Gabrielle FortinLe Centre canadien pour la cybersécurité a publié le 10 novembre 2026 son bulletin AV26-1142 sur le correctif cumulatif mensuel de Microsoft, puis l'a mis à jour le 12 novembre. Une faille y retient l'attention : CVE-2026-124194, une vulnérabilité d'usurpation dans Outlook que Microsoft dit exploitée dans des attaques réelles. Les entreprises qui utilisent Microsoft 365 ou Office ont donc une tâche précise à régler cette semaine.
Quelle est la faille exploitée, et que permet-elle ?
Selon l'analyse publiée par Qualys le 10 novembre, CVE-2026-124194 touche Microsoft Outlook. Elle appartient à la famille des failles d'usurpation (« spoofing »). Un attaquant sans accès préalable envoie un fichier de message spécialement conçu et pousse la victime à l'ouvrir.
À l'ouverture, Outlook peut se connecter à un emplacement réseau contrôlé par l'attaquant, sans afficher l'avertissement habituel sur le contenu externe. Cette connexion peut exposer des informations d'authentification, que l'attaquant utilise ensuite pour se faire passer pour l'utilisateur.
La CISA américaine a ajouté la faille à son catalogue des vulnérabilités exploitées connues le 10 novembre 2026 et demande d'appliquer le correctif d'ici le 24 novembre 2026. Cette échéance vise les agences fédérales américaines, mais elle donne un repère utile à toute organisation.
Que contient le bulletin canadien ?
Le bulletin AV26-1142 liste une longue série de produits touchés : Windows 10 et 11, Windows Server 2012 à 2025, Microsoft 365 Apps, Office, SQL Server 2017 à 2025, Visual Studio 2022 et 2026, .NET 8.0 à 11.0 et de nombreux services Azure. Le Centre ne donne pas de note de gravité pour l'ensemble et recommande d'installer les mises à jour nécessaires dès qu'elles sont disponibles.
Les décomptes publiés par la presse spécialisée varient, de 1 094 à 1 235 vulnérabilités selon que l'on inclut ou non les composants tiers. Qualys signale 63 failles critiques dans son introduction. Retenez surtout que le volume est élevé et qu'une seule faille est confirmée comme exploitée.
Pourquoi un correctif Windows ne suffit pas
Les rapports consultés indiquent que les mises à jour cumulatives de Windows ne corrigent pas cette faille. Le correctif passe par la mise à jour de Microsoft 365 Apps ou d'Office, selon la version installée. Une entreprise qui a poussé les mises à jour de Windows lundi peut donc croire son parc protégé alors qu'Outlook reste vulnérable.
Les postes Windows ont déjà posé problème cette année. Notre article sur la mise à jour Windows 11 d'avril 2026 rappelait qu'un parc peut sembler à jour sans l'être sur tous les composants. La situation de novembre suit la même logique.
Cas concret : une PME de 12 postes, dont 3 en télétravail
Prenons un cabinet comptable de Laval qui compte 12 employés, dont 3 travaillent de la maison sur des portables non gérés par un serveur central. Les 9 postes du bureau reçoivent les mises à jour automatiquement. Les 3 portables, eux, ne se mettent à jour que lorsque l'employé redémarre.
Si l'entreprise se contente de vérifier Windows Update, alors elle constate que 12 postes sur 12 affichent « à jour » et conclut que tout est réglé. Pourtant, si la version de Microsoft 365 Apps n'a pas été mise à jour sur un portable, un employé qui ouvre un message piégé peut exposer son identifiant de connexion.
Avec un technicien informatique, la vérification prend moins d'une heure. Il relève la version de Microsoft 365 Apps sur chaque poste, force la mise à jour sur les 3 portables et confirme le résultat. Le délai de 14 jours entre le 10 et le 24 novembre sert de repère : au-delà, le cabinet laisse un identifiant volé servir à lire des courriels de clients ou à fabriquer de fausses factures.
Si un doute persiste sur un poste, alors il faut changer le mot de passe de l'employé concerné et vérifier les connexions récentes à son compte.
Pourquoi le vol d'identifiants coûte cher à une petite entreprise
Une faille d'usurpation ne détruit rien à elle seule. Elle donne à l'attaquant de quoi se présenter comme l'employé, et c'est là que les dégâts commencent. Avec un identifiant de messagerie, il peut lire des échanges avec des clients, repérer une facture en cours et envoyer un faux numéro de compte bancaire depuis la vraie adresse de l'employé.
Ce type de fraude est difficile à détecter parce que le message vient d'un compte légitime. Le destinataire n'a aucune raison de se méfier, et le virement part avant que quiconque ne remarque l'anomalie. Pour un cabinet, un atelier ou un commerce de quartier, une seule facture détournée peut représenter plusieurs milliers de dollars.
Le risque ne se limite pas à la messagerie. Un identifiant Microsoft 365 donne souvent accès aux fichiers partagés, au calendrier et aux dossiers de clients. Plus l'employé touché occupe un poste de gestion ou de comptabilité, plus l'accès obtenu est précieux pour l'attaquant.
Comment vérifier la version de Microsoft 365 Apps
Dans Outlook, ouvrez le menu Fichier, puis Compte Office. La page affiche le canal de mise à jour et le numéro de version. Le bouton « Options de mise à jour » permet de lancer la mise à jour immédiatement. Sur un parc géré, l'administrateur peut consulter les versions depuis le centre d'administration Microsoft 365.
Ce contrôle prend quelques minutes par poste, mais il faut le faire sur chaque appareil. Les portables rarement connectés au réseau du bureau sont les plus susceptibles d'avoir pris du retard. Notez aussi les postes qui exécutent encore une ancienne version d'Office : si Microsoft ne publie plus de correctifs pour elle, le logiciel doit être remplacé, ce qui demande un budget et un calendrier.
Après la mise à jour, redémarrez Outlook et les autres applications Office. Tant qu'elles restent ouvertes avec l'ancien code, le correctif n'est pas actif. C'est un oubli fréquent, surtout chez les employés qui laissent leur messagerie ouverte pendant des semaines.
Ce que le bulletin ne dit pas
Le bulletin du Centre canadien pour la cybersécurité ne précise ni la gravité de la faille, ni le nombre exact de vulnérabilités corrigées, ni les versions visées au-delà du nom des produits. Pour connaître le correctif exact de votre version d'Office, il faut consulter le guide des mises à jour de sécurité de Microsoft pour CVE-2026-124194.
Les rapports consultés ne détaillent pas non plus si des entreprises canadiennes ont déjà été visées. Aucune source ne permet d'affirmer que la faille cible spécialement le Canada. La prudence consiste à traiter l'exploitation confirmée comme une menace réelle pour toute organisation qui utilise Outlook.
Qui doit agir, et comment
Les étapes sont simples à ordonner :
- Vérifier la version de Microsoft 365 Apps ou d'Office sur chaque poste, pas seulement l'état de Windows Update.
- Appliquer la mise à jour de novembre 2026 et redémarrer les applications Office.
- Rappeler aux employés de ne pas ouvrir de fichiers de message joints à un courriel inattendu, même d'un contact connu.
- Si votre entreprise gère des données sensibles, activer l'authentification multifacteur sur les comptes Microsoft 365.
Les obligations de cybersécurité des petites entreprises évoluent aussi. Notre guide sur la Loi C-8 détaille ce que les PME doivent prévoir.
Quand faire appel à un expert
Un fournisseur de services gérés ou un consultant en informatique devient utile dans trois situations. Le parc compte des postes que personne n'inventorie. Les portables d'employés en télétravail échappent à toute gestion centralisée. Ou encore, un employé a ouvert un message suspect cette semaine et l'entreprise ne sait pas si des identifiants ont fuité.
Un spécialiste peut dresser l'inventaire des versions, planifier les mises à jour et analyser les journaux de connexion. Sur Expert Zoom, vous pouvez comparer des experts en informatique près de chez vous et obtenir un avis avant la date du 24 novembre.
Pour la liste complète des produits touchés, consultez le bulletin AV26-1142 du Centre canadien pour la cybersécurité.
