CVE-2026-124194 : Outlook zero-day vole les hachés NTLM, CVSS 9.8

Les faits

Le Patch Tuesday de novembre 2026, publié le 10 novembre, a corrigé un volume record de 1 093 vulnérabilités Microsoft dont 63 critiques. Parmi elles, CVE-2026-124194 se distingue par une caractéristique particulièrement alarmante : l'exploitation ne nécessite aucune action de l'utilisateur. La simple prévisualisation d'un email malveillant dans le volet de lecture d'Outlook déclenche automatiquement une connexion réseau vers un serveur contrôlé par l'attaquant, transmettant le hachage NTLMv2 du compte Windows de la victime.

Le hachage NTLMv2 est la représentation cryptographique du mot de passe Windows de l'utilisateur. Une fois capturé, il peut être exploité de deux façons. La première est le pass-the-hash : l'attaquant relaie directement ce hachage pour s'authentifier sur d'autres ressources réseau acceptant NTLM (partages SMB, Exchange, bases MSSQL, services IIS) sans connaître le mot de passe en clair. La seconde est le cracking offline : soumettre le hachage à Hashcat sur GPU pour retrouver le mot de passe en clair — un mot de passe de moins de 12 caractères alphanumériques est crackable en quelques heures sur du matériel moderne.

Le vecteur technique exploité appartient à une famille connue depuis plus de vingt ans : forcer Outlook à initier une connexion UNC vers un chemin réseau injecté dans un email. Quand le client Windows tente de résoudre ce chemin, il engage automatiquement une authentification NTLM vers le serveur distant, transmettant le challenge-response au contrôle de l'attaquant. Microsoft n'a pas divulgué les détails précis du vecteur dans son bulletin de sécurité, mais le comportement décrit est cohérent avec cette famille d'exploits.

L'inscription au catalogue KEV de la CISA le même jour que la publication du patch — le 10 novembre — indique que des exploitations actives dans la nature avaient été observées avant la divulgation publique. Ce type de scénario, où l'exploitation précède le correctif, est caractéristique d'une zero-day utilisée dans des campagnes ciblées, probablement par des acteurs disposant de ressources suffisantes pour maintenir des vulnérabilités non publiées en arsenal offensif.

Microsoft a attribué à CVE-2026-124194 la classification Exploitation More Likely, signifiant que ses équipes jugent probable le développement rapide d'outils d'exploitation automatisés. Des frameworks comme Impacket, Responder ou des modules Metasploit intégrant ce vecteur pourraient circuler dans les prochains jours au sein des communautés de pentesters et d'acteurs malveillants.

Cette faille intervient dans un contexte où NTLM devait être progressivement déprécié par Microsoft. En juin 2024, l'éditeur avait annoncé une roadmap de dépréciation avec NTLMv1 désactivé par défaut dans Windows Server 2025. En novembre 2026, NTLMv2 reste actif dans la quasi-totalité des domaines Active Directory existants, par compatibilité avec des applications legacy. Selon les données de télémétrie publiées par Microsoft lors de cette annonce, environ 65 % des authentifications Windows d'entreprise utilisent encore NTLM, au moins partiellement.

La Zero Day Initiative (ZDI) de Trend Micro, dans son analyse du Patch Tuesday de novembre, précise que d'autres CVE critiques du même bulletin méritent une attention urgente : CVE-2026-119958 (Windows LDAP RCE, CVSS 9.8) et plusieurs failles dans Windows Hyper-V et Print Spooler. Les équipes de sécurité font face à un volume sans précédent de correctifs à prioriser simultanément.

Selon le catalogue CVE Brief du 13 novembre 2026, au moins 11 CVE sont activement exploitées dans la nature, incluant des failles dans OpenSSH, Chrome, SonicWall SSLVPN et Barracuda ESG. CVE-2026-124194 s'inscrit dans cette vague d'exploitation active qui caractérise la fin d'année 2026 en matière de cybersécurité offensive.

Impact et exposition

Sont affectées toutes les versions d'Outlook pour Windows n'ayant pas reçu les mises à jour de novembre 2026 : Outlook intégré à Microsoft 365 Apps for Enterprise, Outlook 2021, Outlook 2019 et Outlook 2016. L'absence d'interaction requise — un email non ouvert, simplement prévisualisé, suffit — élargit considérablement la surface d'attaque. Tout utilisateur recevant des emails d'expéditeurs externes non filtrés est potentiellement vulnérable. Les environnements Active Directory où NTLM n'est pas filtré au niveau réseau sont particulièrement exposés au risque de mouvement latéral post-capture de hachés.

Recommandations

• Déployer immédiatement les mises à jour Outlook du Patch Tuesday de novembre 2026 via WSUS, Intune ou SCCM — ne pas attendre la prochaine fenêtre de maintenance.
• Bloquer le port TCP 445 (SMB) sortant vers Internet au niveau du pare-feu périmétrique sur tous les postes — cette seule règle neutralise le principal vecteur d'exfiltration NTLM via email.
• Activer l'audit NTLM via GPO (Network Security: Restrict NTLM) pour cartographier toutes les sources d'authentification NTLM dans votre domaine.
• Activer SMB Signing obligatoire sur tous les serveurs et contrôleurs de domaine pour bloquer les attaques de relayage NTLM.
• Désactiver LLMNR et NetBIOS over TCP/IP via GPO pour réduire les vecteurs de capture de hachés NTLM sur le LAN.