Introduction
Depuis le 10 novembre 2026, une faille zero-day activement exploitée affecte plusieurs versions d'Office : ouvrir un simple fichier de message malveillant suffit à transmettre le hash NTLMv2 de l'utilisateur à un attaquant, sans qu'aucun avertissement ne s'affiche. Référencée CVE-2026-124194, intégrée immédiatement au catalogue KEV de la CISA et désormais en cours d'exploitation active, cette vulnérabilité rappelle pourquoi NTLM demeure un vecteur d'attaque persistant dans les environnements Microsoft, même après des années d'efforts de dépréciation.
Un vecteur sans friction pour l'utilisateur
Le mécanisme est redoutablement simple. L'attaquant envoie un fichier de message spécialement forgé à sa cible. Dès que celle-ci l'ouvre dans une version vulnérable d'Outlook, le client établit automatiquement une connexion sortante vers un serveur sous le contrôle de l'attaquant, sans demande de confirmation, sans bannière d'avertissement, sans qu'aucune action supplémentaire ne soit requise. La connexion transmet le hash NTLMv2 de la session en cours.
Un point atténuant : la faille ne peut pas être déclenchée depuis le volet d'aperçu. L'ouverture complète du fichier est nécessaire. Cette contrainte réduit légèrement la surface d'exposition, mais reste insuffisante pour neutraliser le risque dans les environnements où les utilisateurs traitent quotidiennement des pièces jointes.
Du hash capturé à la compromission du réseau
Un hash NTLMv2 intercepté ouvre deux voies à l'attaquant. La première est le relay NTLM : le hash est retransmis en temps réel vers d'autres services internes pour s'authentifier en tant que la victime. La seconde est le craquage hors ligne : soumis à des outils spécialisés, le hash peut permettre de retrouver le mot de passe en clair.
Dans un environnement Active Directory, les conséquences dépassent largement la boîte mail compromise. Un compte aux droits modérés peut ouvrir un chemin vers des partages sensibles, des services RPC ou des contrôleurs de domaine selon la topologie réseau.
Produits concernés et délai de remédiation
CVE-2026-124194 touche Microsoft 365 Apps for Enterprise, Office LTSC 2021 et Office LTSC 2024, en versions 32 et 64 bits. Son score CVSS est de 6,5, classé « modéré », mais la CISA a fixé au 24 novembre 2026 la date butoir de remédiation pour les agences fédérales américaines. Dans les faits, c'est ce calendrier court, et non le scoring de sévérité, qui en fait la priorité absolue du cycle de novembre. Le correctif est disponible depuis le 10 novembre via Windows Update et le Microsoft Update Catalog.
NTLM : ce que le patch ne ferme pas seul
Cette faille ne surgit pas de nulle part. Microsoft mène depuis plusieurs années la dépréciation progressive de NTLM au profit de protocoles modernes : Windows 11 active désormais par défaut la signature des messages NTLM pour les connexions non anonymes, réduisant le risque de relay. Kerberos reste le protocole recommandé pour tout environnement maîtrisé.
Pourtant, des millions de postes et d'applications métier continuent de négocier en NTLM, faute de migration achevée ou d'applications encore incompatibles avec Kerberos. CVE-2026-124194 l'illustre : tant que NTLM reste actif dans l'environnement, tout composant capable de déclencher une connexion réseau, messagerie, lecteurs mappés, partages UNC, constitue une surface d'attaque latente. Appliquer le correctif de novembre est indispensable ; activer Enhanced Protection for Authentication (EPA) et auditer les configurations NTLM encore actives est ce qui ferme la porte durablement.