Outlook et Chrome, deux failles déjà exploitées : les mises à jour de novembre à installer

Entre le 9 et le 10 novembre 2026, Google et Microsoft ont corrigé deux vulnérabilités qui, selon les éditeurs eux-mêmes, étaient déjà exploitées dans des attaques réelles : l’une dans Microsoft Outlook (CVE-2026-124194), l’autre dans Google Chrome (CVE-2026-125350). Le 10 novembre, l’agence américaine CISA les a ajoutées toutes deux à son catalogue des vulnérabilités exploitées.

Outlook et le navigateur sont présents sur les ordinateurs de presque tous les bureaux. Pour une PME tessinoise, le message est pratique : ces deux mises à jour ne doivent pas attendre le prochain redémarrage aléatoire, mais être installées et vérifiées cette semaine.

Outlook : un fichier de message qui divulgue les identifiants

Selon la fiche de Microsoft, un attaquant peut envoyer un fichier de message spécialement conçu et convaincre l’utilisateur de l’ouvrir dans Outlook. À l’ouverture, Outlook peut se connecter à une ressource réseau contrôlée par l’attaquant sans afficher l’avertissement habituel sur le contenu externe. Le hachage NTLMv2 de l’utilisateur peut ainsi être exposé, c’est-à-dire une empreinte de ses identifiants Windows qui peut servir à s’authentifier à sa place.

• Gravité officielle : CVSS 3.1 de 6.5, « modérée » pour Microsoft. Le score reste limité car une action de l’utilisateur est nécessaire, mais la faille est déjà exploitée et Microsoft indique qu’une action du client est requise.
• Volet de lecture : selon Microsoft, ce n’est pas un vecteur d’attaque ; il faut ouvrir le fichier.
• Produits concernés : Microsoft 365 Apps for Enterprise, Office LTSC 2021 et Office LTSC 2024.

Versions corrigées indiquées par Microsoft :

Chrome : une page web et le navigateur est compromis

Le 9 novembre, Google a publié Chrome 157.0.8103.50/.51 pour Windows et Mac et 157.0.8103.50 pour Linux, avec neuf correctifs de sécurité. Google indique avoir connaissance d’un exploit en circulation pour CVE-2026-125350, une erreur de gestion de la mémoire dans le composant XML : selon la description officielle, une page HTML conçue à cet effet peut faire exécuter du code dans le bac à sable du navigateur. Le NVD indique un score CVSS de 8.8.

Les autres navigateurs basés sur Chromium sont aussi concernés. Pour Microsoft Edge, au moment de la publication, les notes de sécurité de Microsoft indiquent que le correctif est en préparation : il faut l’installer dès qu’il est disponible.

Et les serveurs Windows ?

La publication de novembre de Microsoft contient des correctifs pour plus de mille vulnérabilités. À part Outlook, aucune n’est signalée comme exploitée, mais certaines ont des scores très élevés : par exemple CVE-2026-119958 dans le service LDAP de Windows (CVSS 9.8, sans identifiants), important pour les contrôleurs de domaine. Microsoft juge l’exploitation « moins probable ». Qui gère un serveur Windows au bureau devrait tout de même planifier rapidement les mises à jour de novembre.

Que faire cette semaine

1. Mettre à jour Office sur tous les ordinateurs avec Outlook. Dans Outlook : Fichier, Compte Office, Options de mise à jour, Mettre à jour. Puis comparer le numéro de build avec le tableau ci-dessus, ou le demander au prestataire informatique.
2. Mettre à jour Chrome et le relancer. Menu Aide, À propos de Google Chrome, puis Relancer. Un navigateur resté ouvert pendant des jours n’applique pas la mise à jour.
3. Surveiller Edge et les autres navigateurs Chromium (Brave, Opera, Vivaldi) et installer le correctif dès sa sortie.
4. Prévenir les collaborateurs. Ne pas ouvrir de fichiers de message ou de pièces jointes Office inattendus, même si l’expéditeur semble connu. L’hameçonnage reste la porte d’entrée la plus fréquente, comme nous l’avons vu avec les fausses réservations d’hôtel.
5. Demander au prestataire informatique si le trafic SMB vers Internet est bloqué sur le pare-feu : c’est une mesure de défense générale contre la fuite d’identifiants NTLM.
6. Renforcer les accès. Si des identifiants sont exposés, l’authentification à plusieurs facteurs limite les dégâts : voir les cinq niveaux de sécurité des accès.

Nous ne publions pas de détails sur l’exploitation de ces failles : l’objectif est de mettre à jour et de vérifier. Pour les failles exploitées du mois dernier, voir aussi notre récapitulatif de fin octobre.

Si un compte a été compromis : signalements

• Changer immédiatement le mot de passe du compte concerné et vérifier les connexions et les règles de transfert de la messagerie.
• Protection des données (nLPD). Si des données personnelles ont été exposées et que la violation entraîne vraisemblablement un risque élevé pour les personnes concernées, l’article 24 de la loi sur la protection des données prévoit l’annonce au PFPDT dans les meilleurs délais. Le guide du PFPDT aide à évaluer le cas.
• OFCS. Pour la plupart des PME, le signalement à l’OFCS est volontaire mais utile. Les exploitants d’infrastructures critiques ont en revanche l’obligation de signaler les cyberattaques dans les 24 heures suivant leur découverte.

Questions fréquentes

Nous utilisons Outlook sur le web ou sur le téléphone : sommes-nous concernés ?

La fiche de Microsoft ne mentionne que les applications de bureau d’Office (Microsoft 365 Apps, Office LTSC 2021 et 2024). Qui utilise aussi Outlook sous Windows doit le mettre à jour.

Microsoft 365 se met à jour tout seul : suffit-il d’attendre ?

En général oui, mais cela dépend du canal de mise à jour et du fait que l’application soit fermée puis rouverte. Il vaut la peine de vérifier le numéro de build au moins sur les ordinateurs les plus exposés, comme ceux de la comptabilité ou de la direction.

Chrome dit être à jour, mais la version est ancienne : pourquoi ?

Google déploie les mises à jour progressivement. En ouvrant la page À propos de Google Chrome, le navigateur recherche immédiatement la mise à jour ; il faut ensuite le relancer.

Notre approche

ElaraTeq Sagl aide les PME et cabinets au Tessin à gérer les mises à jour, à configurer de manière sûre la messagerie et les postes de travail et à sensibiliser les collaborateurs (conseil, hébergement en Suisse). Pour faire contrôler votre situation, vous pouvez nous contacter.

Sources

• Microsoft, CVE-2026-124194, Microsoft Outlook Spoofing Vulnerability, 10 novembre 2026
• Microsoft, Release notes for Microsoft 365 Apps security updates
• NIST NVD, CVE-2026-124194 et CVE-2026-125350
• CISA, Known Exploited Vulnerabilities Catalog (ajouts du 10 novembre 2026)
• Google, Stable Channel Update for Desktop, 9 novembre 2026
• Microsoft, Release notes for Microsoft Edge Security Updates
• Microsoft, CVE-2026-119958, Windows LDAP Remote Code Execution Vulnerability
• OFCS, Obligation de signaler les cyberattaques contre des infrastructures critiques
• PFPDT, Guide sur la notification des violations de la sécurité des données