Patch Tuesday Novembre 2026 – 1093 CVE

Microsoft publie le 10 novembre 2026 ses mises à jour de sécurité mensuelles. Le document CVRF (1) du MSRC (2), référencé 2026-Nov et daté du même jour à 08:00, annonce 1 094 CVE (3) Microsoft. L’export du Security Update Guide filtré sur la date du 10 novembre en recense 1 093, toutes attribuées par Microsoft en qualité de CNA (4) : l’écart d’une unité correspond, dans le document CVRF, à une CVE de la bibliothèque tierce Tencent RapidJSON publiée le même jour pour Azure Linux. Le présent article retient le périmètre de l’export, soit 1 093 vulnérabilités.

Une seule vulnérabilité est marquée « Exploitation détectée » : la CVE-2026-124194, une usurpation d’identité dans Microsoft Outlook, de gravité modérée, qui divulgue le hash d’authentification NTLM (5) de l’utilisateur, dans sa version NTLMv2. Aucune vulnérabilité n’est déclarée publiquement divulguée avant correctif. L’agence américaine CISA (6) a inscrit la CVE-2026-124194 à son catalogue KEV (7) le 10 novembre, avec une échéance de remédiation au 24 novembre 2026 pour les agences fédérales américaines.

La publication compte 63 vulnérabilités critiques, 1 029 importantes et une modérée. Elle couvre Windows, Office, SQL Server, SharePoint Server, Exchange Server, les outils de développement, Microsoft Defender et plusieurs services Azure. Elle intervient un mois après le record d’octobre 2026, où Microsoft avait corrigé 1 413 vulnérabilités, et deux mois après les 974 de septembre.

L’élévation de privilèges représente près de la moitié des vulnérabilités corrigées, l’exécution de code à distance un peu plus du quart. Les 63 vulnérabilités critiques se répartissent en 48 exécutions de code à distance et 15 élévations de privilèges.

Fig. 1. Répartition par impact des 1 093 vulnérabilités publiées le 10 novembre 2026, calculée sur l’export du Security Update Guide et recoupée avec le document CVRF 2026-Nov.

Fig. 2. Répartition par famille de produits selon la note de version du MSRC, sur le périmètre de 1 094 CVE annoncé par Microsoft.

Fig. 3. Vulnérabilités distinctes par version de Windows, calculées sur l’export du Security Update Guide ; une même CVE est comptée dans chaque version qu’elle concerne.

Les composants les plus touchés sont Word, avec 65 vulnérabilités, Excel avec 64, SQL Server avec 53 sous cette étiquette, Windows Advanced Rasterization Platform avec 37, Windows Installer avec 36, le noyau graphique de Windows avec 35 et le noyau de Windows avec 28. Les deux étiquettes du DNS de Windows, Windows DNS et Role: DNS Server, totalisent 33 vulnérabilités.

Microsoft avait annoncé en mai 2026, sur le blog du MSRC, que ses publications mensuelles continueraient de grossir, la recherche de vulnérabilités devenant plus rapide et plus large dans l’ensemble du secteur. Interrogé sur les publications de septembre, Satnam Narang, de Tenable, relevait que le nombre de vulnérabilités corrigées augmente sans que celui des vulnérabilités susceptibles d’affecter la plupart des organisations ne suive.

La CVE-2026-124194 est une vulnérabilité d’usurpation d’identité dans Microsoft Office Outlook, classée sous la CWE (10) 356, interface utilisateur qui n’avertit pas d’une action dangereuse. Un attaquant non authentifié envoie un fichier de message spécialement conçu et convainc l’utilisateur de l’ouvrir. Outlook se connecte alors à un emplacement réseau contrôlé par l’attaquant sans afficher l’avertissement habituel sur le contenu externe, ce qui divulgue le hash NTLMv2 de l’utilisateur. L’attaquant peut ensuite s’en servir pour s’authentifier sous l’identité de l’utilisateur.

Fig. 4. Fiche de la CVE-2026-124194, relevée sur la page rendue du Security Update Guide, sur le document CVRF et sur le catalogue KEV de la CISA dans sa version 2026.11.10.

État de l’exploitation

• Microsoft déclare l’exploitation détectée, sans désigner d’acteur, de victime ni d’ampleur
• la CISA reprend la CVE au catalogue KEV le jour de la publication, sous le titre de vulnérabilité d’absence d’interaction utilisateur avant une action potentiellement dangereuse, et renvoie pour l’action requise à sa directive BOD (13) 26-04
• le champ du catalogue sur l’usage par un ransomware porte la valeur « Unknown »
• aucun indicateur de compromission n’a été publié par Microsoft ni par la CISA à la date de l’article

Mesures

Microsoft ne publie ni contournement ni mesure d’atténuation pour cette CVE : la mise à jour d’Office est la seule parade documentée. Les mesures habituelles contre la fuite de hash NTLM gardent leur intérêt en complément : blocage du trafic SMB (14) sortant vers Internet, en particulier sur le port TCP (15) 445, restriction du trafic NTLM sortant par stratégie de groupe, et inscription des comptes à privilèges au groupe Protected Users, qui leur retire l’authentification NTLM.

La mise à jour cumulative de Windows 11, versions 25H2 et 26H2, publiée sous la référence KB (16) 5132061, active par défaut côté client l’offre de signature des messages NTLM pour les connexions non anonymes. Microsoft présente ce changement comme une réduction de l’exposition au relais NTLM, assortie d’un audit des connexions qui ne signent pas. La note de version ne le relie pas à la CVE-2026-124194.

Aucune des 63 vulnérabilités critiques n’est exploitée ni divulguée publiquement. Cinq sont évaluées « exploitation plus probable » : les CVE-2026-118146 et CVE-2026-118148 dans les services de domaine Active Directory, la CVE-2026-118207 dans Exchange Server, la CVE-2026-119952 dans Schannel et la CVE-2026-113862 dans la traduction d’adresses réseau de Windows.

Services réseau Windows atteignables sans authentification

Douze vulnérabilités d’exécution de code à distance portent un score de 9,8 avec le vecteur AV:N/AC:L/PR:N/UI:N : attaque par le réseau, faible complexité, sans privilège ni interaction. Trois seulement sont classées critiques par Microsoft ; les neuf autres, dont celles du serveur DNS, du serveur DHCP et de l’initiateur iSCSI (17), sont classées importantes.

Fig. 5. Vulnérabilités d’exécution de code à distance notées 9,8 avec le vecteur AV:N/AC:L/PR:N/UI:N, d’après le document CVRF 2026-Nov. Toutes sont évaluées « exploitation moins probable ».

La CVE-2026-116928 mérite une lecture attentive : elle porte sur un composant de Windows, mais Microsoft décrit son exploitation par Exchange Server, qui indexe automatiquement les pièces jointes reçues. Un courriel suffit, sans action du destinataire. Le correctif est livré par la mise à jour cumulative de Windows du serveur, pas par celle d’Exchange.

Active Directory et Kerberos

• CVE-2026-118146, critique, 8,8, « exploitation plus probable » : un attaquant authentifié avec un faible niveau d’accès envoie une requête conçue et exécute du code sur le serveur, sans interaction ; autorisation incorrecte, CWE-863
• CVE-2026-118148, critique, 7,5, « exploitation plus probable » : élévation aux privilèges SYSTEM, conditionnée au gain d’une situation de concurrence
• CVE-2026-85844, importante, 9,8 : un attaquant non authentifié relaie vers un contrôleur de domaine une authentification Kerberos obtenue par un trafic conçu, et obtient les privilèges SYSTEM sur ce contrôleur ; contournement d’authentification par un canal alternatif, CWE-288

Exchange Server et SharePoint Server

Exchange Server compte neuf vulnérabilités, toutes dans la seule version Subscription Edition. La CVE-2026-118207, critique, 8,8, « exploitation plus probable », permet à un attaquant authentifié avec un faible niveau d’accès d’exécuter du code sur le serveur par une requête conçue. SharePoint Server compte 27 vulnérabilités, toutes importantes et toutes dans la version Subscription Edition ; la plus élevée, la CVE-2026-120002, notée 9,9, permet à un utilisateur disposant d’un accès en lecture et membre de l’application cible Secure Store concernée de faire exécuter par SharePoint des actions non autorisées sur un service métier connecté, avec les identifiants partagés.

Office et volet de visualisation

Office totalise 22 vulnérabilités critiques d’exécution de code à distance : 12 dans Excel, 4 dans Word, 3 dans Outlook, 2 dans Office et une dans PowerPoint. Pour huit d’entre elles, Microsoft indique que le volet de visualisation est un vecteur d’attaque : CVE-2026-110067, CVE-2026-111285 et CVE-2026-124185 dans Word, CVE-2026-110068, CVE-2026-111309 et CVE-2026-110043 dans Outlook, CVE-2026-111289 et CVE-2026-120003 dans Office. Pour les douze vulnérabilités critiques d’Excel, Microsoft indique que le volet de visualisation n’est pas un vecteur d’attaque. Dix-huit des 22 vulnérabilités critiques d’Office concernent aussi Office pour Mac, et onze des douze d’Excel concernent Office Online Server, qui affiche les classeurs côté serveur : ce dernier est à inclure dans le périmètre de déploiement.

Hyper-V et autres composants critiques

Hyper-V compte huit élévations de privilèges critiques, dont six avec changement de périmètre (S:C), ce qui signale pour Hyper-V un impact qui dépasse la machine virtuelle d’origine. Les autres vulnérabilités critiques de Windows concernent Message Queuing (cinq), le noyau graphique (deux), Schannel, CredSSP (19), RPC (20), IIS (21), les services de déploiement Windows, le spouleur d’impression, la pile TCP/IP (22), la traduction d’adresses réseau, le pilote de transport du serveur SMB, la découverte de fonctions, le service de configuration automatique des appareils connectés au réseau, le TPM (23), Remote Desktop Services, les polices, le codec Raw Image et la bibliothèque de codecs. La CVE-2026-122194, critique, concerne le moteur de Microsoft Defender.

Autres vulnérabilités notées 9 ou plus

Onze autres vulnérabilités atteignent un score de 9 à 9,9. Toutes sont classées importantes, sauf la CVE-2026-119990, critique, et toutes sont évaluées « exploitation moins probable », sauf les CVE-2026-109467 et CVE-2026-119990, sans évaluation.

Fig. 6. Vulnérabilités notées de 9 à 9,9 hors celles de la figure précédente, d’après les FAQ du document CVRF 2026-Nov.

La CVE-2026-120779 vise les postes de développement : le vecteur passe par un serveur MCP distant auquel l’utilisateur connecte son éditeur. La CVE-2026-114162 porte sur un service en ligne, mais sa fiche indique qu’une action du client est requise ; l’inventaire des applications qui détiennent des permissions de gestion des rôles d’annuaire en est le préalable.

Services cloud sans action client

La CVE-2026-119990 dans Azure OpenAI, critique, 9,8, est déjà entièrement corrigée par Microsoft : la fiche indique qu’aucune action n’est attendue des utilisateurs, la CVE étant publiée par transparence. La CVE-2026-114160 dans Azure Managed Grafana, critique, est une SSRF (25) qui divulguait un jeton d’accès du service. La CVE-2026-109467 dans Azure DevOps Server, notée 9,9, concerne en revanche un produit installé chez le client : un attaquant disposant du rôle Project Reader peut déclencher l’exécution d’un pipeline et exécuter du code sur les agents.

Microsoft évalue 42 vulnérabilités « exploitation plus probable ». En dehors des cinq critiques citées plus haut, elles sont presque toutes des élévations de privilèges locales, du type de celles qu’un attaquant enchaîne après un accès initial.

Fig. 7. Vulnérabilités évaluées « exploitation plus probable », hors les cinq critiques, d’après le document CVRF 2026-Nov.

Les vulnérabilités de Windows sont toutes corrigées par la mise à jour cumulative de chaque version. Les numéros ci-dessous sont ceux de l’export du Security Update Guide, retenus pour la majorité des CVE de chaque version.

Fig. 8. Mises à jour de novembre 2026 par version, d’après l’export du Security Update Guide et les notes de version KB5132061 et KB5132043. Pour Microsoft 365 Apps, le build dépend du canal de mise à jour.

SQL Server

Pour SQL Server, Microsoft publie une mise à jour par branche de maintenance, à choisir à partir du numéro de version installé. Une mise à jour GDR (27) ne porte que les correctifs de sécurité et les correctifs critiques, une mise à jour CU (28) cumule l’ensemble des correctifs de la branche. Les mises à jour notées CU+GDR s’appliquent à la branche de mises à jour cumulatives indiquée ; celles notées RTM+GDR s’appliquent à la branche issue de la version initiale du produit, dite RTM (29), qui ne reçoit que les GDR.

Fig. 9. Mises à jour de SQL Server de novembre 2026, d’après la FAQ de la CVE-2026-116945 dans le document CVRF 2026-Nov.

L’ordre ci-dessous croise l’état de l’exploitation, l’exposition réseau et la position du système dans l’infrastructure. Il ne remplace pas l’inventaire propre à chaque organisation : un composant absent du parc sort de la liste.

Fig. 10. Ordre de déploiement proposé à partir du document CVRF 2026-Nov et du catalogue KEV de la CISA.

Les décomptes, gravités, scores, évaluations d’exploitabilité et FAQ proviennent du document CVRF 2026-Nov du MSRC, lu en intégralité, et de l’export du Security Update Guide ; la fiche de la CVE-2026-124194 a été relue sur la page rendue du Security Update Guide. Le statut KEV provient du flux JSON (30) du catalogue de la CISA, version 2026.11.10. La presse sert au recoupement et au contexte.

1. CVRF (1) : Common Vulnerability Reporting Framework, format de document lisible par machine dans lequel Microsoft publie chaque mois l’ensemble de ses avis de sécurité.
2. MSRC (2) : Microsoft Security Response Center, centre de réponse aux incidents de sécurité de Microsoft, éditeur du Security Update Guide.
3. CVE (3) : Common Vulnerabilities and Exposures, identifiant public attribué à une vulnérabilité.
4. CNA (4) : CVE Numbering Authority, organisme habilité à attribuer des CVE et à publier leur fiche.
5. NTLM (5) : NT LAN Manager, protocole d’authentification de Windows par défi et réponse ; NTLMv2 en est la deuxième version.
6. CISA (6) : Cybersecurity and Infrastructure Security Agency, agence américaine de cybersécurité et de sécurité des infrastructures.
7. KEV (7) : Known Exploited Vulnerabilities, catalogue de la CISA des vulnérabilités dont l’exploitation est constatée.
8. DNS (8) : Domain Name System, système de résolution des noms de domaine.
9. DHCP (9) : Dynamic Host Configuration Protocol, protocole d’attribution automatique de la configuration réseau.
10. CWE (10) : Common Weakness Enumeration, classification des faiblesses logicielles.
11. CVSS (11) : Common Vulnerability Scoring System, système de notation de la gravité des vulnérabilités.
12. LTSC (12) : Long-Term Servicing Channel, canal de maintenance à long terme des versions perpétuelles d’Office.
13. BOD (13) : Binding Operational Directive, directive contraignante de la CISA applicable aux agences fédérales américaines.
14. SMB (14) : Server Message Block, protocole de partage de fichiers et d’imprimantes de Windows.
15. TCP (15) : Transmission Control Protocol, protocole de transport du réseau Internet.
16. KB (16) : Knowledge Base, base de connaissances de Microsoft ; le numéro d’article identifie une mise à jour.
17. iSCSI (17) : Internet Small Computer System Interface, protocole d’accès à un stockage en mode bloc par le réseau.
18. LDAP (18) : Lightweight Directory Access Protocol, protocole d’accès à l’annuaire, utilisé par Active Directory.
19. CredSSP (19) : Credential Security Support Provider, fournisseur de sécurité qui délègue les identifiants, notamment pour le Bureau à distance.
20. RPC (20) : Remote Procedure Call, mécanisme d’appel de procédure à distance.
21. IIS (21) : Internet Information Services, serveur web de Windows.
22. IP (22) : Internet Protocol, protocole d’adressage du réseau Internet.
23. TPM (23) : Trusted Platform Module, composant matériel de sécurité qui stocke les clés et mesure l’intégrité du démarrage.
24. MCP (24) : Model Context Protocol, protocole qui relie un assistant d’intelligence artificielle ou un éditeur de code à des outils et des sources de données externes.
25. SSRF (25) : Server-Side Request Forgery, vulnérabilité qui amène un serveur à émettre une requête vers une destination choisie par l’attaquant.
26. WMI (26) : Windows Management Instrumentation, interface d’administration et de supervision de Windows.
27. GDR (27) : General Distribution Release, mise à jour de SQL Server limitée aux correctifs de sécurité et aux correctifs critiques.
28. CU (28) : Cumulative Update, mise à jour cumulative de SQL Server qui porte l’ensemble des correctifs de sa branche.
29. RTM (29) : Release To Manufacturing, version initiale d’un produit, point de départ de sa branche GDR.
30. JSON (30) : JavaScript Object Notation, format d’échange de données structurées.
31. ZDI (31) : Zero Day Initiative, programme d’achat et de divulgation coordonnée de vulnérabilités de TrendAI.

1. Microsoft MSRC, November 2026 Security Updates, note de version, 10 novembre 2026. msrc.microsoft.com/update-guide/releaseNote/2026-Nov
2. Microsoft MSRC, document CVRF 2026-Nov, version 1.0, 10 novembre 2026. api.msrc.microsoft.com/cvrf/v3.0/cvrf/2026-Nov
3. Microsoft MSRC, export du Security Update Guide filtré sur le 10 novembre 2026, fichier Security_Updates_2026-11-10. msrc.microsoft.com/update-guide
4. Microsoft MSRC, CVE-2026-124194, Microsoft Outlook Spoofing Vulnerability, 10 novembre 2026. msrc.microsoft.com/update-guide/vulnerability/CVE-2026-124194
5. CISA, Known Exploited Vulnerabilities Catalog, version 2026.11.10, 10 novembre 2026. cisa.gov/known-exploited-vulnerabilities-catalog
6. Microsoft Support, November 10, 2026, KB5132061 (OS Builds 26300.9974, 26200.9974 and 26100.9974), 10 novembre 2026. support.microsoft.com/help/5132061
7. Microsoft Support, November 10, 2026, Hotpatch KB5132043, 10 novembre 2026. support.microsoft.com/help/5132043
8. Microsoft MSRC, A note on this month’s Patch Tuesday, mai 2026. microsoft.com/en-us/msrc/blog
9. Microsoft .NET Blog, Rahul Bhandari, .NET 8 and .NET 9 will reach End of Support on November 10, 2026, 29 juin 2026. devblogs.microsoft.com/dotnet
10. Cyber Security News, Guru Baran, Microsoft November 2026 Patch Tuesday Fixes 1,093 Vulnerabilities, Including Outlook Zero-Day, 10 novembre 2026. cybersecuritynews.com
11. Le Crabe Info, Windows 11 KB5132061 : le Patch Tuesday de novembre 2026 est disponible, 10 novembre 2026. lecrabeinfo.net
12. WindowsCult, Windows 11 KB5132061 November 2026 Update, 10 novembre 2026. windowscult.com
13. SecurityWeek, Microsoft Patches Record 1,413 Vulnerabilities, Including Exploited Windows Zero-Day, octobre 2026. securityweek.com
14. SecurityWeek, Microsoft Patches Record 974 Vulnerabilities, Including Two Exploited Zero-Days, septembre 2026. securityweek.com
15. TrinetriOps, Microsoft Patch Tuesday November 2026, page consultée le 10 novembre 2026, citée pour la donnée écartée. trinetriops.com