CVE-2026-70242 : Microsoft Outlook RCE sans clic CVSS 9.8

Les faits

Le 14 octobre 2026, dans le cadre du Patch Tuesday d'octobre, Microsoft a corrigé un nombre record de 1 413 vulnérabilités, dont CVE-2026-70242, une faille de type heap-based buffer overflow (débordement de tampon sur le tas) affectant le moteur de rendu des messages d'Outlook. Cette vulnérabilité a reçu la note CVSS 3.1 de 9,8 sur 10, avec le vecteur complet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, la classant dans la catégorie Critique.

Le vecteur d'attaque est particulièrement préoccupant : un attaquant distant et non authentifié peut déclencher la vulnérabilité en envoyant un e-mail spécialement forgé à une victime. Dès qu'Outlook affiche ce message dans le volet de lecture — sans que l'utilisateur ait besoin d'ouvrir le message, de cliquer sur une pièce jointe ou d'interagir de quelque manière que ce soit — le débordement de tampon est provoqué. Ce type d'exploitation zero-interaction représente la surface d'attaque la plus dangereuse dans l'écosystème des clients de messagerie d'entreprise.

La root cause de la vulnérabilité réside dans le composant de décodage et de rendu du format MHTML (MIME HTML) intégré à Outlook. Lorsqu'Outlook traite certains contenus MHTML avec des en-têtes de partie MIME malformés ou surdimensionnés, le code de parsing ne vérifie pas correctement la longueur des données avant de les copier dans un tampon alloué dynamiquement sur le tas. Un attaquant peut ainsi provoquer un dépassement contrôlé de ce tampon, permettant potentiellement d'écraser des métadonnées d'allocation adjacentes et de rediriger le flot d'exécution vers un shellcode ou une ROP chain.

Les produits concernés sont Microsoft 365 Apps for Enterprise (canal Current, Monthly Enterprise, Semi-Annual Enterprise) ainsi que les versions Office LTSC 2021 et Office LTSC 2024. Selon le Microsoft Security Response Center (MSRC), les versions antérieures au patch du 14 octobre 2026 sont vulnérables. Outlook pour iOS, Android et Outlook sur le Web (OWA/Exchange Online) ne sont pas impactés car ils reposent sur des moteurs de rendu distincts.

Au moment de la publication, Microsoft qualifiait l'exploitation de "moins probable" (Exploitation Index : moins probable) selon son propre système de notation de l'exploitabilité. Aucun code de preuve de concept (PoC) public n'était disponible à la date du 14 octobre 2026 et la vulnérabilité n'était pas encore ajoutée au catalogue KEV de la CISA. Cependant, l'analyse par Rapid7 dans son rapport Patch Tuesday d'octobre 2026 souligne que CVE-2026-70242 représente l'un des risques les plus sérieux du lot, précisément parce qu'elle ne requiert aucune interaction utilisateur.

L'historique des vulnérabilités de type "preview pane RCE" dans Outlook illustre pourquoi l'urgence reste maximale malgré l'absence d'exploitation confirmée : CVE-2023-23397 (CVSS 9.8, exploitée par APT28/Fancy Bear) et CVE-2024-21413 (CVSS 9.8, Moniker Link, PoC public en 24h) ont toutes deux démontré que ce vecteur attire rapidement l'intérêt des acteurs étatiques et des groupes de ransomware. Le délai entre publication du patch et exploitation in-the-wild s'est considérablement réduit ces dernières années.

Dans un scénario d'attaque réaliste, un groupe APT ou un opérateur de ransomware envoie des messages forgés à des centaines ou milliers d'employés d'une organisation cible. Sur chaque poste où Outlook est ouvert avec le volet de lecture actif — configuration par défaut dans la quasi-totalité des organisations — l'exploitation réussit silencieusement. L'attaquant obtient une exécution de code au niveau des privilèges de l'utilisateur connecté, un point d'entrée classique pour la persistance, le mouvement latéral et l'exfiltration de données vers un serveur de commande et contrôle.

Selon l'avis de sécurité Microsoft (MSRC), le patch corrige le problème en ajoutant des vérifications de limites appropriées dans la routine de parsing MHTML d'Outlook, empêchant le débordement de tampon. Les mises à jour sont distribuées via Windows Update, Microsoft Update Catalog et WSUS/MECM. La mise à jour est référencée sous le numéro KB5002681 pour Microsoft 365 Apps for Enterprise.

Impact et exposition

La surface d'exposition est considérable : Microsoft 365 est utilisé par plus de 400 millions d'utilisateurs actifs mensuels dans le monde. En France, la majorité des grandes entreprises et administrations utilisent Microsoft 365 avec Outlook comme client de messagerie principal. Toute organisation dont les utilisateurs ont le volet de lecture activé dans Outlook est potentiellement exposée, et cette configuration est activée par défaut dans toutes les installations standard d'Outlook.

Les conditions d'exploitation sont minimales : l'attaquant a seulement besoin de connaître l'adresse e-mail de la cible et de lui envoyer un message contenant le payload malveillant. Aucun phishing sophistiqué n'est nécessaire — l'e-mail n'a pas besoin de convaincre la victime de cliquer sur quoi que ce soit. C'est ce qui distingue CVE-2026-70242 de la majorité des vulnérabilités Office et ce qui justifie sa note CVSS de 9.8.

Les environnements les plus exposés sont les organisations qui ont des délais de patching longs (plus de 72 heures après le Patch Tuesday), celles qui utilisent des images SOE nécessitant un processus de validation avant déploiement, et celles qui ont des utilisateurs en télétravail où la distribution des mises à jour peut prendre davantage de temps. Le crowdstrike Patch Tuesday Analysis d'octobre 2026 classe CVE-2026-70242 dans le top 5 des vulnérabilités les plus urgentes à corriger ce mois-ci.

Recommandations immédiates

• Appliquer immédiatement les mises à jour Microsoft du Patch Tuesday d'octobre 2026 — Microsoft Security Advisory CVE-2026-70242 (KB5002681) — via Windows Update ou WSUS/MECM
• Si le déploiement du patch est impossible dans les 24 heures, désactiver le volet de lecture dans Outlook (Affichage > Volet de lecture > Désactivé) — cela supprime le vecteur d'attaque sans impact fonctionnel majeur
• Activer des règles de détection dans la passerelle de messagerie (Proofpoint, Mimecast, Microsoft Defender for Office 365) pour filtrer les e-mails avec des en-têtes MIME anormalement longs ou malformés
• Surveiller les journaux d'événements Windows (Event ID 1000/1001 — Application Error / Application Hang) pour des crashs d'Outlook inhabituels pouvant indiquer des tentatives d'exploitation
• Prioriser le patching des postes des utilisateurs à haute valeur (direction, finances, RH, IT) qui sont des cibles préférentielles pour les APT