Microsoft a publié le 10 novembre sa mise à jour de sécurité mensuelle : 1 093 nouvelles vulnérabilités corrigées selon Tenable, un total conforme aux données de Microsoft, dont une seule déjà exploitée par des attaquants, CVE-2026-124194, dans Outlook. Le volume reste vertigineux, même s’il recule par rapport au record d’octobre. Pour les équipes informatiques des PME, l’enjeu est de trier : quelques correctifs touchent des services exposés au réseau et méritent d’être installés sans attendre.
La faille Outlook : un fichier ouvert, un mot de passe exposé
CVE-2026-124194 est classée comme une usurpation d’identité, avec un score CVSS de 6,5 et une sévérité seulement « modérée ». Ce classement modeste ne doit pas rassurer : l’avis de Microsoft confirme qu’elle a été exploitée avant la sortie du correctif. D’après Security Affairs, l’attaquant envoie un fichier de message piégé et doit convaincre sa cible de l’ouvrir. Outlook contacte alors un serveur contrôlé par le pirate, sans afficher l’avertissement habituel sur le contenu externe.
Cette connexion peut livrer l’empreinte NTLMv2 de l’utilisateur, une forme dérivée de son mot de passe que l’attaquant peut réutiliser pour se faire passer pour lui, précise Tenable. Le simple affichage dans le volet de prévisualisation ne suffit pas à déclencher l’attaque. Selon CyberScoop, l’agence américaine CISA l’a rapidement ajoutée à son catalogue des failles activement exploitées, dès le 10 novembre. Tenable relève un détail révélateur de l’époque : le bulletin attribue la découverte à un chercheur qui s’est servi de Claude, le modèle d’IA d’Anthropic.
Les failles critiques à traiter en priorité
Tenable compte 63 vulnérabilités critiques. Près de la moitié des failles du mois relèvent de l’élévation de privilèges, et un peu plus d’un quart de l’exécution de code à distance. Plusieurs méritent une attention immédiate :
- CVE-2026-116928, dans Windows Search accessible via Exchange Server : une exécution de code sans aucun clic, notée 9,8. Selon Security Affairs, il suffit que le serveur indexe automatiquement une pièce jointe malveillante. Dustin Childs, de la Zero Day Initiative, la juge plus grave que les neuf correctifs Exchange du mois, rapporte CyberScoop.
- CVE-2026-119958, dans le service LDAP de Windows, également notée 9,8 : exploitable sans authentification, elle pourrait faire des dégâts considérables sur les contrôleurs de domaine.
- CVE-2026-118146 (Active Directory Domain Services) et CVE-2026-118207 (Exchange Server), deux exécutions de code notées 8,8 que Microsoft juge plus susceptibles d’être exploitées, selon Tenable.
- CVE-2026-119952, dans Schannel, la brique de chiffrement des connexions de Windows, exploitable sans authentification malgré une complexité d’attaque élevée.
La Zero Day Initiative recense par ailleurs 30 failles qu’elle considère comme propagables d’une machine à l’autre sans intervention humaine, contre 59 le mois précédent, indique Security Affairs. Elles touchent notamment Message Queuing, le DNS et le serveur DHCP de Windows.
Moins de failles exploitées, mais pas moins d’attaques
Octobre détient le record, avec 1 413 failles corrigées, note CyberScoop ; novembre arrive juste derrière. Les décomptes varient d’ailleurs d’une source à l’autre. Le nombre de failles exploitées avant correctif, lui, recule. Dustin Childs refuse d’y voir une accalmie : selon lui, cela ne signifie pas que l’exploitation diminue sur le terrain. Il avance une explication : l’IA serait actuellement plus efficace pour décortiquer un correctif publié que pour découvrir et exploiter seule une faille dans un logiciel au code fermé. Autrement dit, le délai entre la publication d’un correctif et son exploitation pourrait se raccourcir.
Que faire concrètement
Pour une petite structure, la priorité va aux serveurs exposés : Exchange, contrôleurs de domaine, serveurs DNS et DHCP. Côté postes de travail, la mise à jour d’Office et d’Outlook écarte la faille déjà exploitée. Il est aussi utile de rappeler aux salariés de se méfier des fichiers de message reçus sans contexte, même d’un expéditeur connu. Enfin, un inventaire des machines non mises à jour, tenu à jour chaque mois, reste la meilleure protection contre un volume de correctifs devenu impossible à suivre ligne à ligne.
Questions fréquentes
Combien de failles le Patch Tuesday de novembre 2026 corrige-t-il ?
Tenable en compte 1 093, CyberScoop 1 094 ; les totaux varient selon les méthodes de comptage. Une seule faille, CVE-2026-124194 dans Outlook, était exploitée avant sa correction.
La faille Outlook se déclenche-t-elle à la simple réception d’un e-mail ?
Non. L’utilisateur doit ouvrir le fichier piégé. Le volet de prévisualisation n’est pas un vecteur d’attaque, selon l’avis de Microsoft rapporté par Security Affairs.
Quels correctifs installer en premier ?
Ceux d’Outlook et d’Office pour la faille exploitée, puis ceux des services réseau : Exchange, LDAP et Active Directory, DNS, DHCP et Schannel, qui concentrent les failles critiques exploitables à distance.
Sources
- Microsoft's November 2026 Patch Tuesday Addresses 1,093 CVEs (CVE-2026-124194) — Tenable, 2026-11-10
- Microsoft fixes over 1,000 vulnerabilities in November Patch Tuesday — CyberScoop, 2026-11-10
- Microsoft November Patch Tuesday: one exploited Outlook bug and 30 wormable flaws — Security Affairs, 2026-11-11
- CVE-2026-124194 — Microsoft Outlook Spoofing Vulnerability — Microsoft Security Response Center, 2026-11-10
- Known Exploited Vulnerabilities Catalog — CISA, 2026-11-10