Patch Tuesday – Novembre 2026 : 1 093 failles corrigées, dont une faille zero-day dans Outlook
Après le record de 1 407 failles en octobre, Microsoft a corrigé 1 093 vulnérabilités avec le Patch Tuesday de novembre 2026. Une faille zero-day dans Outlook est déjà exploitée et elle permet de faire fuiter des informations d'authentification Windows. Windows 11 23H2 de son côté, reçoit ses derniers correctifs. Voici l'essentiel à retenir.
Le mardi 10 novembre 2026, Microsoft a publié son lot mensuel de correctifs de sécurité pour l'avant-dernière fois de l'année 2026. Pour rappel, le Patch Tuesday d'octobre 2026 avait établi un nouveau record avec 1 407 failles corrigées. Ce mois-ci, le compteur redescend à 1 093 vulnérabilités (sans compter les failles Edge), soit 314 de moins. Ne vous y trompez pas : cela reste le deuxième plus gros Patch Tuesday de l'histoire, devant celui de septembre et ses 973 failles. Le système MDASH de Microsoft a encore frappé...
Ce mois-ci, Windows est concerné par 733 failles. On retrouve aussi la suite Microsoft Office (174), SQL Server (52), SharePoint Server (27) et Exchange Server (9). Autre chiffre intéressant : près d'une faille sur deux (535) est une élévation de privilèges (elle permet à un attaquant qui a déjà un pied sur une machine d'obtenir des droits plus élevés). On compte aussi 296 vulnérabilités menant à une exécution de code à distance. Au total, 63 failles sont considérées comme critiques.
Alors, d'ailleurs, quelles failles méritent une attention particulière ? Voici celles que l'on peut citer :
LDAP (CVE-2026-119958) : une exécution de code à distance, avec un beau score CVSS de 9.8 sur 10. Un attaquant non authentifié peut exécuter du code dans le contexte du service LDAP en lui envoyant une série de requêtes spécialement conçues, sans aucune interaction d'un utilisateur. LDAP étant le protocole utilisé pour interroger l'annuaire Active Directory, les contrôleurs de domaine sont impactés. Microsoft juge toutefois son exploitation "moins probable".
Active Directory (CVE-2026-118146 et CVE-2026-118148) : deux failles critiques dans les services de domaine Active Directory, donc sur les contrôleurs de domaine. La première (8.8 sur 10) permet à un attaquant authentifié avec de faibles privilèges (un compte standard, par exemple), d'exécuter du code sur le serveur via une requête piégée. La seconde (7.5 sur 10) permet à un attaquant authentifié d'obtenir les privilèges SYSTEM, le niveau le plus élevé sur une machine Windows. Il doit toutefois remporter une race condition. Dans les deux cas, Microsoft estime que l'exploitation est "plus probable".
Outlook (CVE-2026-110043, CVE-2026-110068 et CVE-2026-111309) : trois exécutions de code à distance associées à des failles critiques (scores CVSS de 8.8 sur 10). Dans les trois cas, le volet de lecture est un vecteur d'attaque : le simple affichage d'un e-mail piégé suffit, sans ouvrir de pièce jointe ni cliquer sur un lien.
Exchange Server (CVE-2026-118207) : une exécution de code à distance critique (8.8 sur 10). Un attaquant authentifié, même avec un compte à faibles privilèges, peut exécuter du code sur le serveur en lui envoyant une requête malveillante. Le correctif est intégré à la mise à jour de sécurité KB5133453 pour Exchange Server SE (Subscription Edition). Exchange 2016 et 2019 ne sont pas dans la liste pour une raison simple : leur programme de mises à jour de sécurité étendues (ESU) s'est terminé en octobre 2026. Pour autant, cela ne veut pas dire que ces versions ne sont pas vulnérables...
Windows Search (CVE-2026-116928) : une exécution de code à distance associée à une faille critique, elle aussi notée 9.8 sur 10. D'après Microsoft, un attaquant non authentifié peut cibler le composant Windows Search utilisé par Exchange Server en envoyant un e-mail avec une pièce jointe piégée. Exchange traite automatiquement la pièce jointe pour l'indexer : le destinataire n'a donc pas besoin d'ouvrir l'e-mail, cela se joue côté serveur de messagerie ! Le correctif est intégré aux mises à jour cumulatives de Windows, et non à la mise à jour de sécurité d'Exchange.
Schannel (CVE-2026-119952) : Schannel est le composant de Windows qui gère les connexions chiffrées TLS. Cette faille critique (8.1 sur 10) permet à un attaquant non authentifié d'exécuter du code à distance avec un paquet spécialement conçu. L'attaque dépend toutefois de configurations spécifiques, ce qui limite le risque d'exploitation à grande échelle d'après Microsoft. L'entreprise américaine classe malgré tout son exploitation comme "plus probable".
Hyper-V (8 CVE) : huit vulnérabilités menant à une élévation de privilèges touchent l'hyperviseur de Microsoft. Avec la CVE-2026-113861 par exemple (7.5 sur 10), un attaquant qui dispose de privilèges élevés dans une machine virtuelle peut exécuter du code sur l'hôte Hyper-V, même si c'est soumis à une race condition. C'est un exemple de VM escape appliqué à Hyper-V, ce qui est toujours dangereux.
Par où commencer ? Voici l'ordre que je vous suggère :
Postes de travail : les mises à jour d'Office, pour la faille zero-day d'Outlook (détaillée ci-dessous) et les trois failles exploitables via le volet de lecture.
Contrôleurs de domaine : la mise à jour cumulative de Windows Server, pour la faille LDAP et les deux failles Active Directory.
Serveurs Exchange : la mise à jour cumulative de Windows Server, pour la faille Windows Search et le bug OWA, ainsi que la mise à jour de sécurité d'Exchange SE.
Hôtes Hyper-V : la mise à jour cumulative de Windows Server.
Une faille zero-day déjà exploitée dans Outlook - CVE-2026-124194
Ce mois-ci, Microsoft a corrigé une seule faille zero-day. Pour rappel, on parle de zero-day lorsqu'une faille est exploitée par des attaquants, ou rendue publique, avant qu'un correctif ne soit disponible. Ici, la vulnérabilité est déjà exploitée dans le cadre d'attaques !
Associée à un score CVSS de 6.5 sur 10, ce qui n'est pas énorme, la CVE-2026-124194 est pourtant exploitée. Cette vulnérabilité est une faille de type spoofing dans Outlook. Microsoft ne lui attribue qu'une sévérité modérée. Comme quoi, la sévérité ne fait pas tout.
Le scénario d'attaque, le voici : l'attaquant envoie à sa cible un fichier malveillant spécialement conçu (Microsoft parle d’un fichier Office malveillant, sans préciser son format). Lorsque l'utilisateur l'ouvre, Outlook se connecte à un emplacement réseau contrôlé par l'attaquant, sans afficher l'avertissement habituel sur le contenu externe. Le risque, c'est que cette connexion fasse fuiter le hash NTLMv2 de l'utilisateur.
Il ne s'agit pas du mot de passe lui-même, mais un attaquant qui capture cette information peut tenter de la casser hors ligne pour retrouver le mot de passe. Le hash NTLMv2 peut aussi être utilisé dans des attaques selon le principe de relais NTLM.
"L'exploitation nécessite une connectivité réseau et une interaction de l'utilisateur", précise Microsoft. En effet, la victime doit ouvrir le fichier malveillant pour que l'attaque se déclenche. La firme de Redmond ne donne aucun détail sur les attaques observées.
Cette faille affecte Microsoft 365 Apps for Enterprise, ainsi qu'Office LTSC 2021 et Office LTSC 2024. Le correctif est distribué via les mises à jour d'Office : pour Office LTSC, les versions corrigées sont la 16.0.14334.21048 (LTSC 2021) et la 16.0.17932.21140 (LTSC 2024). C'est aussi une piqûre de rappel sur les faiblesses de NTLM, un protocole que Microsoft veut abandonner. Dans un précédent article, j'avais détaillé le plan en 3 phases de Microsoft pour désactiver NTLM par défaut dans Windows.
Fin de parcours pour Windows 11 23H2 et un bug Exchange corrigé
Au-delà des failles, ce Patch Tuesday apporte deux informations importantes pour les administrateurs :
Windows 11 23H2 Entreprise et Éducation : la mise à jour de novembre 2026 est la dernière pour ces éditions, d'après le cycle de vie publié par Microsoft. Les éditions Famille et Professionnel ne sont plus prises en charge depuis novembre 2025. Il est temps de passer à une version plus récente, comme Windows 11 25H2 ou 26H2.
Exchange Server : vous avez été touché par le blocage d'OWA (Outlook sur le web) et de l'envoi des e-mails apparu après les mises à jour Windows Server d'octobre 2026 ? D'après la page de support de la KB5131080, ce problème est résolu par les mises à jour du 10 novembre 2026. La même mention figure sur les mises à jour de Windows Server 2016, 2019 et 2022.
Les mises à jour Windows de novembre 2026
Même si je prévois des articles complémentaires sur les nouvelles mises à jour, voici la liste des mises à jour cumulatives publiées ce mois-ci :
Windows 10 - KB5131096 : voici la mise à jour de sécurité de novembre 2026
Windows 11 KB5132061 : voici l'essentiel à savoir sur la mise à jour de novembre 2026 (avec un changement important pour NTLM)
Version
Mise à jour
Build
Windows 11 24H2, 25H2 et 26H2
26100.9974, 26200.9974 et 26300.9974
Windows 11 26H1
28000.3501
Windows 11 23H2
22631.7711
Windows 10 21H2 et 22H2
19044.7846 et 19045.7846
Windows Server 2025
26100.33822
Windows Server 2022
20348.5870
Windows Server 2019 et Windows 10 1809
17763.9487
Windows Server 2016 et Windows 10 1607
14393.9688
Pour Windows 11 24H2, seules les éditions Entreprise et Éducation sont encore concernées, les éditions Famille et Professionnel ayant reçu leur dernière mise à jour en octobre. Pour Windows 10, ces mises à jour sont réservées aux éditions LTSC et aux machines inscrites au programme ESU.
Ajouter IT-Connect à mes
sources préférées
Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.