Microsoft confirme une panne d'Outlook alors que la CISA ajoute une vulnérabilité exploitée à son catalogue

Microsoft a confirmé jeudi que les utilisateurs rencontraient des difficultés à accéder aux boîtes aux lettres Exchange Online par plusieurs méthodes de connexion, signalant initialement des perturbations dans les Amériques. L'entreprise a ensuite reconnu que les problèmes pouvaient affecter la connectivité des services Microsoft 365 dans n'importe quelle région.

Selon le service de surveillance des pannes DownDetector, plus de 130 000 utilisateurs ont signalé des problèmes d'accès à Outlook vers 13 h 15, heure de l'Est. Des problèmes moins répandus ont également été signalés avec Microsoft Copilot, Teams, OneDrive et le Microsoft Store.

Microsoft a déclaré qu'il travaillait à rétablir le service en redirigeant le trafic loin de l'infrastructure affectée, en suspendant les déploiements et en redémarrant les serveurs. Vers 16 h, heure de l'Est, l'entreprise a fait état de progrès dans la restauration des serveurs affectés et a indiqué que des mesures de récupération supplémentaires étaient en cours de mise en œuvre.

La vulnérabilité signalée

L'Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA) a confirmé l'exploitation active d'une vulnérabilité zero-day de Microsoft Outlook identifiée comme CVE-2026-124194. La CISA a ajouté cette faille à son catalogue des vulnérabilités connues exploitées le 10 novembre 2026, fixant une date limite de remédiation au 24 novembre.

Selon l'avis de sécurité de Microsoft, un attaquant peut envoyer un fichier de message spécialement conçu et persuader une victime de l'ouvrir dans Outlook. L'application peut alors se connecter à un emplacement réseau contrôlé par l'attaquant sans afficher son avertissement habituel concernant le contenu externe. Cette connexion peut divulguer le hachage NTLMv2 de la victime, des données d'authentification qu'un attaquant pourrait utiliser pour usurper l'identité de l'utilisateur.

Microsoft classe ce problème comme de l'usurpation d'identité plutôt que comme une exécution de code à distance. Son évaluation identifie un impact élevé sur la confidentialité, mais aucun impact direct sur l'intégrité des données ou la disponibilité du service. La faiblesse relève de la CWE-356, qui couvre les logiciels qui ne parviennent pas à obtenir l'approbation appropriée de l'utilisateur avant une action potentiellement dangereuse.

Microsoft a publié des mises à jour de sécurité pour cette faille. Les versions corrigées incluent la 16.0.14334.21048 pour Office LTSC 2021 et la 16.0.17932.21140 pour Office LTSC 2024. Les clients de Microsoft 365 Apps doivent consulter les informations de publication de sécurité Office applicables plutôt que de supposer que les numéros de build LTSC s'appliquent à leur canal de mise à jour.

Lien avec la panne

La panne coïncide avec les rapports sur la vulnérabilité de sécurité de Microsoft Outlook, mais aucun lien confirmé n'existe entre la vulnérabilité signalée et la panne généralisée du service. Ni Microsoft ni la CISA n'ont identifié une cyberattaque comme cause de la perturbation de jeudi.

Microsoft n'a pas fourni de calendrier confirmé pour le rétablissement complet des services Outlook affectés.

---

Sources (en anglais)

• moosejawtoday.com: Microsoft confirms Outlook outage across the Americas, potentially the globe, amid U.S. Cyber Security Agency's discovery of Outlook vulnerability - MooseJawToday.com
• play1037.ca: Microsoft confirms Outlook outage across the Americas and potentially the globe amid U.S. Cyber Security Agency’s discovery of Outlook vulnerability | play 103.7 | Harvard Media
• cyberpress.org: CISA Confirms Active Exploitation of Microsoft Outlook Zero-Day Vulnerability
• cybersecuritynews.com: CISA Confirms Active Exploitation of Outlook User Interaction 0-Day Vulnerability

Traduction réalisée par IA de l’article original en anglais, vérifiée automatiquement pour dire la même chose que l’original. Les sources ont été vérifiées en anglais.