Microsoft corrige 1 093 failles en novembre et une zero-day Outlook qui vole le hash NTLM

10 novembre 2026. Microsoft publie son Patch Tuesday de novembre : 1 093 failles corrigées, dont 63 critiques. 10 novembre 2026. Une seule zero-day activement exploitée : CVE-2026-124194, une usurpation dans Microsoft Outlook qui dérobe le hash NTLMv2 de l’utilisateur. 10 novembre 2026. Le volume recule d’environ 22 % par rapport au record d’octobre (1 411 failles) — et reste colossal. Pourquoi c’est important : la faille la plus dangereuse du mois n’est pas la plus notée — elle est notée « modérée », à CVSS 6,5.

La zero-day Outlook, et ce qu’elle révèle du tri

CVE-2026-124194 est une faille de spoofing (usurpation) dans Outlook, notée CVSS 6,5 — donc « modérée », bien loin des 9,8 qui font la une. Sa faiblesse (CWE-356) est un défaut d’avertissement sur les actions non sûres : en l’absence du garde-fou, un attaquant non authentifié envoie un fichier de message piégé ; dès que la victime l’ouvre dans Outlook, le client se connecte à un emplacement contrôlé par l’attaquant sans afficher l’avertissement habituel de contenu externe, et lui divulgue le hash NTLMv2.

Ce hash n’est pas le mot de passe, mais il s’en approche : il se relaie vers un serveur légitime pour se faire passer pour la victime, ou se casse hors ligne si la politique de mots de passe est faible. C’est un primitif d’attaque ancien et toujours rentable. Le volet de lecture n’est pas un vecteur — l’ouverture du fichier est requise — ce qui limite l’exposition aux utilisateurs qui cliquent, mais ne la supprime pas : un fichier .msg piégé est exactement le genre de pièce jointe qu’un phishing sait faire ouvrir.

Les produits touchés sont Office LTSC 2021, Office LTSC 2024 et Microsoft 365 Apps for Enterprise — en 32 et 64 bits. Microsoft confirme des attaques, sans en révéler l’ampleur ni les victimes. Deux autres failles Outlook à exécution de code, CVE-2026-124227 et CVE-2026-124228, sont notées « importantes » mais ne sont pas marquées comme exploitées.

Le volume de novembre en chiffres

Le lot se décompose ainsi : 535 élévations de privilèges, 296 exécutions de code à distance, 156 divulgations d’informations, 46 dénis de service, 27 contournements de fonctionnalité de sécurité, 22 usurpations et 11 altérations. La répartition des 63 failles critiques est tout aussi parlante : 48 sont des RCE, 15 des élévations de privilèges.

Comparé au mois précédent, le recul est réel mais relatif. Octobre 2026 avait établi un record de 1 411 failles ; novembre en livre 1 093. Personne ne doit y lire un retour à la normale : avant l’ère des correctifs dopés à l’IA, un Patch Tuesday « lourd » plafonnait autour de 120 à 150 failles. Le flux reste un ordre de grandeur au-dessus de ce que des équipes calibrées pour un rythme mensuel savent absorber.

Les critiques qui regardent vers l’extérieur

Sous le total, la carte des critiques dessine la surface à corriger en priorité. Excel concentre 12 failles critiques à lui seul, Word quatre et PowerPoint une — la suite Office reste le chemin d’entrée privilégié par l’utilisateur. Outlook reçoit trois RCE critiques non exploitées : CVE-2026-111309, CVE-2026-110068 et CVE-2026-110043.

Côté infrastructure, les services qui écoutent sur le réseau concentrent le danger. Hyper-V cumule huit élévations de privilèges critiques — critiques pour tout hébergeur de cloud ou de VM. Le gestionnaire de file de messages (MSMQ) porte cinq RCE critiques sur son cœur et son Queue Manager. Le lot corrige aussi des failles critiques dans le transport SMB (CVE-2026-113825), TCP/IP (CVE-2026-113859), Exchange Server (CVE-2026-118207) et LDAP (CVE-2026-119958), ainsi que dans Schannel, CredSSP, IIS, le spouleur d’impression, Active Directory Domain Services et le runtime RPC.

Les services cloud ne sont pas épargnés : Azure OpenAI (CVE-2026-119990) et Azure Managed Grafana (CVE-2026-114160) reçoivent chacun une élévation de privilèges critique, et Microsoft Defender une RCE critique (CVE-2026-122194) — un rappel que l’outil de défense lui-même a une surface d’attaque.

Ce que la zero-day « modérée » enseigne au RSSI

Le fait le plus instructif du mois est ce décalage entre la sévérité affichée et la sévérité réelle. La seule faille exploitée du lot est notée « modérée » à CVSS 6,5. Les failles les plus spectaculaires sur le papier — les RCE à 9,8 — ne sont, elles, pas exploitées en l’état.

Ce n’est pas un accident de notation : c’est la limite structurelle du CVSS, qui mesure la pire conséquence théorique, pas la probabilité d’exploitation. Un vol de hash NTLMv2 a une conséquence « modérée » en soi — il faut encore le relayer ou le casser — mais il est déjà en train d’être exploité, tandis qu’une RCE réseau « critique » attend peut-être encore son auteur. Le signal qui prime pour le tri est donc « exploité dans la nature », pas le score.

Le second enseignement tient à la cible. Le vol de hash NTLM est un retour aux fondamentaux : il vise l’identité, pas l’exécution de code. Dans un monde où l’authentification est devenue le vrai périmètre — Entra ID, SSO, passkeys — une faille qui compromet un hash d’authentification vaut souvent plus qu’une faille qui compromet un process local. C’est la même logique que les failles AD DS ou Exchange des mois précédents : ce qui touche l’identité ou la messagerie se paie en contrôle du domaine, pas en simple plantage.

Du hash volé au contrôle du domaine : la chaîne complète

Le vol de hash NTLMv2 n’est que le premier maillon. La chaîne complète est connue des défenseurs : relais du hash vers un service SMB ou HTTP qui accepte l’authentification, ou cassage hors ligne quand la politique de mots de passe est faible. Chaque maillon a sa parade : signature SMB obligatoire, protection étendue pour l’authentification (EPA), désactivation de NTLM au profit de Kerberos, comptes protégés pour les hauts privilèges. Mais ces parades se déploient à l’échelle d’un parc, pas d’un poste.

La leçon pour un RSSI est double. D’abord, la zero-day du mois n’a pas besoin d’un 9,8 pour être dangereuse : un 6,5 qui vole un hash d’authentification, exploité aujourd’hui, vaut un correctif ce soir. Ensuite, la surface NTLM est un legs : chaque service qui l’accepte encore est une cible que le correctif d’Outlook ne fermera pas. Corriger la faille est nécessaire ; réduire NTLM est le chantier qui rend la faille suivante inoffensive.

Verdict

Si vous exploitez Outlook en entreprise, déployez ce soir le correctif de CVE-2026-124194 sur Office LTSC 2021/2024 et Microsoft 365 Apps for Enterprise — c’est la seule faille activement exploitée du lot, et elle ne demande qu’un clic sur un fichier piégé pour dérober un hash d’authentification. Si vous hébergez des machines virtuelles ou du cloud, placez les huit élévations de privilèges Hyper-V et les cinq RCE MSMQ dans la même fenêtre, avec SMB, TCP/IP, Exchange et LDAP : ce sont les critiques qui regardent vers l’extérieur. Et si vous triez par CVSS uniquement, changez de réflexe dès maintenant — le score ne prédit pas l’exploitation ; classez par statut d’exploitation d’abord, par exposition réseau ensuite, et laissez le 9,8 théorique là où il doit rester : un indicateur parmi d’autres, pas un ordre de priorité.

Références

• Cyber Security News — Microsoft November 2026 Patch Tuesday Fixes 1,093 Vulnerabilities Including Outlook Zero-Day, 10 novembre 2026
• Tenable — November 2026 Microsoft Patch Tuesday, 10 novembre 2026
• Microsoft Security Response Center — CVE-2026-124194
• BleepingComputer — Microsoft October 2026 Patch Tuesday fixes 1,411 flaws, 3 zero-days, 13 octobre 2026