CVE-2026-70242 : Microsoft Outlook zero-click RCE CVSS 9.8

Les faits

CVE-2026-70242 est une vulnérabilité de type heap-based buffer overflow (CWE-122) affectant Microsoft Office Outlook. Avec un score CVSS 3.1 de 9.8 (Critique) et le vecteur AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, elle constitue l'une des failles les plus sévères corrigées lors du Patch Tuesday d'octobre 2026. Sa particularité alarmante est son caractère zero-click : un simple email malveillant affiché dans le volet de lecture d'Outlook suffit à déclencher l'exploitation, sans aucune interaction de la part de l'utilisateur.

Techniquement, la vulnérabilité est un débordement de tampon dans le segment heap (mémoire dynamique) d'Outlook, déclenché lors du traitement et du rendu d'un message email spécialement conçu. Lorsqu'Outlook affiche l'email dans le volet de lecture (Reading Pane), le traitement d'un certain type de données dans le message provoque un dépassement des limites allouées en mémoire heap. Ce débordement peut entraîner une corruption de mémoire permettant à un attaquant d'exécuter du code arbitraire dans le contexte du processus Outlook.

Le vecteur réseau (AV:N) combiné à l'absence de privilèges requis (PR:N) et d'interaction utilisateur (UI:N) en fait une vulnérabilité particulièrement redoutable. Dans un scénario d'exploitation, l'attaquant n'a besoin que de connaître l'adresse email de la victime et de lui envoyer un email malveillant. Dès que l'email apparaît dans le volet de lecture d'Outlook, ce qui peut se produire automatiquement lors de la sélection du message dans la liste, la payload est déclenchée sans que la victime n'ait cliqué sur quoi que ce soit.

La vulnérabilité a été publiée dans le cadre du Patch Tuesday d'octobre 2026, qui comprend un nombre record de correctifs Microsoft dépassant les 1 400 CVE. CVE-2026-70242 a été identifiée et rapportée par des chercheurs en sécurité avant toute exploitation connue. Microsoft note dans son advisory que la probabilité d'exploitation est évaluée comme "Less Likely" sans fournir d'explication technique détaillée. Aucune exploitation in-the-wild n'a été confirmée au 29 octobre 2026 et la faille ne figure pas encore dans le catalogue KEV CISA.

Les produits affectés sont Microsoft 365 Apps for Enterprise sur les canaux mensuel, mensuel entreprise et semi-annuel, ainsi que Microsoft Office LTSC 2021 et LTSC 2024 pour Windows. Les versions cloud-only de Microsoft 365 qui délèguent le rendu des emails à une infrastructure serveur peuvent avoir une surface d'attaque différente, mais les clients de bureau Outlook restent exposés. Office 2019 et les versions antérieures ne sont pas mentionnées dans l'advisory Microsoft.

Le caractère zero-click de CVE-2026-70242 la place dans une catégorie particulièrement dangereuse de vulnérabilités. Historiquement, les vulnérabilités zero-click dans des clients email comme Outlook ont été très prisées par des groupes d'attaque sophistiqués, notamment des APT étatiques et des opérateurs de cyberespionnage, pour des campagnes d'intrusion ciblées. La capacité d'infecter un poste simplement en envoyant un email, sans nécessiter de phishing interactif ni de clic sur un lien, représente un vecteur d'attaque de très haute valeur tactique.

Rapid7 a publié une analyse de la vulnérabilité dans sa base de données le 15 octobre 2026, soulignant que si l'exploitation est techniquement complexe en raison des mécanismes de protection mémoire modernes (ASLR, DEP, CFG sur Windows), la faille reste exploitable pour des acteurs disposant de ressources suffisantes pour développer un exploit fiable. La complexité d'exploitation AC:L dans le vecteur CVSS suggère que, une fois un exploit développé, il peut être utilisé de manière reproductible et fiable.

Le contexte du Patch Tuesday d'octobre 2026 est notable : Microsoft a corrigé un nombre record de vulnérabilités, dont au moins un zero-day activement exploité (CVE-2026-96951, Windows Shell MOTW bypass). Dans ce contexte de volumes massifs de patches, CVE-2026-70242 risque de passer sous le radar des équipes de sécurité surchargées, ce qui en fait une cible de choix pour des attaquants patients qui attendent que la fenêtre temporelle post-patch soit bien établie avant de weaponiser la faille.

La faille rappelle la vulnérabilité CVE-2023-23397 dans Outlook, qui permettait l'exploitation via une notification de calendrier sans interaction utilisateur. CVE-2026-70242 pousse cette logique plus loin en ciblant le rendu d'emails dans le volet de lecture, une fonctionnalité activée par défaut dans toutes les configurations Outlook standard. Les équipes de sécurité doivent traiter cette vulnérabilité avec le même degré d'urgence que les zero-days actifs étant donné son potentiel de weaponisation élevé.

Impact et exposition

Microsoft Outlook est le client email le plus répandu en entreprise, avec des centaines de millions d'utilisateurs actifs dans le monde. La surface d'attaque de CVE-2026-70242 est donc considérable. Toute organisation utilisant Microsoft 365 Apps for Enterprise ou Office LTSC 2021/2024 sans avoir appliqué le Patch Tuesday d'octobre 2026 est potentiellement exposée. Les secteurs particulièrement ciblés par les campagnes de cyberespionnage, notamment défense, industrie, finance, énergie et administration publique, présentent un risque amplifié.

L'exploitation réussie de CVE-2026-70242 donne à l'attaquant un accès au système avec les mêmes privilèges que l'utilisateur exécutant Outlook. Dans la majorité des configurations Windows en entreprise, cela correspond aux privilèges d'un utilisateur du domaine, suffisant pour effectuer des mouvements latéraux, accéder aux ressources partagées, et potentiellement escalader les privilèges via d'autres vulnérabilités locales.

La nature zero-click de la vulnérabilité rend les mécanismes de sensibilisation classiques totalement inefficaces contre cette menace. La formation anti-phishing, les politiques de ne pas cliquer sur les liens inconnus, les bannières de prudence sur les emails externes, aucune de ces mesures ne protège contre une exploitation qui se déclenche sans interaction. Seule l'application du patch ou la désactivation du volet de lecture constitue une protection efficace.

Recommandations immédiates

• Appliquer le Patch Tuesday Microsoft d'octobre 2026 — Microsoft Security Update Guide, advisory CVE-2026-70242
• Si le patch ne peut être déployé immédiatement : désactiver le volet de lecture dans Outlook (Vue > Volet de lecture > Désactivé) pour toutes les instances en attendant
• Vérifier que Microsoft 365 est configuré pour recevoir les mises à jour automatiques sur le canal approprié
• Pour les déploiements WSUS/MECM : forcer la synchronisation et le déploiement du KB d'octobre 2026 en priorité élevée
• Surveiller les tentatives de livraison d'emails malveillants via les solutions d'analyse des flux email (Microsoft Defender for Office 365 ou solutions tierces)