Microsoft Outlook - CVE-2026-124194
Date de publication :
Il s’agit d’une vulnérabilité dans Microsoft Outlook, le client classique de la suite Office.
Elle est due à l’absence d’avertissement de l’utilisateur avant une action potentiellement dangereuse. Un attaquant non authentifié envoie un fichier de message spécialement conçu. La victime doit ouvrir ce fichier. Le volet de prévisualisation n’est pas un vecteur d’attaque. À l’ouverture, Outlook se connecte à un emplacement réseau contrôlé par l’attaquant. L’avertissement habituel de contenu externe n’est pas affiché. Une authentification NTLM est alors envoyée à cet emplacement. L’attaque se fait par le réseau, avec une complexité faible et sans privilège préalable.
Elle permet de récupérer le hash NTLMv2 de l’utilisateur. Ce hash peut ensuite servir à usurper l’identité de la victime.
Informations
La faille est activement exploitée : Oui
Un correctif existe : Oui
Une mesure de contournement existe : Non
Atteinte à la confidentialité des données
Exploitation
CWE-356 : Missing User Interaction for Potentially Unsafe Action
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Oui
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Une preuve de concept est disponible en sources ouvertes.
Systèmes ou composants affectés
Microsoft 365 Apps for Enterprise (32 et 64 bits) versions antérieures à la mise à jour de sécurité du 10 novembre 2026
- Microsoft Office LTSC 2024 (32 et 64 bits) versions antérieures à 16.0.17932.21140
- Microsoft Office LTSC 2021 (32 et 64 bits) versions antérieures à 16.0.14334.21048
Solutions ou recommandations
• Microsoft Office LTSC 2024 (32 et 64 bits) versions 16.0.17932.21140 et supérieures.
• Microsoft Office LTSC 2021 (32 et 64 bits) versions 16.0.14334.21048 et supérieures.