Depuis que Microsoft confie à l’intelligence artificielle une partie de la recherche de vulnérabilités dans ses logiciels, ses mises à jour mensuelles ont changé d’échelle. Le Patch Tuesday de novembre 2026, publié le mardi 10 novembre, corrige ainsi près de 1 100 failles. La plus urgente est une faille Outlook déjà exploitée par des attaquants, qui permet de dérober l’empreinte du mot de passe Windows d’un utilisateur.
Une faille Outlook qui livre l’empreinte du mot de passe
Référencée CVE-2026-124194, la vulnérabilité est classée par Microsoft dans la catégorie de l’usurpation (spoofing), avec un score CVSS de 6,5 sur 10. Cette gravité modérée contraste avec son statut, puisqu’il s’agit de la seule faille du mois dont l’éditeur confirme l’exploitation avant la diffusion du correctif.
Le scénario d’attaque repose sur un fichier de message piégé que la victime doit ouvrir. Outlook se connecte alors à un serveur contrôlé par l’attaquant, sans afficher l’avertissement qui accompagne d’ordinaire le chargement d’un contenu externe. Au passage, le logiciel transmet le hash NTLMv2 de l’utilisateur à ce serveur.
NTLM est le vieux protocole d’authentification de Windows, et ce hash correspond à une empreinte chiffrée du mot de passe. L’attaquant peut le relayer vers d’autres services pour se faire passer pour sa victime, ou tenter de le casser hors ligne afin de retrouver le mot de passe en clair. Ce type de vol d’identifiants explique l’intérêt croissant des entreprises pour les clés d’accès proposées par Google, Microsoft et Apple, qui se passent de mot de passe.
Microsoft 365 Apps for Enterprise, Office LTSC 2021 et Office LTSC 2024 figurent parmi les versions concernées. Le correctif de cette faille Outlook arrive par la mise à jour d’Office et non par Windows Update, via le menu Fichier, puis Compte et Options de mise à jour, dans Outlook ou Word.
Une découverte attribuée à un chercheur équipé de Claude
Dans ses remerciements, Microsoft attribue la découverte de cette zero-day, c’est-à-dire une faille exploitée avant d’être corrigée, à un chercheur qui s’est appuyé sur Claude, le modèle d’IA d’Anthropic. Il s’agirait de la première faille notable d’un Patch Tuesday mise au jour à l’aide d’un assistant d’intelligence artificielle.
Le signal n’est pas isolé, car les laboratoires d’IA multiplient les démonstrations dans ce domaine. Les 948 failles du noyau Linux débusquées par l’IA d’OpenAI en sont un exemple récent, tout comme la vérification du protocole Signal par l’IA de Google DeepMind, présentée le jour même de ce Patch Tuesday.
Ce que révèle l’inflation des correctifs
Le décompte varie selon la méthode retenue. Microsoft recense 1 093 identifiants CVE propres à ses produits, dont 63 jugés critiques, et le total grimpe à 1 235 lorsqu’on ajoute les 142 failles du moteur Chromium corrigées dans le navigateur Edge.
À titre de comparaison, le Patch Tuesday d’octobre 2026 dépassait déjà les 1 400 failles, et celui de septembre approchait le millier. En juillet, le chiffre de 569 vulnérabilités était encore présenté comme un record mensuel, ce qui donne la mesure du changement opéré en quelques mois.
Cette envolée coïncide avec l’utilisation, depuis l’été, d’un modèle d’IA maison chargé d’éplucher le code de l’éditeur, qui fait remonter en masse des failles parfois anciennes. Plusieurs spécialistes de la sécurité anticipent donc un reflux des volumes une fois ce stock résorbé.
Les élévations de privilèges représentent 48,9% des corrections du mois et les exécutions de code à distance 27,1%. Côté produits, Word arrive en tête avec 65 failles, devant Excel avec 64 et SQL Server avec 53.
Les failles critiques qui visent d’abord les entreprises
Quatre vulnérabilités atteignent le score de 9,8 sur 10, dont trois exploitables sans identifiants ni action de l’utilisateur. La première touche le service LDAP de Windows qui équipe les contrôleurs de domaine Active Directory (CVE-2026-119958).
La deuxième concerne Exchange Server et peut être exploitée par quiconque est en mesure d’envoyer un courriel à l’organisation visée (CVE-2026-118207). La troisième se loge dans le service réseau Xbox Live de Windows et donne le contrôle d’une machine située sur le même réseau (CVE-2026-112967).
La quatrième, qui vise le service Azure OpenAI (CVE-2026-119990), a été corrigée directement par Microsoft dans son cloud et ne demande aucune intervention. Reste la faille du composant de chiffrement Schannel (CVE-2026-119952, score de 8,1), exploitable à distance sans authentification et jugée probable cible d’attaques par l’éditeur.
Quelles mises à jour installer sur Windows 11 et Windows 10 ?
Les correctifs du Patch Tuesday de novembre 2026 sont distribués sous la forme des mises à jour cumulatives KB5132061 et KB5131087 pour Windows 11. Les PC sous Windows 10 inscrits au programme ESU, le support payant prolongé de l’ancien système, reçoivent quant à eux la mise à jour de sécurité étendue KB5131096.
Le même jour, Google a publié Chrome 157 pour corriger la huitième faille zero-day exploitée dans son navigateur depuis le début de l’année 2026, tandis qu’Adobe a diffusé des correctifs pour 110 vulnérabilités réparties sur neuf de ses logiciels.
Le prochain Patch Tuesday de Microsoft, dernier rendez-vous de ce type pour l’année 2026, est programmé pour le mardi 8 décembre.
