Le Patch Tuesday du 10 novembre corrige environ 1 090 failles, dont un zero-day Outlook déjà exploité, d’après Tenable (1 093 CVE) et SecurityWeek (1 094). Cette faille, CVE-2026-124194, peut dévoiler le hash d’authentification NTLMv2 d’un utilisateur.
Le volume reste exceptionnel : 63 failles sont classées critiques et 1 029 importantes, selon Tenable. En octobre, Microsoft avait corrigé un nombre record de CVE, 1 407 d’après Help Net Security, dans la continuité de ce Patch Tuesday record annoncé grâce à l’IA.
Prudence toutefois sur les décomptes : BleepingComputer en compte 1 235, et aucun éditeur n’explique les écarts entre ces chiffres. Nous n’avons pas pu consulter le bulletin officiel de Microsoft.
Le zero-day Outlook à corriger en priorité
La faille CVE-2026-124194 est une usurpation d’identité dans Outlook, notée 6,5 sur 10 et classée modérée. Un fichier de message piégé pousse Outlook à se connecter à un serveur de l’attaquant sans l’avertissement habituel de contenu externe, ce qui peut révéler le hash NTLMv2 de la victime. Ce hash permet ensuite de se faire passer pour elle. Microsoft ne l’avait pas rendue publique avant le correctif.
Elle touche Microsoft 365 Apps, Office LTSC 2021 et Office LTSC 2024. Le volet de lecture n’est pas un vecteur d’attaque : l’utilisateur doit ouvrir le fichier. Tenable et BleepingComputer indiquent que Microsoft la signale comme exploitée ; SecurityWeek écrit que l’avis ne donne aucun détail sur les attaques observées.
Une mise à jour d’Office, pas seulement de Windows
Selon TheTechHacker, seule source à l’affirmer, le correctif d’Outlook est livré par le canal de mise à jour d’Office et non par Windows Update. Il faut donc aussi lancer Fichier, Compte, Options de mise à jour, puis Mettre à jour maintenant, et redémarrer les applications Office. Aucune page lue ne mentionne de contournement proposé par Microsoft : en attendant, évitez d’ouvrir des fichiers de message inattendus, même venant d’un expéditeur connu.
Les autres failles critiques
Parmi les 63 failles critiques de Tenable figurent trois exécutions de code à distance à surveiller : une dans Active Directory Domain Services (CVE-2026-118146), une dans Exchange Server (CVE-2026-118207), toutes deux notées 8,8 et exigeant une authentification, et une dans Windows Schannel (CVE-2026-119952, 8,1), exploitable sans authentification. Tenable juge l’exploitation « plus probable » pour ces trois failles.
Du côté des produits, Windows reste le plus touché (726 failles selon SecurityWeek), devant Office (174) et SQL Server (59). Azure OpenAI et Azure Managed Grafana figurent aussi parmi les failles critiques, d’après BleepingComputer. Pour la répartition, l’élévation de privilèges domine, avec 48,9 % des CVE selon Tenable.
Les mises à jour Windows à installer
Sous Windows 11, la mise à jour cumulative de novembre est la KB5132061 pour les versions 24H2, 25H2 et 26H2, et la KB5132059 pour la 26H1, d’après TheTechHacker. Pour Windows 10 sous mises à jour de sécurité étendues, BleepingComputer cite la KB5131096. L’installation passe par Windows Update ou par le catalogue Microsoft Update, comme d’habitude. Pour les nouveautés de la branche annuelle, voir notre article sur Windows 11 26H2.
La KB5132061 corrige aussi l’erreur Code 10 de certains périphériques audio USB, active par défaut la signature NTLM pour les connexions non anonymes et durcit la vérification des scripts PowerShell signés. TheTechHacker ne signale aucun problème connu à la sortie. SecurityWeek note que ce sont les dernières mises à jour mensuelles de Windows 11 23H2 pour les éditions Enterprise et Éducation.
Et PHP2Shell dans tout ça ?
La faille PHP2Shell (CVE-2026-109618 et CVE-2026-109619), traitée dans cet article et cette analyse, ne relève pas de Microsoft. Aucun Patch Tuesday ne la corrige : Help Net Security rappelle qu’il faut remplacer le runtime PHP, puis arrêter et redémarrer le serveur web, faute de quoi l’ancien code reste en mémoire. Les administrateurs qui hébergent des sites concernés doivent donc traiter ce chantier à part.
Reste à surveiller les effets des mises à jour
Reste à voir si des problèmes apparaissent après le déploiement massif de cette semaine, et si Microsoft détaille un jour l’exploitation du zero-day d’Outlook. Nous mettrons cet article à jour si un correctif d’urgence ou une exploitation supplémentaire est signalé.