CERT-In Signale l'Exploitation de Vulnérabilités dans Microsoft Outlook
Une vulnérabilité de Microsoft Outlook était exploitée dans la nature au moment de l'avis du CERT-In du 12 novembre 2026 sur les failles de sécurité de Microsoft, selon l'agence. L'entrée de sécurité de Microsoft identifie également la faille d'Outlook, CVE-2026-124194, comme exploitée.
Microsoft classe la vulnérabilité comme une usurpation et indique que l'exploitation dépend de l'ouverture par un destinataire d'un fichier de message spécialement préparé dans une version affectée d'Outlook. L'attaquant envoyant ce fichier n'a pas besoin d'être authentifié. Selon Microsoft, l'ouverture de ce fichier peut amener Outlook à accéder à un emplacement réseau contrôlé par l'attaquant, exposant potentiellement le hachage NTLMv2 de l'utilisateur. Microsoft précise que le volet de prévisualisation n'est pas une voie pour cette attaque.
L'entrée Outlook reçoit une évaluation Modérée de la part de Microsoft. Le CERT-In attribue une gravité Élevée à l'avis CIAD-2026-0059 dans son ensemble, qui couvre les vulnérabilités à travers plusieurs produits Microsoft. Les deux évaluations s'appliquent donc à des portées différentes : l'évaluation de Microsoft concerne la vulnérabilité individuelle d'Outlook, tandis que l'évaluation de l'agence couvre l'ensemble plus large.
Parmi les produits affectés listés par le CERT-In figurent Microsoft 365 Apps, Office, Windows et Windows Server. L'avis couvre également les vulnérabilités affectant SQL Server, SharePoint Server, Exchange Server et Internet Information Services. Son champ d'application s'étend à Edge, PowerShell, .NET, Entra, les composants Azure, les outils de développement Microsoft et d'autres composants Microsoft pris en charge.
La recommandation du CERT-In est d'installer les mises à jour de sécurité Microsoft pertinentes pour les vulnérabilités couvertes par l'avis. Pour les correctifs et les conseils associés, l'agence dirige les lecteurs vers les notes de publication des mises à jour de sécurité de Microsoft pour novembre 2026.
* Cet article est basé sur des informations publiquement disponibles au moment de la rédaction.