Microsoft corrige une vulnérabilité zero-day d'Outlook activement exploitée qui expose les hachages NTLM

Microsoft a corrigé la CVE-2026-124194, une vulnérabilité zero-day activement exploitée dans Microsoft Outlook qui peut exposer les informations d'authentification NTLMv2 d'un utilisateur lorsqu'un fichier de message spécialement conçu est ouvert. Microsoft classe cette question comme une vulnérabilité de spoofing et lui attribue une gravité modérée avec un score CVSS 3.1 de 6,5.

La vulnérabilité

La vulnérabilité permet à un attaquant distant non authentifié d'envoyer un fichier de message malveillant et de convaincre une victime de l'ouvrir dans une version d'Outlook concernée. Outlook peut alors se connecter à un emplacement réseau contrôlé par l'attaquant sans afficher l'avertissement sur le contenu externe que les utilisateurs s'attendent normalement à voir. Lors de cette connexion, Windows peut exposer des informations d'authentification NTLMv2 qui pourraient potentiellement être abusées pour usurper l'identité de la victime.

Microsoft a confirmé que la CVE-2026-124194 a déjà été exploitée dans des attaques. Cependant, l'entreprise n'a pas divulgué les acteurs de la menace impliqués, l'ampleur de la campagne, les organisations victimes, l'infrastructure de livraison ou si les informations d'authentification volées ont été utilisées pour un mouvement latéral ultérieur ou une compromission de compte.

L'anomalie a été corrigée dans le cadre de la mise à jour de sécurité du « Patch Tuesday » de novembre 2026 de Microsoft, publiée le 10 novembre. Les produits concernés incluent Microsoft 365 Apps for Enterprise, Microsoft Office LTSC 2021 et Microsoft Office LTSC 2024 sur les systèmes 32 bits et x64.

La CISA a ajouté la vulnérabilité à son catalogue des vulnérabilités activement exploitées le 10 novembre, confirmant des preuves d'exploitation active et établissant le 24 novembre 2026 comme la date limite de remédiation pour les agences fédérales américaines concernées.

Versions concernées et correctifs

L'enregistrement CVE identifie les versions concernées et corrigées suivantes :

Les installations 32 bits et x64 sont concernées. Les organisations utilisant Microsoft 365 Apps doivent s'appuyer sur les informations des versions de sécurité d'Office de Microsoft, car les numéros de build diffèrent selon les canaux de maintenance.

Microsoft crédite un chercheur utilisant le pseudonyme « nono » et le chercheur en sécurité Benoît Sevens pour avoir découvert ou signalé le problème. SecurityWeek note que la reconnaissance de Microsoft pour Sevens fait référence à l'utilisation du modèle IA Claude d'Anthropic lors de la recherche. Les sources disponibles ne fournissent pas la date exacte à laquelle la vulnérabilité a été découverte en privé ou signalée initialement à Microsoft.

Atténuation

La principale remédiation consiste à installer immédiatement les mises à jour de sécurité d'Office de Microsoft pour novembre 2026. Les installations d'Office LTSC 2021 doivent être mises à jour vers le build 16.0.14334.21048 ou une version ultérieure, tandis que les installations d'Office LTSC 2024 doivent exécuter le 16.0.17932.21140 ou une version ultérieure. Les utilisateurs de Microsoft 365 Apps for Enterprise doivent vérifier que leur canal de maintenance a reçu la version de sécurité actuelle correspondante.

Étant donné que l'exploitation est déjà en cours, les organisations doivent vérifier le déploiement réussi plutôt que de supposer que les mises à jour automatiques d'Office ont atteint tous les appareils.

Les administrateurs doivent prendre les mesures suivantes :

• Inventorier les installations de Microsoft Outlook sur les terminaux gérés.
• Identifier les systèmes Microsoft 365 Apps, Office LTSC 2021 et Office LTSC 2024 qui n'ont pas reçu la mise à jour de sécurité de novembre.
• Déployer les builds corrigés immédiatement et vérifier l'installation.
• Examiner les terminaux qui sont restés vulnérables pendant que l'exploitation était active.
• Bloquer le trafic SMB sortant inutile vers Internet.
• Auditer l'authentification NTLM sortante et réduire l'utilisation de NTLM chaque fois que cela est opérationnellement possible.
• Enquêter sur les activités inhabituelles d'Outlook vers le réseau et les tentatives d'authentification inattendues.
• Former les utilisateurs à ne pas ouvrir les fichiers de message Outlook non sollicités ou les pièces jointes provenant de sources non fiables.

Le blocage du SMB sortant sur le port TCP 445 fournit une couche de protection supplémentaire importante. Microsoft recommande explicitement d'empêcher le trafic SMB de quitter le réseau d'entreprise, sauf s'il existe une exigence opérationnelle spécifique pour les services SMB hébergés sur Internet.

Les organisations devraient également envisager de restreindre NTLM. Windows fournit la stratégie « Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers », qui peut d'abord être configurée en mode audit pour identifier les dépendances avant que les administrateurs ne commencent à bloquer l'authentification.

La désactivation brutale de NTLM dans toute une entreprise peut interrompre les applications et les flux de travail hérités. Les organisations doivent donc auditer l'utilisation, identifier les dépendances légitimes, mettre en œuvre les exceptions requises et passer progressivement à l'authentification via Kerberos ou d'autres mécanismes plus robustes.

Si une exploitation suspecte est identifiée, l'installation de la mise à jour seule ne suffit pas à clore l'incident. Les équipes de sécurité doivent identifier l'identité concernée et examiner l'activité d'authentification survenue après l'ouverture du fichier de message suspecté. Recherchez des connexions SMB inhabituelles, des connexions à distance, un mouvement latéral, l'accès aux partages de fichiers, l'authentification VPN, les connexions cloud et d'autres services qui acceptent les informations d'identification concernées.

Lorsque des preuves suggèrent que les informations d'authentification ont été exposées ou abusées avec succès, réinitialisez le mot de passe pertinent et révoquez les sessions actives conformément aux procédures de réponse aux identités de l'organisation. Les informations d'identification supplémentaires privilégiées accessibles au compte concerné doivent également être examinées.

Les journaux des terminaux, des proxies, des pare-feu, des e-mails, des EDR et des identités doivent être conservés avant la remédiation lorsqu'une compromission est suspectée. La corrélation de ces sources peut aider à reconstituer la séquence allant de la livraison du phishing à la divulgation NTLM et à l'authentification ultérieure possible.

Pourquoi c'est important

La CISA a ajouté la vulnérabilité au KEV le 10 novembre et exige que les agences fédérales concernées la remédient d'ici le 24 novembre 2026. La CISA indique que l'utilisation connue dans les campagnes de rançongiciels est inconnue. Microsoft n'a pas publié d'IOCs spécifiques à la campagne pour la CVE-2026-124194, tels que des adresses IP malveillantes, des domaines, des hachages de pièces jointes, des adresses d'expéditeur ou des noms de fichiers associés aux attaques observées. L'identité des attaquants et leur ciblage restent non divulgués. Cela signifie que les organisations doivent actuellement prioriser la chasse basée sur le comportement plutôt que la correspondance d'IOCs statiques.

Sources (en anglais)

• socprime.com: CVE-2026-124194: Outlook Zero-Day Exposes NTLM Hashes
• techrepublic.com: Microsoft Patches 1,235 Security Flaws: Outlook Zero-Day Already Under Attack
• gbhackers.com: Microsoft Outlook Zero-Day Vulnerability Actively Exploited to Steal NTLM Authentication Hashes
• cyberpress.org: Hackers Exploit Microsoft Outlook Zero-Day to Steal NTLM Credentials in Active Attacks

Traduction réalisée par IA de l’article original en anglais, vérifiée automatiquement pour dire la même chose que l’original. Les sources ont été vérifiées en anglais.