Un zero-day Microsoft Office exploité par un APT russe en moins de vingt-quatre heures cible la fintech

26 janvier 2026, Microsoft publie un correctif d’urgence hors cycle pour CVE-2026-21509, une faille de contournement de sécurité dans Office. 27 janvier 2026, le groupe APT28 — lié au renseignement militaire russe — lance la campagne Operation Neusploit en exploitant cette même vulnérabilité via des documents Office piégés. 9 février 2026, l’Acronis Threat Research Unit confirme que les campagnes ciblées se poursuivent malgré le patch, avec des victimes dans le secteur fintech.

C’est un changement d’échelle. Le délai entre la publication d’un correctif et son exploitation active — historiquement mesuré en semaines — vient de tomber sous les vingt-quatre heures. Et ce n’est pas une anomalie.

Ce que fait CVE-2026-21509

CVE-2026-21509 est une faille de contournement de sécurité (security feature bypass) dans le moteur OLE (Object Linking and Embedding) de Microsoft Office. Classée CVSS 7.8 (High) par Microsoft, elle permet à un attaquant d’exécuter du code arbitraire via un document Office malveillant, sans déclencher le moindre avertissement de sécurité.

La mécanique est précise. Office maintient une liste de composants COM dangereux — des « kill bits » — qu’il refuse de charger dans un document. CVE-2026-21509 contourne cette vérification. En pratique, un document Word, Excel ou PowerPoint piégé peut forcer Office à instancier Shell.Explorer.1 (le contrôle navigateur Internet Explorer embarqué), qui à son tour charge une page ou un script distant et exécute du code malveillant. Aucune alerte macro. Aucune bannière « Activer le contenu ». L’utilisateur ouvre le fichier, et l’attaquant prend pied.

Toutes les versions d’Office sont concernées : Office 2016, Office 2019, Office LTSC 2021, Office LTSC 2024 et Microsoft 365 Apps. Les versions 2016 et 2019 ont atteint leur fin de support le 14 octobre 2025 ; Microsoft a publié des correctifs à titre discrétionnaire. La CISA a immédiatement inscrit la faille au catalogue KEV (Known Exploited Vulnerabilities), avec une échéance de correction au 16 février 2026.

Vingt-quatre heures, pas vingt-quatre jours

Le 27 janvier 2026, soit le lendemain de la publication du correctif, Zscaler ThreatLabz détecte une campagne d’exploitation active. Le groupe à l’origine de l’attaque est APT28, également connu sous les noms Fancy Bear, UAC-0001, Strontium ou Sofacy — une unité de cyber-espionnage rattachée au GRU, le renseignement militaire russe.

La campagne, baptisée Operation Neusploit, utilise des fichiers RTF piégés envoyés par phishing ciblé. Une fois le document ouvert, la charge utile déploie le framework Covenant — une plateforme de command and control open source — pour prendre le contrôle de la machine compromise. Le tout sans macro, sans interaction au-delà de l’ouverture du fichier.

Trois détails aggravent le tableau.

Premièrement, la vitesse. Le délai de vingt-quatre heures entre divulgation et exploitation ne signifie pas qu’APT28 a improvisé un exploit en une journée. Cela signifie qu’ils attendaient, qu’ils avaient déjà identifié la faille — peut-être en rétro-concevant des mises à jour antérieures, ou via d’autres canaux — et que le correctif a servi de signal de départ. C’est une course que l’attaquant gagne presque à chaque fois.

Deuxièmement, le vecteur. Le phishing par document Office reste le premier vecteur d’intrusion dans les campagnes de cyber-espionnage. CVE-2026-21509 retire le dernier obstacle : même un utilisateur formé à ne pas activer les macros n’a aucune chance de détecter l’attaque. Le simple fait d’ouvrir le fichier suffit.

Troisièmement, la persistance. Le 9 février 2026, soit deux semaines après le patch d’urgence, l’Acronis TRU signale que l’exploitation se poursuit. Des organisations non patchées continuent d’être compromises. Le correctif existe, mais le rythme de déploiement dans les grandes organisations — surtout celles qui gèrent des parcs hétérogènes avec des versions d’Office en fin de vie — reste trop lent.

Pourquoi la fintech est dans le viseur

Les cibles initiales d’Operation Neusploit étaient principalement gouvernementales : agences ukrainiennes, institutions de l’Union européenne, organisations militaires et de transport en Pologne, Slovénie, Turquie, Grèce et aux Émirats arabes unis. Mais l’Acronis TRU, dans son bulletin du 9 février 2026, place cette exploitation dans un contexte plus large : le secteur fintech est explicitement mentionné comme cible, aux côtés d’un incident distinct — la fuite de données de Betterment exposant 1,4 million de comptes.

Ce n’est pas une coïncidence. Les APT russes ciblent la fintech pour trois raisons.

La première est l’accès aux infrastructures financières. Un accès initial dans une fintech peut servir de tremplin vers des banques partenaires, des processeurs de paiement ou des chambres de compensation. Le secteur est interconnecté par nature.

La deuxième est la donnée. Les fintechs détiennent des informations bancaires, des historiques de transaction, des données d’identité vérifiées — exactement le type de renseignement que des acteurs étatiques cherchent à collecter pour du profiling ou des opérations de contournement de sanctions.

La troisième est la surface d’attaque. Les fintechs sont jeunes, elles privilégient la vélocité produit sur la maturité sécurité, et leurs collaborateurs ouvrent des documents Office toute la journée : contrats, propositions commerciales, rapports réglementaires. Un document piégé qui arrive dans une chaîne d’e-mails légitime passe inaperçu.

Le patch ne suffit plus

Le correctif pour CVE-2026-21509 est disponible pour toutes les versions affectées. Les organisations sous Microsoft 365 Apps et Office LTSC 2024/2021 sont protégées automatiquement par une mise à jour côté service ; un simple redémarrage des applications Office applique le correctif. Pour les versions plus anciennes, des mises à jour manuelles sont nécessaires.

Mais appliquer un patch dans les vingt-quatre heures, sur un parc de plusieurs milliers de postes, avec des applications métier qui imposent des versions spécifiques d’Office, relève du vœu pieux. La réalité opérationnelle est que le patch arrive en jours, pas en heures — et la fenêtre d’exploitation est désormais plus courte que la fenêtre de déploiement.

C’est là que les mesures complémentaires deviennent critiques.

Les règles ASR (Attack Surface Reduction) de Microsoft Defender bloquent la création de processus enfants par les applications Office et empêchent les applications Office de lancer du contenu exécutable. Activées en mode bloc, elles neutralisent une grande partie de la chaîne d’attaque, même en l’absence de correctif.

Le mode Protected View, activé par défaut dans Office, ouvre les documents provenant d’Internet en bac à sable. CVE-2026-21509 ne contourne pas Protected View : le document doit être ouvert en mode édition pour que l’exploit fonctionne. Former les utilisateurs à ne pas cliquer sur « Activer la modification » sans vérification préalable offre une couche de défense supplémentaire.

Le kill bit pour le composant Shell.Explorer.1 — accessible via une clé de registre — bloque l’instanciation du contrôle COM vulnérable. C’est une mesure temporaire valable pour les organisations qui ne peuvent pas patcher immédiatement, mais elle doit être testée : certaines applications métier légitimes utilisent ce même contrôle.

Enfin, le MFA — ou mieux, l’authentification FIDO2 résistante au phishing — reste le dernier rempart. L’exploitation de CVE-2026-21509 donne à l’attaquant un accès initial sur un poste de travail. Si l’authentification vers les services cloud ou les VPN n’est pas protégée, cet accès initial devient un accès au réseau entier.

Verdict

Si vous gérez un parc Microsoft 365 Apps avec les mises à jour automatiques activées et les règles ASR configurées en mode bloc, CVE-2026-21509 est un incident maîtrisé : appliquez le correctif, vérifiez les journaux, passez à autre chose.

Si vous gérez un parc hétérogène avec des versions d’Office 2016 ou 2019, vous avez un problème. Ces versions sont en fin de vie depuis octobre 2025, le correctif est discrétionnaire, et la prochaine faille zero-day arrivera plus vite que votre prochain cycle de migration. Le coût de maintien de ces versions dépasse désormais le coût de migration vers Microsoft 365 Apps : calculez le risque financier d’une compromission — rançon, interruption d’activité, notification régulateur — et comparez-le au budget de mise à niveau. Le résultat dicte votre décision.

Si vous êtes une fintech ou une entreprise du secteur financier, ajoutez une règle à votre playbook de réponse à incident : dès qu’un zero-day Office est annoncé, activez les règles ASR en mode bloc, désactivez le composant Shell.Explorer.1 par registre, et communiquez à tous les collaborateurs l’instruction de ne pas ouvrir de documents externes sans vérification. Le prochain CVE-2026-XXXXX arrivera dans quelques semaines. La fenêtre de réaction sera la même : moins de vingt-quatre heures.

Références

• Microsoft Security Response Center — CVE-2026-21509
• Acronis TRU — MSP Cybersecurity News Digest, February 9, 2026
• The Hacker News — Microsoft Issues Emergency Patch for Actively Exploited Office Zero-Day
• The Hacker News — APT28 Uses Microsoft Office CVE-2026-21509 in Espionage-Focused Malware Attacks
• Orca Security — CVE-2026-21509: Microsoft Office Zero-Day Active Exploit
• CISA — Known Exploited Vulnerabilities Catalog
• Trellix — APT28 Stealthy Campaign Leveraging CVE-2026-21509
• Zscaler ThreatLabz — Operation Neusploit