CVE-2026-124194 : l’usurpation d’identité Outlook est exploitée — mise à jour et vérification de la version d’Office

Microsoft a publié des mises à jour de sécurité pour CVE-2026-124194 le 10 novembre 2026. La vulnérabilité dans Microsoft Office Outlook permet à un attaquant non authentifié d’effectuer une usurpation d’identité via le réseau lorsqu’une interaction utilisateur a lieu. Microsoft 365 Apps for Enterprise ainsi que Microsoft Office LTSC 2021 et 2024 sont concernés. NVD attribue à la faille un score CVSS 3.1 de 6.5 (moyen) ; Microsoft indique que son exploitation a été détectée, et CISA l’a ajoutée au catalogue KEV le 10 novembre 2026. Des mises à jour sont disponibles.

L’essentiel en bref

Versions concernées et mises à jour

Pour Microsoft 365 Apps for Enterprise, Microsoft répertorie notamment les builds suivants le 10 novembre 2026 : Current Channel 20527.20196, Monthly Enterprise Channel 20527.20194, 20430.20264 et 20326.20320 ainsi que Semi-Annual Enterprise Channel 20527.20192, 20430.20262 et 20326.20318. Le numéro de build applicable à un appareil dépend de son canal de mise à jour. Les notes de publication de sécurité Office associent CVE-2026-124194 à Outlook.

Ce que l’on sait de l’exploitation

Microsoft répertorie CVE-2026-124194 dans les mises à jour de sécurité du 10 novembre 2026 comme un cas d’exploitation détectée. CISA considère la vulnérabilité comme activement exploitée et l’a ajoutée au catalogue KEV le même jour. Les entrées consultées de Microsoft, NVD et CISA ne contiennent aucune information sur les attaquants, les organisations ciblées, les campagnes d’attaque ou le déroulement technique de l’exploitation.

CISA indique « Unknown » pour son utilisation dans des campagnes de ransomware. CISA n’exige pas de triage forensique conformément à BOD 26-04 pour cette entrée KEV.

Mesures immédiates

1. Recenser les versions d’Office : Pour Microsoft 365 Apps for Enterprise, déterminez le canal de mise à jour et le numéro de build installé. Pour Office LTSC 2021 et 2024, comparez la version aux builds corrigés du tableau.

2. Installer les mises à jour de sécurité : Mettez Microsoft 365 Apps for Enterprise au niveau de sécurité du 10 novembre 2026. Mettez à jour Office LTSC 2021 au minimum vers le build 14334.21048 et Office LTSC 2024 au minimum vers le build 17932.21140.

3. Documenter l’état des mises à jour : Pour chaque appareil, consignez le produit, l’architecture, le canal de mise à jour, le numéro de build existant et la date de mise à jour. Cela permet de suivre l’état des installations Office concernées.

4. Traiter les installations non actualisables : CISA exige des agences fédérales américaines qu’elles appliquent les mesures du fournisseur avant le 24 novembre 2026 ou cessent l’utilisation si aucune mesure n’est disponible. Pour toutes les organisations, cela justifie de remplacer rapidement ou de mettre hors service les installations Office non actualisables.

Les sources consultées des fournisseurs et des autorités ne mentionnent ni solution de contournement technique, ni modification de configuration, ni restriction d’une interface de gestion Outlook. La mesure à prendre contre cette vulnérabilité est donc de mettre à jour l’installation Office concernée.

Vérification d’une compromission

Dans les sources consultées, Microsoft, NVD et CISA ne publient pour CVE-2026-124194 aucun indicateur de compromission, nom de fichier, adresse IP ou signature de journal. Il n’est donc pas possible de prescrire une recherche d’IOC fondée sur les sources au 11 novembre 2026.

Vérifiez néanmoins l’état des mises à jour de toutes les installations Office concernées et conservez les journaux de sécurité des endpoints et de messagerie existants conformément à votre règle de conservation. Les sources disponibles ne décrivent ni porte dérobée ni étapes de nettoyage après une exploitation réussie. Une mise à jour corrige la vulnérabilité, mais ne prouve pas qu’une opération donnée a déjà été détournée.

Mise en contexte

Sont concernés les organisations et les particuliers qui utilisent Outlook dans Microsoft 365 Apps for Enterprise ou Office LTSC 2021 ou 2024. Selon le vecteur CVSS, la vulnérabilité nécessite une interaction utilisateur, mais ne requiert aucune autorisation et peut être exploitée via le réseau. Son ajout au catalogue CISA KEV montre que l’exploitation est connue et que la mise à jour est prioritaire.