Outlook : Microsoft va bloquer les pièces jointes MSIX dès novembre 2026

Microsoft va bloquer les pièces jointes aux formats .msix et .msixbundle dans Outlook sur le web et dans le nouvel Outlook pour Windows, avec un déploiement qui débute début novembre 2026 pour Exchange Online et une disponibilité générale attendue à la mi-novembre. L'information, publiée le 7 octobre 2026 par BleepingComputer, s'appuie sur l'avis MC1488841 du centre de messages de Microsoft 365.

Quels fichiers seront bloqués ?

Un fichier .msix est un paquet d'installation moderne pour Windows, conçu pour une architecture ou une configuration précise ; un .msixbundle regroupe plusieurs de ces paquets pour plusieurs architectures. Une fois les politiques mises à jour, il ne sera plus possible d'envoyer, de recevoir, d'ouvrir ni de télécharger ces fichiers dans les clients concernés. Microsoft présente la mesure comme un renforcement de la sécurité et estime que la plupart des organisations ne seront pas touchées, ces formats étant rarement échangés par courriel.

Outlook classique est-il concerné ?

BleepingComputer ne précise pas si Outlook classique pour Windows est visé : l'avis cité ne mentionne que Outlook sur le web et le nouvel Outlook. Cette zone d'ombre reste à confirmer auprès de Microsoft avant toute conclusion.

Comment un administrateur peut-il autoriser ces fichiers ?

Les deux extensions seront ajoutées à la liste BlockedFileTypes de la stratégie de boîte aux lettres OWA par défaut et des stratégies personnalisées du tenant. Aucune action n'est nécessaire si l'organisation n'utilise pas ces formats. Sinon, un administrateur peut les ajouter à la propriété AllowedFileTypes des objets OwaMailboxPolicy concernés ; la liste complète des types bloqués figure dans la documentation de la commande Set-OwaMailboxPolicy.

Pourquoi cette décision ?

Microsoft n'a pas détaillé d'attaque précise dans cet avis, mais BleepingComputer replace la mesure dans une série de durcissements. En juin 2025, Outlook avait commencé à bloquer les fichiers .library-ms et .search-ms, exploités dans des campagnes d'hameçonnage et de logiciels malveillants. En octobre 2025, Outlook sur le web et le nouvel Outlook avaient cessé d'afficher certaines images SVG intégrées jugées risquées. L'éditeur retire ainsi progressivement des fonctions que les attaquants détournent.

À titre de comparaison, d'autres chaînes de messagerie ont été exploitées récemment, comme dans notre article sur la porte dérobée Antino via Outlook et OneDrive. Bloquer les paquets d'installation limite un vecteur, mais ne remplace ni la vigilance des utilisateurs ni le filtrage côté passerelle.

Source

Source : BleepingComputer, qui cite l'avis MC1488841 de Microsoft.