Patch Tuesday de novembre 2026 : 63 correctifs Microsoft critiques, plus un Zero Day Outlook qui permet le vol d’informations d’identification hachées

Une vulnérabilité Zero Day actuellement exploitée qui permet aux attaquants de voler les informations d’identification Outlook NTLM hachées fait partie des 1 094 failles corrigées par Microsoft dans ses versions du Patch Tuesday de novembre.

Bien que classé comme étant de gravité modérée, avec un score CVSS de 6,5, les administrateurs Windows doivent immédiatement traiter le CVE-2026-124194, car les acteurs malveillants l’attaquent déjà. « Ne vous laissez pas tromper par ce faible score », a déclaré Nick Carroll, responsable de la réponse aux cyberincidents chez Nightwing.

Les produits concernés incluent Microsoft 365 Apps for Enterprise et Office LTSC 2021 et 2024. Cependant, étant donné que l’utilisateur doit ouvrir un fichier Office malveillant pour lancer l’attaque, une bonne formation de sensibilisation à la cybersécurité des employés et une passerelle de messagerie efficace pourraient atténuer cette attaque jusqu’à ce que le correctif soit installé.

L’ouverture du fichier malveillant pourrait amener Outlook à se connecter à un emplacement réseau contrôlé par un attaquant sans afficher l’avertissement de contenu externe habituel, divulguant potentiellement des informations d’authentification qui pourraient être utilisées pour usurper l’identité de l’utilisateur. La vulnérabilité divulgue le hachage du mot de passe NTLMv2 d’un utilisateur à l’attaquant, qui peut être en mesure de le relayer vers d’autres systèmes pour se connecter en tant qu’utilisateur, ou de le déchiffrer pour récupérer le mot de passe.

Microsoft, qui utilise son modèle d’IA pour trouver des milliers de vulnérabilités dans ses produits depuis l’été, a crédité un chercheur d’Anthropic utilisant l’assistant Claude AI pour avoir trouvé la vulnérabilité d’Outlook. Cela a amené Satyam Narang, chercheur principal chez Tenable, à commenter : « Pendant la majeure partie de l’année, l’IA a construit de plus grosses meules de foin à travers les versions du Patch Tuesday, et cela semble être la première fois qu’elle trouve une aiguille. »

Par ailleurs, SAP a corrigé une vulnérabilité critique de corruption de mémoire appelée ICM2Shell, avec une note CVSS de 10. Découverte par des chercheurs d’Onapsis, la vulnérabilité a un impact sur la façon dont le noyau SAP gère le trafic WebSocket. Onapsis a déclaré qu’une séquence spécialement conçue de messages WebSocket pourrait soit faire planter un processus, soit permettre à un attaquant d’exécuter du code à distance. Sont concernés SAP Internet Communications Manager (ICM), qui se trouve à l’intérieur du noyau, et SAP Web Dispatcher, un proxy inverse que de nombreuses organisations placent à la périphérie de leur réseau.

Correctifs Microsoft

Sur les 1 094 vulnérabilités Microsoft, 63 ont été jugées critiques.

Quatre failles ont un score de gravité CVSS de 9,8, a noté Jack Bicer, directeur de la recherche sur les vulnérabilités chez Action1, et trois d’entre elles ne nécessitent aucune information d’identification ni aucune action de l’utilisateur pour être exploitées. La vulnérabilité d’exécution de code à distance Windows LDAP (CVE-2026-119958) permet à un attaquant non authentifié d’exécuter du code dans le service Windows LDAP, ce qui met en danger les contrôleurs de domaine et l’ensemble de l’environnement Active Directory.

La vulnérabilité d’exécution de code à distance du serveur Microsoft Exchange (CVE-2026-118207) peut être déclenchée par toute personne capable d’envoyer des e-mails à l’organisation, a déclaré Bicer, et la vulnérabilité d’exécution de code à distance du service réseau Windows Xbox Live (CVE-2026-112967) donne à un attaquant sur le même réseau le contrôle total d’un système Windows.

La quatrième, la vulnérabilité d’élévation de privilèges Azure OpenAI (CVE-2026-119990), se trouve dans un service cloud dont dépendent désormais de nombreuses équipes. Cependant, ce service est automatiquement corrigé par Microsoft.

Message Queuing mérite un inventaire avant de recevoir un correctif : recherchez chaque serveur sur lequel le service est activé, désactivez-le là où aucune application n’en a besoin et corrigez le reste le même jour, a-t-il déclaré, ajoutant que les hôtes hyperviseurs ont besoin de leur propre fenêtre de maintenance, car un invité échappé devient un problème pour chaque locataire de cet hôte.

« Ce que les défenseurs doivent savoir et faire dès maintenant, c’est abandonner le tri large et prendre des mesures défensives immédiates », a déclaré Dustin Childs, responsable de la sensibilisation aux menaces chez Zero Day Initiative de TrendAI. Cela signifie d’abord appliquer des correctifs à Exchange et aux contrôleurs de domaine (c’est-à-dire LDAP/Kerberos) pour arrêter la compromission sans clic, cloisonner les services réseau exposés comme DNS et DHCP pour empêcher la propagation des vers et vérifier les correctifs administratifs manuels sur les services cloud utilisés par votre organisation.

Tyler Reguly, directeur associé de la R&D en matière de sécurité chez Fortra, a observé qu’il y a moins de vulnérabilités Microsoft ce mois-ci qu’en octobre, mais a noté : « Je ne suis pas assez stupide pour penser que cette seule baisse indique que nous sommes dans la tendance à la baisse que j’avais prédit dans les mois à venir. Au lieu de cela, je pense que nous constatons une poursuite des chiffres élevés alors que Microsoft continue de résoudre des problèmes cachés depuis longtemps qui sont révélés par l’IA. Bientôt, cependant, ces chiffres commenceront à diminuer comme le dernier Certains de ces problèmes longtemps cachés sont résolus et nous n’avons que de nouveaux bugs à gérer.

Correctifs SAP

Les vulnérabilités critiques collectivement connues sous le nom d’ICM2Shell sont CVE-2026-76964 et CVE-2026-89126. Les chercheurs de l’Onapsis, qui les ont découverts, ont déclaré que leur exploitation n’était pas théorique ; ils ont fourni à SAP un exploit fonctionnel qui permet d’exécuter de bout en bout du code à distance complet et non authentifié, en exécutant des commandes arbitraires comme sur le système cible. La condition de déni de service, à son tour, s’est reproduite sur chaque version du noyau SAP testée.

Pour accéder à la faille, un attaquant n’a besoin que d’un accès réseau au port HTTP/HTTPS, explique Onapsis. Étant donné que la prise en charge de WebSocket est activée par défaut dans ICM et SAP Web Dispatcher, un système est exposé même si aucune application n’utilise WebSocket. Certains services, y compris les services ICF par défaut dans SAP S/4HANA, acceptent les connexions WebSocket sans authentification, et dans d’autres, la faille peut être atteinte avant l’authentification. « Rien dans la chaîne ne nécessite un utilisateur SAP, un mot de passe ou un certificat », ont déclaré les chercheurs.

Le compte possède l’installation SAP, ont souligné les chercheurs, y compris ses exécutables, ses profils d’instance, son magasin sécurisé et sa connexion à la base de données. L’exécution de commandes en tant qu’utilisateur accorde un contrôle total sur le système SAP. Un attaquant pourrait, entre autres choses, récupérer les informations d’identification de la base de données et d’autres secrets du magasin et des profils sécurisés et les utiliser pour lire ou modifier des données commerciales directement dans la base de données ; collecter les destinations RFC et les informations d’identification techniques qui leur permettent de passer aux systèmes SAP et non SAP connectés à celui-ci ; modifier la configuration ou les binaires pour conserver un accès persistant ; et détruire les données.

Autres correctifs

Chris Goettl, vice-président de la gestion des produits chez Ivanti, a attiré l’attention sur les correctifs d’Adobe, Mozilla et Google.

Adobe a publié neuf bulletins de sécurité qui résolvent 110 CVE, dont 22 critiques. Adobe a déclaré qu’il n’était au courant d’aucun exploit dans la nature. Les deux mises à jour de priorité 2 comportent le plus de risques ; Connect (APSB26-191) possède le plus grand nombre de CVE avec 24, dont 18 critiques et six classés CVSS 10.0. Les vulnérabilités couvrent SSRF, la traversée de chemin et l’injection SQL, et affectent les versions 12.12 et antérieures de Windows sur site. Le correctif Experience Manager (APSB26-189) corrige 14 CVE, dont quatre failles d’exécution de code critiques notées CVSS 9.9.

Google Chrome 157.0.8103.50, publié lundi, a résolu neuf CVE, dont CVE-2026-125350, qui est activement exploité dans la nature. Il s’agit du huitième exploit Zero Day de Chrome en 2026, a noté Goettl. Les navigateurs basés sur Chromium tels que Microsoft Edge auront également besoin du correctif, et les utilisateurs doivent relancer après la mise à jour pour que le correctif prenne effet. Cette version corrigée fait suite à la version du 3 novembre de Chrome 157, qui corrigeait 213 vulnérabilités, dont sept critiques. Par ailleurs, le bulletin Android de Google de novembre a corrigé 216 vulnérabilités, dont 23 critiques, et aucune n’a été signalée comme exploitée. L’objectif est que le niveau de correctif soit le 05/11/2026 ou une version ultérieure.

La version du 10 novembre de Mozilla inclut Firefox 160, qui résout 99 CVE (dont 57 sont classés Élevé). Firefox ESR 153.7 résout 81 vulnérabilités. (51 High), et ESR 115.45 résout 28, tous High. La plupart des problèmes les mieux notés sont des failles d’utilisation après libération et de limite de mémoire dans les composants graphiques, DOM, de mise en page et JavaScript, y compris un certain nombre d’échappements de bac à sable tels que CVE-2026-124907, une utilisation après libération dans CanvasWebGL qui permet l’élévation de privilèges et l’échappement du bac à sable. La même faille est corrigée dans Thunderbird 160 et Thunderbird 153.7.