Ep.796 – Outlook, Patch Tuesday de novembre – Flash info du mardi 10 novembre 2026

🐛 Microsoft corrige la CVE-2026-124194 (CVSS 6,5, gravité modérée), une faille de spoofing d’Outlook exploitée, qui relève de la CWE-356, product UI does not warn user of unsafe actions. Un fichier de message piégé (T1566.001), une fois ouvert, fait connecter Outlook à un emplacement réseau de l’attaquant sans avertissement et livre le hash NTLMv2 de l’utilisateur (T1187). Le volet de lecture n’est pas un vecteur. Inscrite au catalogue KEV de la CISA le 10 novembre 2026 ; aucun PoC public signalé. Versions corrigées : Office LTSC 2024 en 16.0.17932.21140, Office LTSC 2021 en 16.0.14334.21048, Microsoft 365 Apps for Enterprise via https://aka.ms/OfficeSecurityReleases.

📈 L’export du Security Update Guide recense 1 093 CVE publiées le 10 novembre : 63 critiques, 1 029 importantes, une modérée. Par impact : 535 élévations de privilèges, 296 exécutions de code à distance, 156 fuites d’informations, 46 dénis de service, 27 contournements de fonction de sécurité, 22 spoofing, 11 altérations. Windows totalise 756 CVE (36 critiques), Office 174 (22 critiques), SQL Server 53 et SharePoint 27 (aucune critique). Le Crabe Info annonce 1 235 failles, l’écart tenant au périmètre du décompte.

🪟 Exécutions de code critiques dans Windows : SMB Server, pilote de transport réseau srvnet.sys (CVE-2026-113825), TCP/IP sur Windows 11 24H2 et suivants et Windows Server 2025 (CVE-2026-113859), LDAP (CVE-2026-119958, CVSS 9,8, réseau, sans privilège ni interaction), Windows Search (CVE-2026-116928, CVSS 9,8), Xbox Live Networking Service sur Windows 11 (CVE-2026-112967, CVSS 9,8), Function Discovery Resource Publication (CVE-2026-125134), Network Connected Devices Auto-Setup Service (CVE-2026-125136), plus cinq failles dans Message Queuing. Cyber Security News cite aussi Schannel, CredSSP, IIS, Print Spooler, Active Directory Domain Services et RPC Runtime. Builds corrigés dans l’export, par exemple 10.0.26100.33730 pour Windows Server 2025 et 10.0.20348.5870 pour Windows Server 2022.

🔓 Failles classées importantes avec un score CVSS de 9,8 ou plus, exploitables par le réseau : Windows Kerberos, élévation de privilèges sans privilège ni interaction (CVE-2026-85844, 9,8) ; Windows DHCP Server (CVE-2026-88243, 9,8, Windows Server 2016 à 2025) ; Windows DNS (CVE-2026-88218, 9,8) ; Windows iSCSI (CVE-2026-88234), Media Foundation (CVE-2026-96157), Color Management (CVE-2026-96078, CVE-2026-96067) et DirectMusic (CVE-2026-95901, CVE-2026-95882), toutes à 9,8. Hors Windows : SharePoint Server Subscription Edition, élévation de privilèges (CVE-2026-120002, 9,9, compte de faible privilège requis), Azure DevOps Server 2025 (CVE-2026-109467, 9,9) et SQL Server 2017 à 2025 (CVE-2026-116945, 9,8). DNS Server reçoit par ailleurs sept correctifs d’exécution de code classés importants. Exploitation jugée moins probable par Microsoft, aucune exploitation ni divulgation publique.

📄 22 failles critiques dans Office, dont 12 dans Excel, quatre dans Word et une dans PowerPoint, parmi lesquelles CVE-2026-124185 (Word), CVE-2026-124170 (Excel) et CVE-2026-120789 (Excel, CVSS 8,8, action de l’utilisateur requise, Office Online Server également concerné). Outlook : CVE-2026-111309, CVE-2026-110068 et CVE-2026-110043 critiques, CVE-2026-124227 et CVE-2026-124228 importantes, aucune exploitée. CVE-2026-110068 touche aussi Office 365 for Mac et Office LTSC for Mac 2021 et 2024.

🖥️ Hyper-V : huit élévations de privilèges critiques, CVE-2026-113753 (Windows 11 26H1 seulement), CVE-2026-113856, CVE-2026-113860, CVE-2026-113861, CVE-2026-113864, CVE-2026-113865, CVE-2026-119947 et CVE-2026-119960. Le noyau graphique de Windows corrige une élévation de privilèges critique, CVE-2026-125137. Aucune exploitation ni PoC public signalés.

📧 Exchange Server Subscription Edition RTM : CVE-2026-118207, exécution de code critique avec un score CVSS de 8,8, exploitable par le réseau avec un compte de faible privilège et sans interaction, exploitation jugée plus probable par Microsoft, et huit failles importantes (CVE-2026-118149 en exécution de code ; CVE-2026-118150, -118151, -118154 et -118157 en élévation de privilèges ; CVE-2026-118152 et -118208 en spoofing ; CVE-2026-118153 en déni de service). Build corrigé : 15.02.2562.057.

☁️ Microsoft Malware Protection Engine : CVE-2026-122194, exécution de code critique, corrigée en version 1.1.26100.4. Azure OpenAI (CVE-2026-119990, CVSS 9,8, réseau, sans privilège) et Azure Managed Grafana (CVE-2026-114160) : élévations de privilèges critiques. Raw Image Extension : CVE-2026-114169, exécution de code critique, corrigée en 2.5.42.0 et 2.4.43.0 selon la branche.

Sources :

• Security Updates, export du 10 novembre 2026. Microsoft Security Update Guide : https://msrc.microsoft.com/update-guide
• Microsoft Windows Kerberos Elevation of Privilege Vulnerability, CVE-2026-85844. Microsoft Security Update Guide : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-85844
• Windows DHCP Server Remote Code Execution Vulnerability, CVE-2026-88243. Microsoft Security Update Guide : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-88243
• Windows LDAP Remote Code Execution Vulnerability, CVE-2026-119958. Microsoft Security Update Guide : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-119958
• Microsoft SharePoint Server Elevation of Privilege Vulnerability, CVE-2026-120002. Microsoft Security Update Guide : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-120002
• Microsoft Office Excel Remote Code Execution Vulnerability, CVE-2026-120789. Microsoft Security Update Guide : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-120789
• Microsoft Exchange Server Remote Code Execution Vulnerability, CVE-2026-118207. Microsoft Security Update Guide : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118207
• Microsoft November 2026 Patch Tuesday Fixes 1,093 Vulnerabilities, Including Outlook Zero-Day. Cyber Security News : https://cybersecuritynews.com/microsoft-november-2026-patch-tuesday/
• CISA Adds Six Known Exploited Vulnerabilities to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/11/10/cisa-adds-six-known-exploited-vulnerabilities-catalog
• Windows 11 : la mise à jour obligatoire de novembre 2026 est là, voici tout ce qui change sur votre PC !. Le Crabe Info : https://lecrabeinfo.net/mises-a-jour-windows/windows-11-kb5132061-novembre-2026/

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #PatchTuesday #Microsoft #Outlook #NTLM #ZeroDay #KEV #Windows #Office #Kerberos #DHCP #HyperV #Exchange #Defender #CVE-2026-124194 #CVE-2026-113825 #CVE-2026-85844 #CVE-2026-120789 #CVE-2026-125137 #CVE-2026-118207 #CVE-2026-122194 #RadioCSIRT