Patch Tuesday novembre 2026 : 1 093 CVE, zero-day Outlook exploité

Vue d'ensemble du Patch Tuesday novembre 2026

Microsoft a publié le 10 novembre 2026 son Patch Tuesday mensuel, corrigeant 1 093 vulnérabilités selon Tenable et Cybersecurity News (BleepingComputer recense 1 235 failles en incluant des sources tierces). Avec 63 CVE critiques et 1 029 importantes, ce mois s'impose comme l'un des plus chargés de l'histoire du programme. La totalité du portefeuille Microsoft est concernée : Windows 10 et 11, Windows Server, Microsoft 365 Apps, Exchange Server, SharePoint, SQL Server et Azure.

Le point de vigilance majeur est CVE-2026-124194, une faille de spoofing dans Microsoft Outlook activement exploitée dans la nature et ajoutée au catalogue KEV de la CISA. Cette vulnérabilité expose le hash NTLMv2 des utilisateurs à des attaquants distants sans nécessiter d'interaction particulière au-delà de l'ouverture d'un fichier piégé. Le délai de remédiation imposé aux agences fédérales américaines est fixé au 24 novembre 2026.

Deux RCE critiques dans Windows Schannel (CVE-2026-119952, CVSS 8.1) et Exchange Server (CVE-2026-118207, CVSS 8.8) complètent le tableau des priorités absolues pour les équipes SOC et RSSI. Les mises à jour cumulatives Windows 11 KB5132061 / KB5131087 / KB5132059 et Windows 10 KB5131096 sont disponibles via Windows Update et WSUS dès maintenant.

Les vulnérabilités critiques à corriger en priorité

CVE-2026-124194 — Spoofing Outlook / divulgation hash NTLMv2

• CVSS : 6.5 (Moderate — mais exploité activement)
• Produit : Microsoft Outlook, Microsoft 365 Apps for Enterprise
• Type : Spoofing / Information Disclosure (NTLMv2 hash)
• Statut : 0-day exploité dans la nature — ajouté au catalogue CISA KEV (délai fédéral : 24/11/2026)

L'ouverture d'un fichier .msg ou .eml malveillant provoque une connexion automatique d'Outlook vers un partage réseau contrôlé par l'attaquant, sans afficher d'avertissement sur le contenu externe (faiblesse CWE-356). Le hash NTLMv2 de l'utilisateur est alors capturé et peut être utilisé dans des attaques de type NTLM relay pour accéder à d'autres ressources réseau. La Preview Pane n'est pas un vecteur. Microsoft confirme l'exploitation active sans en préciser l'origine ni l'échelle.

CVE-2026-118207 — RCE Exchange Server

• CVSS : 8.8 (Critical) — vecteur AV:N/AC:L/PR:L/UI:N
• Produit : Microsoft Exchange Server Subscription Edition (RTM)
• Type : Remote Code Execution
• Statut : Non exploité publiquement — PoC non public

Un attaquant authentifié avec un compte de faibles privilèges peut exécuter du code arbitraire sur le serveur Exchange via une requête réseau spécialement forgée. La combinaison de faible complexité d'attaque (AC:L) et absence d'interaction utilisateur (UI:N) classifie cette vulnérabilité parmi les plus dangereuses du mois pour les organisations déployant Exchange on-premises. Le KB5133453 corrige cette faille. Une deuxième vulnérabilité Exchange, CVE-2026-118208, a également été corrigée dans le même lot.

CVE-2026-119952 — RCE Windows Schannel

• CVSS : 8.1 (Critical) — complexité élevée (AC:H)
• Produit : Windows (toutes versions supportées), Windows Server
• Type : Remote Code Execution
• Statut : Non exploité — pas de PoC public

Une discordance temporelle observable (timing side-channel) dans Schannel, la pile TLS/SSL native de Windows, permet à un attaquant non authentifié d'exécuter du code à distance sur toute machine acceptant des connexions TLS. L'exploitation requiert une complexité élevée (synchronisation précise), ce qui limite le risque immédiat, mais la surface d'exposition est considérable : tous les services Windows exposant TLS (IIS, RDP, LDAPS, Exchange, etc.) sont potentiellement affectés. KB5131077 corrige ce composant.

CVE-2026-125137 — Élévation de privilèges Windows Graphics Kernel

• CVSS : 7.8 (High)
• Produit : Windows 10, Windows 11, Windows Server 2022/2025
• Type : Elevation of Privilege
• Statut : Non exploité — recherche académique

Un attaquant disposant d'un accès local standard peut exploiter une faille dans le composant Graphics Kernel de Windows pour obtenir des privilèges SYSTEM. Ce type de vulnérabilité est classiquement enchaîné avec un vecteur d'intrusion initial (phishing, RCE web) pour compléter une chaîne d'attaque. Les mises à jour cumulatives KB5132061 (Windows 11) et KB5131096 (Windows 10) incluent ce correctif.

Mises à jour cumulatives Windows — KB notables

• KB5132061 : Windows 11 25H2 (build 26200.9974) et 26H2 (build 26300.9974) — active le signing NTLM par défaut pour les connexions non-anonymes, renforce la vérification des signatures PowerShell
• KB5131087 : Windows 11 24H2
• KB5132059 : Windows 11 23H2
• KB5131096 : Windows 10 (mise à jour de sécurité étendue — Microsoft 365 requis)

Zero-day exploité dans la nature

Ce mois de novembre 2026 compte un seul zero-day activement exploité : CVE-2026-124194 (Outlook NTLM spoofing). La CISA l'a immédiatement ajouté à son catalogue Known Exploited Vulnerabilities avec une date limite de remédiation au 24 novembre 2026 pour les agences fédérales américaines, ce qui témoigne de la gravité perçue malgré un score CVSS relativement modéré (6.5).

La technique d'attaque repose sur l'envoi d'un fichier de messagerie piégé (.msg, .eml) à une cible. À l'ouverture, Outlook établit automatiquement une connexion SMB ou WebDAV vers un serveur contrôlé par l'attaquant, transmettant le hash NTLMv2 de la session Windows en cours. Ce hash peut ensuite être cracké hors-ligne ou utilisé dans une attaque NTLM relay, notamment pour s'authentifier sur d'autres services internes (SharePoint, Exchange, partages réseau). Microsoft confirme l'exploitation dans la nature mais n'a pas divulgué les acteurs ou les secteurs ciblés.

Workaround si patch immédiat impossible : bloquer les connexions SMB/WebDAV sortantes depuis les postes utilisateurs vers Internet (ports 445 et 80/443 vers des destinations non approuvées) et désactiver NTLM vers les hôtes externes via GPO (Network Security: Restrict NTLM: Outgoing NTLM traffic to remote servers).

Recommandations RSSI / SOC

• Déployer le patch immédiatement sur tous les postes Outlook (CVE-2026-124194 — CISA KEV)
• Patcher Exchange Server en priorité (CVE-2026-118207, CVSS 8.8) — KB5133453
• Appliquer KB5132061 / KB5131087 / KB5132059 sur Windows 11 et KB5131096 sur Windows 10
• Patcher les services exposant TLS/Schannel sur Internet (CVE-2026-119952) — KB5131077
• Si patch Outlook impossible sous 24h : bloquer SMB sortant (port 445) et NTLM vers hôtes externes via GPO
• Surveiller dans les logs : tentatives d'authentification NTLM vers des destinations inconnues, connexions SMB inhabituelles depuis les postes de travail, alertes Defender for Identity sur relay attacks
• Vérifier l'activation du signing NTLM automatique (KB5132061 l'active par défaut sur Windows 11)