pirate, sans l'avertissement habituel. Microsoft a corrigé cette faille d'usurpation d'identité, référencée CVE-2026-124194. Elle était déjà exploitée avant la publication du correctif.

Le correctif figure dans la mise à jour de sécurité de novembre, publiée le 10 novembre (heure américaine). Selon l'alerte du JPCERT/CC japonais, Outlook se connecte alors à un serveur contrôlé par l'attaquant sans le message d'alerte normal. Ce qui fuit, ce sont les informations qu'utilise Windows pour l'authentification réseau, et qui permettent parfois de se faire passer pour la victime.

Il ne s'agit pas du courriel usurpé classique, où l'adresse de l'expéditeur est falsifiée. Tout se passe dans l'ordinateur du destinataire.

Quelles versions d'Outlook sont concernées ?

Les versions non corrigées d'Outlook classique pour Windows incluses dans Microsoft 365 Apps for Enterprise, Office LTSC 2021 et Office LTSC 2024.

Comment se protéger de la faille CVE-2026-124194 ?

Installez les dernières mises à jour de sécurité d'Office, Outlook compris, via Windows Update ou Microsoft Update. Dans Outlook classique, on peut parfois passer par Fichier, Compte Office, Options de mise à jour, Mettre à jour maintenant. L'IPA japonaise craint une extension des dégâts et demande une application rapide. Si votre poste est géré par l'entreprise, suivez les consignes du service informatique.

Pourquoi autant de correctifs ?

La mise à jour de novembre corrige 1 093 failles (par numéro CVE), dont 63 jugées critiques. En novembre 2021, il y en avait 55, et Tenable en a compté 1 130 pour toute l'année 2025.

Le NCSC britannique a indiqué en mai 2026 que l'IA accélère la découverte de failles et appelé à se préparer à des vagues de correctifs. Le délai entre publication d'une faille et exploitation se compte déjà en jours et devrait encore raccourcir. Le défenseur doit boucher tous les trous, l'attaquant n'en a besoin que d'un.

Des apps à découvrir

SUMO : le puzzle de nombres

Touche les bonnes cases, additionne, atteins l'objectif. Facile à apprendre, difficile à maîtriser. Gratuit, pour tous les âges.

Mots-clés:outlookmicrosoftcve-2026-124194vulnerabilitywindowssecurity update

Plus d'actus de ce jour

Tout voir →

Plus dans: Sécurité

Tout voir →