CVE-2026-124194 : Outlook zero-day exploité — NTLM hash theft, CISA KEV

Les faits

Le 11 novembre 2026 (Patch Tuesday), Microsoft a publié ses mises à jour de sécurité mensuelles couvrant 1 093 vulnérabilités au total, dont 63 classées critiques. Parmi elles, une vulnérabilité se distingue par son statut d'exploitation confirmée in-the-wild avant la publication du patch : CVE-2026-124194, une faille de spoofing dans Microsoft Outlook affectant les versions Microsoft 365 Apps for Enterprise et Office LTSC.

CVE-2026-124194 est classée CWE-62 (Missing User Interaction for Potentially Unsafe Action). Le vecteur d'attaque repose sur un fichier de message Outlook spécialement construit qui amène le client Outlook à établir automatiquement une connexion vers une ressource réseau contrôlée par l'attaquant, sans afficher les avertissements habituels de contenu externe. Lors de cette connexion automatique, Windows envoie les informations d'authentification NTLM de l'utilisateur courant (hachage NTLMv2) vers le serveur de l'attaquant, sans que la victime ait besoin de cliquer sur un lien ou d'ouvrir une pièce jointe.

Microsoft a attribué à cette vulnérabilité un score CVSS de 6.5 (Modéré), une évaluation qui peut sembler sous-estimée au regard de la gravité réelle de l'exposition. En pratique, la compromission d'un hachage NTLMv2 ouvre plusieurs scénarios d'attaque sérieux : le craquage du hachage hors ligne pour obtenir le mot de passe en clair (particulièrement efficace sur des mots de passe faibles ou de dictionnaire), ou le relais NTLM (NTLM relay attack) permettant d'usurper l'identité de la victime pour s'authentifier sur d'autres ressources réseau sans jamais connaître le mot de passe. Cette dernière technique est notamment utilisée dans les attaques de type Pass-the-Hash contre Active Directory et les partages SMB.

La CISA (Cybersecurity and Infrastructure Security Agency) a ajouté CVE-2026-124194 à son catalogue KEV (Known Exploited Vulnerabilities) le 10 novembre 2026, la veille du Patch Tuesday, confirmant ainsi l'exploitation active dans le wild. La deadline de remédiation imposée aux agences fédérales américaines est fixée au 24 novembre 2026 conformément à la directive BOD 22-01. Un proof-of-concept partiel a été référencé sur Sploitus sous la signature d'AmesianX, bien que l'auteur précise qu'il s'agit d'une vérification de structure de fichier et non d'un exploit testé en environnement réel.

Microsoft indique que la vulnérabilité n'était pas publiquement divulguée avant le Patch Tuesday — ce qui signifie qu'elle a été exploitée discrètement, probablement dans des campagnes ciblées, avant que Microsoft n'en soit informé et ne développe un correctif. Ce profil (exploitation in-the-wild sans divulgation préalable) est caractéristique des vulnérabilités exploitées par des groupes APT (Advanced Persistent Threat) ou des acteurs de la cybercriminalité organisée ciblant des entreprises spécifiques.

Le Patch Tuesday de novembre 2026 est historiquement l'un des plus chargés jamais publiés par Microsoft avec 1 093 CVEs. Cinq vulnérabilités supplémentaires notables méritent une attention particulière dans ce bulletin : des failles critiques CVSS 9.8 dans Windows Kerberos, Windows LDAP (Lightweight Directory Access Protocol), Windows DNS Server, Windows DHCP Server et iSCSI. Ces cinq failles réseau de base, si elles étaient exploitées, permettraient une exécution de code à distance sur les serveurs Windows sans authentification préalable, avec un impact potentiel sur l'ensemble d'un domaine Active Directory.

La faille Kerberos (protocole d'authentification central de Windows Active Directory) est particulièrement sensible car son exploitation pourrait permettre à un attaquant d'obtenir des tickets d'authentification arbitraires. La faille LDAP affecte le service d'annuaire Windows, utilisé par l'ensemble des applications d'entreprise pour les recherches d'utilisateurs et de groupes. Les failles DHCP et DNS concernent les services d'infrastructure réseau présents dans tous les environnements Windows Server.

En termes de priorité de remédiation, CVE-2026-124194 doit être considérée comme une priorité maximale non pas en raison de son score CVSS officiel, mais parce qu'elle est activement exploitée. Les failles CVSS 9.8 réseau (Kerberos, LDAP, DNS, DHCP, iSCSI) doivent être traitées en priorité dans les environnements exposant ces services sur des réseaux non-fiables ou accessibles depuis Internet.

Impact et exposition

CVE-2026-124194 affecte tous les utilisateurs de Microsoft 365 Apps for Enterprise et Office LTSC 2021/2024 sur Windows. Dans un environnement d'entreprise typique, cela représente potentiellement l'ensemble des postes de travail Windows équipés d'Outlook. L'attaque ne nécessite aucune interaction active de la victime au-delà de la réception et de l'ouverture d'un email malveillant — Outlook peut déclencher la connexion réseau automatiquement à l'affichage du message dans le volet de prévisualisation.

L'impact principal est le vol de hachages NTLM, exploitables pour le craquage hors ligne ou le relais NTLM. Dans les environnements Active Directory où l'authentification NTLM est encore activée (ce qui est le cas dans la grande majorité des entreprises pour des raisons de compatibilité), un relais NTLM réussi peut permettre d'accéder à des partages de fichiers, des serveurs Exchange, des interfaces web d'administration et d'autres ressources réseau. Les organisations utilisant SMB Signing obligatoire et MFA sur toutes les ressources sensibles réduisent significativement l'impact d'un relais NTLM.

Le risque est amplifié dans les environnements où les utilisateurs ont des privilèges étendus (administrateurs locaux, comptes de service) car le hachage obtenu sera celui du compte privilégié. Les attaques NTLM relay couplées à des chemins de délégation Kerberos non contrainte peuvent dans certains cas mener à une compromission de domaine complète.

Recommandations immédiates

• Appliquer les mises à jour de sécurité Microsoft de novembre 2026 sur tous les postes équipés de Microsoft 365 Apps for Enterprise et Office LTSC 2021/2024 — correctif pour CVE-2026-124194 inclus dans le Patch Tuesday du 11 novembre 2026.
• Activer SMB Signing obligatoire sur tous les serveurs et clients Windows pour bloquer les attaques NTLM relay (GPO : Microsoft network server: Digitally sign communications (always)).
• Envisager de désactiver NTLM v1 dans l'environnement Active Directory et de restreindre l'authentification NTLM vers les serveurs non membres du domaine.
• Appliquer également les patches CVSS 9.8 pour les composants Windows Kerberos, LDAP, DNS Server, DHCP Server et iSCSI inclus dans ce Patch Tuesday.
• Référence : Microsoft Security Response Center (MSRC) Advisory CVE-2026-124194 — bulletin de sécurité Microsoft novembre 2026.
• Vérifier les règles de pare-feu bloquant les connexions SMB sortantes (port 445) et HTTP/HTTPS vers des destinations non autorisées depuis les postes clients Outlook.