Ce qu’il faut retenir
Le 10 novembre 2026, Microsoft a publié ses mises à jour de sécurité mensuelles. Deux failles méritent une attention immédiate. CVE-2026-124194, dans Outlook, est déjà exploitée dans des attaques : elle peut faire fuiter le condensé NTLMv2 de l’utilisateur lorsqu’il ouvre un fichier piégé. CVE-2026-119958, dans le protocole LDAP de Windows, est notée critique (CVSS 9.8) : un attaquant sans identifiant pourrait exécuter du code via des appels LDAP spécialement conçus, avec un impact sur les contrôleurs de domaine. Microsoft ne signale pas d’exploitation de cette seconde faille à ce jour.
Qui est concerné ?
| Outlook (CVE-2026-124194) | Microsoft 365 Apps for Enterprise, Office LTSC 2021 et Office LTSC 2024, d’après IT-Connect (la liste exacte des produits est dans le guide de mises à jour Microsoft) |
| LDAP (CVE-2026-119958) | Windows et Windows Server concernés par le composant LDAP, dont les contrôleurs de domaine Active Directory (liste des versions dans le guide Microsoft) |
| Exposition Outlook | Il faut qu’un utilisateur ouvre un fichier malveillant reçu ; le volet de visualisation n’est pas un vecteur d’attaque, selon Microsoft |
| Exposition LDAP | Attaque à distance sans authentification ni action de l’utilisateur ; Microsoft estime l’exploitation « moins probable » |
| Source | Guide des mises à jour de sécurité Microsoft |
Quel est le risque concret ?
Pour la faille Outlook : un collaborateur qui ouvre un fichier reçu par e-mail peut, sans le voir, transmettre à un attaquant un condensé de son mot de passe Windows. Ce n’est pas le mot de passe lui-même, mais il peut être cassé hors ligne ou réutilisé pour usurper l’utilisateur. Pour la faille LDAP : un contrôleur de domaine compromis donne potentiellement accès à tout le réseau de l’entreprise. Même si Microsoft juge son exploitation moins probable, une faille de ce niveau doit être corrigée rapidement.
Priorité de traitement
Justification : une faille Outlook déjà exploitée et une faille critique sur les contrôleurs de domaine ; les correctifs sont disponibles, aucune exploitation de la faille LDAP n’est signalée à ce jour.
Que faut-il faire ?
- Installer les mises à jour de novembre 2026 sur les postes et les serveurs, après sauvegarde.
- Commencer par les postes équipés d’Outlook et d’Office (faille exploitée), puis par les contrôleurs de domaine et serveurs Windows (faille LDAP critique).
- Rappeler aux collaborateurs de ne pas ouvrir de fichiers ou de messages inattendus, même d’un expéditeur connu.
- S’assurer que le service LDAP des contrôleurs de domaine n’est pas joignable depuis Internet.
- Bloquer en sortie les connexions de partage de fichiers (SMB) vers Internet : c’est une bonne pratique qui réduit le risque de fuite de ce type de condensé.
Recommandation Chrysalead
Nous recommandons de déployer ces mises à jour cette semaine, en priorité sur les postes Office et les contrôleurs de domaine. La faille Outlook figure au catalogue des failles exploitées de la CISA avec une échéance de correction au 24 novembre 2026 pour les agences américaines : c’est un bon repère de calendrier. Contactez-nous si vous souhaitez que nous planifiions l’intervention.
Détails techniques : les deux failles
| CVE | CVSS | Gravité (Microsoft) | Composant | Impact |
|---|---|---|---|---|
| CVE-2026-124194 | 6.5 (temporel 6.2) | Modérée | Microsoft Outlook | Usurpation d’identité : l’ouverture d’un fichier piégé peut amener Outlook à se connecter à un emplacement contrôlé par l’attaquant sans l’avertissement habituel et à divulguer le condensé NTLMv2 (CWE-356). Exploitation détectée |
| CVE-2026-119958 | 9.8 (temporel 8.5) | Critique | LDAP Windows | Exécution de code à distance, sans authentification ni interaction, via des appels LDAP spécialement conçus (CWE-787). Exploitation moins probable |
IT-Connect détaille d’autres failles critiques du même Patch Tuesday (Active Directory, Exchange Server, Windows Search, Schannel, Hyper-V) : consultez leur récapitulatif et le guide Microsoft pour la liste complète avant de planifier vos mises à jour.
Sources
Articles et services associés
- Patch Tuesday
- Le deuxième mardi de chaque mois, Microsoft publie l’ensemble de ses correctifs de sécurité.
- Zero-day
- Faille déjà exploitée par des attaquants, ou rendue publique, avant qu’un correctif soit disponible.
- LDAP
- Protocole utilisé pour interroger l’annuaire de l’entreprise (Active Directory).
- Contrôleur de domaine
- Serveur qui gère les comptes et les accès de tout le réseau Windows de l’entreprise.
- NTLMv2
- Ancien mécanisme d’authentification Windows. Son condensé peut être volé puis cassé ou réutilisé.
- CVE
- Identifiant public attribué à une vulnérabilité connue.
- CVSS
- Score de 0 à 10 qui évalue la gravité technique d’une vulnérabilité. Il ne mesure pas à lui seul l’impact sur l’activité d’une entreprise.
Cette alerte est une synthèse éditoriale rédigée par Chrysalead IT Services à partir du guide de mises à jour de sécurité de Microsoft (consulté le 12/11/2026). Les informations peuvent évoluer : vérifiez toujours la source officielle avant toute intervention sur vos équipements.