CSS weaponisés compromettent Outlook, Gmail et ProtonMail

Quand le CSS devient une arme contre tous les webmails majeurs

La conférence Black Hat USA 2026 a été le théâtre d'une révélation particulièrement marquante dans le domaine de la sécurité des messageries web. Gareth Heyes, chercheur en sécurité chez PortSwigger — l'entreprise derrière l'outil de test Burp Suite — a présenté un ensemble de chaînes d'attaques exploitant des propriétés CSS jusqu'alors méconnues pour contourner les défenses de six des webmails les plus utilisés au monde : Microsoft Outlook, Google Gmail, Fastmail, ProtonMail, Yahoo Mail et AOL Mail. L'étendue de cette recherche, couvrant simultanément des plateformes concurrentes aux architectures très différentes, est sans précédent dans l'histoire de la sécurité des clients de messagerie web.

Le principe fondamental des attaques repose sur des comportements CSS inattendus qui survivent brièvement aux mécanismes de sanitisation des entrées HTML, ou qui exploitent des fonctionnalités CSS légitimes de façon détournée. Les webmails traitent en permanence du contenu HTML riche provenant d'expéditeurs potentiellement malveillants, et ils s'appuient sur des filtres de sanitisation pour neutraliser le code dangereux. Ces filtres sont efficaces contre la plupart des vecteurs d'injection HTML classiques, mais les subtilités du moteur CSS des navigateurs modernes ouvrent des fenêtres d'opportunité que Heyes a exploitées avec une précision chirurgicale.

La chaîne d'attaque contre Outlook, combinée au navigateur Firefox, est la plus spectaculaire : elle permet de spoofer un écran de connexion Microsoft factice directement dans l'interface de la messagerie et de capturer le mot de passe que la victime saisit, convaincue d'être face à une demande d'authentification légitime. L'injection fonctionne parce qu'une propriété CSS de type label-jacking permet de superposer visuellement des éléments d'interface sur des zones de formulaire sans que le filtre HTML d'Outlook ne le détecte comme contenu malveillant. Au moment de la présentation de Black Hat, cette vulnérabilité n'était pas corrigée.

La variante ciblant Yahoo Mail et AOL Mail exploite une course temporelle (paste race) dans la gestion du presse-papiers sous Firefox. L'attaque s'amorce lorsque la victime copie du contenu CSS fourni par l'attaquant dans son presse-papiers, puis colle ce contenu dans un brouillon Yahoo ou AOL. Pendant le bref instant où le CSS collé reste actif avant d'être sanitisé par le filtre, il est possible d'exfiltrer suffisamment de caractères d'un token de connexion en cours de validité pour permettre à l'attaquant de le reconstituer et de s'authentifier en tant que victime sans connaître son mot de passe. Cette technique tire parti d'une spécificité de comportement de Firefox, où le CSS collé peut brièvement rester actif avant la purge du sanitiseur.

Pour Gmail, la chaîne d'attaque est différente et particulièrement préoccupante dans le contexte de l'IA générative : elle implique une combinaison avec Cowork, un outil d'IA intégré à Gmail, et exploite un contournement de la fonction CSS image-set(). L'injection permet de déclencher une exfiltration d'un token Slack après une injection de prompt et une interaction minimale de la victime. Cette chaîne illustre comment la combinaison de failles CSS dans le webmail et de vulnérabilités d'injection dans les assistants IA intégrés crée une surface d'attaque composite dont la dangerosité dépasse celle de chaque composant pris isolément. La faille image-set() dans Gmail n'était pas corrigée à la date de la présentation.

Du côté des bonnes nouvelles, Fastmail a corrigé deux vulnérabilités de mutation CSS identifiées dans cette recherche, et le contournement de proxy signalé dans ProtonMail a également été neutralisé. Ces corrections témoignent de la réactivité de ces deux plateformes face à des failles à fort impact. En revanche, les vulnérabilités dans Outlook (label-jacking) et Gmail (image-set()) demeuraient actives, rappelant que les cycles de correction des grands éditeurs peuvent s'avérer significativement plus longs que ceux de leurs concurrents plus agiles.

Heyes a précisé que sa recherche est une démonstration de faisabilité (proof-of-concept) et qu'aucune exploitation malveillante de ces techniques n'a été identifiée à ce jour. Toutes les vulnérabilités documentées ont été divulguées de façon responsable aux éditeurs concernés avant la présentation publique. L'objectif est de pousser les équipes de sécurité des messageries à renforcer leurs mécanismes de sanitisation CSS, longtemps négligés au profit de la défense contre l'injection HTML et JavaScript plus classique.

Du point de vue des utilisateurs, la vigilance est de mise même pour les messageries considérées comme sécurisées. Les attaques documentées nécessitent dans la plupart des cas une interaction de la victime — cliquer sur un lien, coller du contenu dans un brouillon — ce qui signifie que les bonnes pratiques de sécurité basiques (ne pas cliquer sur des liens suspects, ne pas copier-coller du contenu provenant de sources inconnues dans les drafts de messagerie) constituent une première ligne de défense efficace dans l'attente des correctifs des éditeurs.

Pourquoi la sécurité CSS des webmails est un problème systémique

La recherche présentée par Gareth Heyes à Black Hat 2026 met en lumière une lacune fondamentale dans la façon dont la communauté de la sécurité pense la sanitisation des contenus dans les clients de messagerie web. Pendant des années, l'effort de défense s'est concentré sur la neutralisation de JavaScript et des vecteurs d'injection HTML classiques (balises script, event handlers inline), avec l'hypothèse implicite que le CSS — un langage de présentation a priori inoffensif — ne représentait qu'un risque secondaire. Les travaux de Heyes démontrent que cette hypothèse était erronée, et que les moteurs CSS modernes, avec leur complexité croissante, représentent un vecteur d'attaque de premier ordre insuffisamment étudié.

La nature multi-plateforme de ces vulnérabilités est particulièrement significative. Le fait que des techniques similaires fonctionnent contre des webmails aussi différents qu'Outlook (Microsoft Exchange backend), Gmail (infrastructure Google), ProtonMail (chiffrement côté client) et Yahoo/AOL indique que le problème ne tient pas aux choix d'architecture spécifiques des éditeurs, mais à une vulnérabilité fondamentale dans la façon dont les navigateurs gèrent le CSS dans des contextes de contenu non-fiable. Cela rend les correctifs significativement plus difficiles à implémenter : il ne s'agit pas de corriger un bug isolé, mais de repenser des mécanismes de sanitisation CSS qui sont restés stables depuis des années.

L'angle IA ouvre une dimension supplémentaire particulièrement inquiétante. À mesure que les assistants IA sont intégrés aux clients de messagerie — lire, résumer, répondre aux emails à la place des utilisateurs — la surface d'attaque s'étend considérablement. La chaîne Gmail/Cowork démontrée par Heyes illustre comment une injection CSS peut servir de premier stade pour déclencher une injection de prompt contre un assistant IA, qui à son tour effectue des actions dans d'autres applications connectées (ici, exfiltration d'un token Slack). Cette architecture d'attaque en cascade, combinant plusieurs vecteurs de nature différente, représente la nouvelle frontière des menaces contre la messagerie d'entreprise en 2026.

Pour les responsables de la sécurité informatique en entreprise, cette recherche oblige à reconsidérer les politiques de gestion des clients de messagerie web. La plupart des organisations ont déployé des solutions de protection des emails centrées sur la détection de phishing, de malware et de spam au niveau du serveur — des défenses qui ne voient pas les attaques CSS qui se déroulent entièrement dans le navigateur de la victime. Les solutions de type Content Security Policy (CSP) peuvent atténuer certains vecteurs, mais leur déploiement sur les webmails grand public est hors du contrôle des équipes IT des organisations utilisatrices. La réponse efficace passe avant tout par la mise à jour régulière des navigateurs et par la sensibilisation des utilisateurs aux interactions suspectes dans leur messagerie web.

Ce qu'il faut retenir

• Des attaques CSS novatrices présentées à Black Hat 2026 compromettent Outlook, Gmail, Fastmail, ProtonMail, Yahoo Mail et AOL Mail, permettant vol de credentials, détournement de tokens et manipulation d'assistants IA.
• Fastmail et ProtonMail ont patché leurs vulnérabilités ; les failles dans Outlook (label-jacking) et Gmail (image-set()) demeurent actives à la date de la présentation — appliquez les mises à jour navigateur sans délai.
• Ne copiez jamais de contenu provenant de sources inconnues dans un brouillon de messagerie, et traitez toute demande d'authentification apparaissant dans une interface webmail avec la plus grande méfiance.