Outlook : CVE-2026-124194, déjà exploitée, figure dans les 1 094 correctifs de novembre 2026

Microsoft a publié le 10 novembre 2026 des mises à jour pour 1 094 failles de ses produits, et la seule ligne notable du document indique que CVE-2026-124194, une faille d’usurpation dans Outlook, est déjà exploitée.

La date de publication portée par l’API Microsoft pour cette CVE est le 10 novembre 2026 à 8 h 00, heure du Pacifique, soit 16 h 00 UTC. Le fichier CVRF 2026-Nov, intitulé « November 2026 Security Updates », porte la même heure sur InitialReleaseDate et CurrentReleaseDate. La note de version ouvre par la phrase « This release consists of 1094 Microsoft CVEs ».

Le décompte officiel, famille par famille

Le tableau de la note répartit les 1 094 CVE ainsi :

• Windows : 726.

• Office : 174.

• SQL Server : 59.

• Developer Tools : 53.

• SharePoint Server : 27.

• Other : 25.

• Azure : 20.

• Exchange Server : 9.

• Defender : 1.

La note republie aussi 165 CVE d’autres éditeurs, sans celles de Chrome. Le tableau Notable ne contient que CVE-2026-124194. En octobre, KLYNLABS comptait 1 411 failles pour le Patch Tuesday alors publié.

Ce que Microsoft dit de CVE-2026-124194

L’API du guide de sécurité décrit CVE-2026-124194 comme une Microsoft Outlook Spoofing Vulnerability. Exploitation : oui. Divulgation publique avant le correctif : non. Sévérité : Moderate. Impact : Spoofing. Score de base : 6,5. Score temporel : 6,2. Vecteur publié : CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N/E:H/RL:O/RC:C. L’action du client est marquée requise. Le classement CWE-356 vise une interface qui n’avertit pas l’utilisateur d’une action risquée.

La FAQ de Microsoft précise :

Opening the file could cause Outlook to connect to an attacker-controlled network location without displaying the usual external-content warning.

Une autre réponse de la FAQ dit que la faille divulgue le condensé NTLMv2, utilisable pour s’authentifier en tant que l’utilisateur. Il faut ouvrir le fichier. Une connexion réseau et une action de la personne sont exigées. Un attaquant non authentifié suffit, selon Microsoft. La FAQ ajoute que le volet Aperçu ne constitue pas un vecteur. Microsoft ne décrit pas les attaques observées. Le correctif est la mise à jour des produits listés.

Six produits dans le CVRF, pas toute la page Office

Le CVRF ne rattache cette CVE qu’à six produits : Microsoft 365 Apps for Enterprise pour systèmes 64 bits et 32 bits, Microsoft Office LTSC 2021 pour éditions 64 bits et 32 bits, Microsoft Office LTSC 2024 pour éditions 64 bits et 32 bits. Les remerciements nomment Benoît Sevens, avec la mention « using Claude with Anthropic », et une personne identifiée par « nono ».

La page Learn du 10 novembre 2026 place CVE-2026-124194 dans la liste Outlook. Pour Microsoft 365 Apps, elle indique le canal actuel en version 2610 build 20527.20196, le canal mensuel entreprise en 2610 build 20527.20194, 2609 build 20430.20264 et 2608 build 20326.20320, et le canal semi-annuel entreprise en 2610 build 20527.20192, 2609 build 20430.20262 et 2608 build 20326.20318. En licence volume : Office LTSC 2024 version 2408 build 17932.21140, Office LTSC 2021 version 2108 build 14334.21048.

La même page Learn affiche aussi des builds pour Office 2024 et Office 2021 grand public, ainsi que pour Office 2019 en licence volume. Ces éditions ne figurent pas parmi les six produits du CVRF pour CVE-2026-124194. Ce document ne les déclare donc pas vulnérables à cette faille.

L’échéance du catalogue américain

Le catalogue des failles exploitées de la CISA, fichier daté du 10 novembre 2026 à 19 h 03 UTC et comptant 1 779 fiches, ajoute CVE-2026-124194 le 10 novembre 2026. Le produit indiqué est Office. L’usage dans une campagne de rançongiciel est marqué Unknown. L’échéance fédérale est le 24 novembre 2026. La description courte du catalogue parle d’usurpation et d’une action potentiellement dangereuse sans interaction attendue. Elle ne mentionne pas le condensé NTLMv2 : ce détail reste celui de la FAQ Microsoft.

Le même fichier ajoute aussi CVE-2026-125350, la faille XML de Chrome 157 déjà traitée, avec la même échéance du 24 novembre 2026. La description de la CISA évoque une exécution de code dans le bac à sable. Cette formulation est celle de la CISA. Le bulletin Google, lui, se limitait à dire qu’un code d’exploitation existait.

Sources

Fiche API CVE-2026-124194, date de publication 10 novembre 2026, 8 h 00 heure du Pacifique.

Note de version CVRF 2026-Nov, « November 2026 Security Updates », 1 094 CVE Microsoft.

Mises à jour de sécurité Microsoft 365 Apps, section du 10 novembre 2026.

SecurityWeek, Eduard Kovacs, 10 novembre 2026, 14 h 19 heure de l’Est.

Catalogue KEV de la CISA, publication du fichier le 10 novembre 2026 à 19 h 03 UTC.