CVE-2026-78509 : Microsoft Outlook RCE CVSS 9.8 déclenché par le volet de lecture

Les faits

Le 8 septembre 2026, Microsoft a publié son Patch Tuesday mensuel incluant la correction de deux vulnérabilités critiques dans Microsoft Office Outlook : CVE-2026-78509 et CVE-2026-78510. Les deux failles obtiennent un score CVSS v3.1 de 9.8, avec un vecteur d'attaque réseau, une complexité faible, aucun privilège requis et aucune interaction utilisateur nécessaire — les quatre paramètres au maximum de leur échelle respective.

CVE-2026-78509 est un débordement de tampon dans le tas (heap-based buffer overflow) affectant la manière dont Microsoft Office Outlook traite certains messages électroniques spécialement construits. Lorsqu'un utilisateur reçoit un e-mail malveillant et que cet e-mail s'affiche dans le volet de lecture — comportement par défaut dans la quasi-totalité des configurations Outlook — la vulnérabilité peut être déclenchée automatiquement. Aucune ouverture du message, aucun clic, aucune interaction n'est requise. Un attaquant qui exploite cette faille exécute du code arbitraire dans le contexte de l'utilisateur courant d'Outlook.

CVE-2026-78510 présente des caractéristiques quasi-identiques. Il s'agit également d'un heap-based buffer overflow dans Outlook, cette fois-ci déclenché par des fichiers RTF (Rich Text Format) spécialement construits. Le volet de lecture est explicitement mentionné par Microsoft comme vecteur d'attaque dans son advisory. Les deux CVE sont classées CWE-122 et concernent Microsoft Office Outlook 2016, 2019, 2021, 2024 ainsi que Microsoft 365 Apps for Enterprise, selon l'analyse publiée par nFlo le 8 septembre 2026.

La combinaison des paramètres CVSS rend ces vulnérabilités particulièrement dangereuses : vecteur réseau, complexité d'attaque faible, aucun privilège requis, aucune interaction utilisateur. Dans la pratique, un acteur malveillant peut cibler des milliers d'utilisateurs Outlook simplement en envoyant des e-mails — sans avoir besoin de les convaincre de cliquer sur quoi que ce soit.

Strix.ai précise que CVE-2026-78509 affecte également Microsoft 365 Apps dans ses builds antérieurs au correctif de septembre 2026. Pour les organisations utilisant Microsoft 365, le correctif est distribué via les mécanismes de mise à jour automatique d'Office, mais uniquement si ces mécanismes sont activés et non bloqués par des politiques de groupe — un point à vérifier impérativement.

Blacktree.nl a publié le 9 septembre 2026 une analyse soulignant le changement de paradigme que représentent ces vulnérabilités dans la menace par e-mail. Historiquement, les campagnes de phishing visaient à tromper l'utilisateur pour qu'il clique ou ouvre quelque chose. Avec CVE-2026-78509, l'attaquant n'a plus besoin de cette coopération involontaire : la simple réception et l'affichage automatique de l'e-mail dans le volet de lecture suffisent à compromettre le poste.

Le parallèle avec CVE-2023-23397 (mars 2023, CVSS 9.8, zero-click Outlook) est inévitable. Cette vulnérabilité avait été exploitée comme zero-day par le groupe APT28 pendant dix mois pour compromettre des organisations militaires et gouvernementales européennes, sans que leurs utilisateurs ne commettent la moindre erreur de comportement. L'historique montre que les vulnérabilités Outlook zero-click sont activement recherchées et instrumentalisées par les acteurs les plus sophistiqués.

Le Patch Tuesday de septembre 2026 est d'une ampleur exceptionnelle : 1 169 CVE corrigées selon Senserva, dont 112 de criticité élevée. Parmi celles-ci figure également une CVE sans score CVSS exploitée activement dans la nature, signalée par Absolute Security. Cette absence de score pour une faille en exploitation illustre les limites du CVSS comme seul critère de priorisation pour les équipes de patch management.

Impact et exposition

Toute organisation utilisant Microsoft Office Outlook 2016, 2019, 2021, 2024 ou Microsoft 365 Apps for Enterprise est exposée si les patches de septembre 2026 n'ont pas été appliqués. Le volet de lecture étant activé par défaut, tous les utilisateurs dont la messagerie reçoit des e-mails externes non filtrés sont potentiellement vulnérables. Les utilisateurs à haute valeur — direction, équipes financières, RH, juridique — sont des cibles prioritaires pour les attaquants visant un accès initial à fort impact.

Recommandations

• Appliquer immédiatement les mises à jour de sécurité de septembre 2026 pour Microsoft Office et Microsoft 365 Apps — CVE-2026-78509 et CVE-2026-78510 sont incluses dans la mise à jour cumulative mensuelle
• Désactiver temporairement le volet de lecture dans Outlook (Affichage → Volet de lecture → Désactiver) si le déploiement du patch prend plus de 48h, en priorité pour les utilisateurs à risque élevé
• Vérifier que les mécanismes de mise à jour automatique Office ne sont pas bloqués par des GPO dans votre environnement Active Directory
• Activer les règles de détection comportementale dans votre EDR pour les processus enfants lancés par OUTLOOK.EXE
• Renforcer le filtrage des e-mails entrants : bloquer les messages RTF suspects et les formats Office inhabituels au niveau de la passerelle mail