Gravité « moyenne » : l’utilisateur doit intervenir, seule la confidentialité est affectée. [1]
Vulnérabilité · activement exploitée
Zero-day Outlook CVE-2026-124194Il suffit d’ouvrir un fichier pour que les identifiants Windows parviennent aux attaquants
Le 10 novembre 2026, Microsoft a corrigé dans Outlook classique pour Windows une faille déjà utilisée dans des attaques. Lorsqu’un utilisateur ouvre un fichier de message piégé, Outlook se connecte, sans l’avertissement habituel, à un serveur des attaquants et divulgue au passage le hash NTLMv2 du compte. L’agence américaine CISA a ajouté la faille le jour même à son catalogue des vulnérabilités exploitées. Le score CVSS de 6,5 semble anodin ; la situation ne l’est pas.
- CVSS 6,5 · exploitée
- CISA KEV depuis le 10/11/2026
- Échéance pour les agences fédérales américaines : 24/11/2026
- Correctif dans la mise à jour Office de novembre
En un coup d’œil
Ce qui s’est passé et ce que cela signifie pour vous
Lors du Patch Tuesday de novembre, Microsoft a corrigé plus d’un millier de vulnérabilités. Selon Microsoft, une seule d’entre elles est déjà exploitée : CVE-2026-124194, dans Outlook classique pour Windows. Elle ne donne pas aux attaquants l’accès à l’ordinateur, mais quelque chose qui, dans de nombreux réseaux, vaut presque autant : des informations d’identification exploitables de l’utilisateur. [1][2][9]
- L’attaque nécessite un clic. Les attaquants envoient un fichier de message piégé et amènent l’utilisateur à l’ouvrir dans Outlook. Selon Microsoft, le volet de lecture n’est pas un vecteur d’attaque.
- Outlook n’avertit pas. À l’ouverture, Outlook se connecte à une destination réseau des attaquants sans afficher l’avertissement habituel relatif au contenu externe.
- Le hash est le butin. Le hash NTLMv2 de l’utilisateur parvient alors aux attaquants. Ils peuvent le casser hors ligne ou le relayer vers d’autres services et se faire ainsi passer pour l’utilisateur.
- Les autorités jugent la faille urgente. Depuis le 10 novembre, la CISA la répertorie dans son catalogue des vulnérabilités exploitées connues ; les agences fédérales américaines doivent agir d’ici le 24 novembre.
- Le correctif est une mise à jour Office. Windows Update ne suffit pas à lui seul. Ce qui compte, c’est le build d’Outlook installé, pas l’état du déploiement dans la console.
Ce qui est établi
- Microsoft confirme l’exploitation (« Exploitation Detected ») ; avant le correctif, la faille n’était pas connue publiquement.
- Sont concernés Microsoft 365 Apps for Enterprise ainsi qu’Office LTSC 2021 et 2024, en 32 et 64 bits.
- Microsoft ne mentionne pas comme concernés le nouvel Outlook, Outlook sur le web, Outlook pour Mac ni les applications mobiles.
- C’est la seule faille exploitée de la mise à jour de novembre.
- Microsoft cite comme découvreurs « nono » et Benoit Sevens, ce dernier avec la mention « using Claude with Anthropic ».
Ce qui reste à établir
- Qui exploite la faille et contre qui : Microsoft ne nomme ni acteurs ni cibles.
- Combien d’attaques ont eu lieu et depuis quand.
- Aucun indicateur de compromission (IOC) n’a été publié à ce jour.
- Quel format de fichier les attaquants utilisent et par quel protocole Outlook se connecte.
- Si les codes de preuve de concept apparus sur GitHub fonctionnent ; aucun n’a été vérifié.
Chaîne d’attaque
Comment un fichier devient un compte volé
Microsoft décrit lui-même les trois premières étapes. Les étapes quatre et cinq montrent comment, d’expérience, les attaquants utilisent des hashs NTLMv2 dérobés. Il s’agit de notre analyse, et non d’une information sur les attaques en cours.
- Selon Microsoft
Appât
Un fichier de message piégé arrive en pièce jointe d’un e-mail, via un lien de téléchargement ou par un partage de fichiers. L’expéditeur se fait généralement passer pour un contact connu.
- Selon Microsoft
Ouverture
L’utilisateur ouvre le fichier dans Outlook. Seule cette étape déclenche l’attaque ; une simple sélection dans le volet de lecture ne suffit pas.
- Selon Microsoft
Connexion sans avertissement
Outlook se connecte à un serveur des attaquants sans avertir du contenu externe. Windows s’y authentifie automatiquement.
- Analyse VamiSec
Hash intercepté
L’authentification transmet un échange challenge-response NTLMv2. Le serveur des attaquants l’enregistre, l’utilisateur ne remarque rien.
- Analyse VamiSec
Utilisation abusive
Les mots de passe faibles peuvent être cassés hors ligne. Ou bien l’authentification est immédiatement relayée vers des services internes (relais NTLM), par exemple Exchange, des serveurs de fichiers ou les services de certificats.
Ce que la faille n’est pas
- Pas de zéro clic : sans ouverture du fichier, rien ne se passe. C’est ce qui la distingue de CVE-2023-23397, qui se déclenchait dès la réception d’un message.
- Pas d’exécution de code : les attaquants ne prennent pas directement le contrôle de l’ordinateur, ils dérobent des identifiants.
- Pas d’attaque via le volet de lecture.
Pourquoi un hash a autant de valeur
- Avec le mot de passe cassé, les attaquants se connectent partout où le compte est valable, y compris au VPN et au cloud si aucun second facteur n’y est exigé.
- Par relais, ils n’ont même pas besoin du mot de passe : ils relaient l’authentification tant que des services acceptent NTLM sans signature ni liaison de canal.
- Si un compte administrateur est touché, c’est, dans le pire des cas, tout le domaine Windows qui est ouvert.
- L’authentification multifacteur protège les services cloud, mais ni contre le cassage du hash, ni contre toutes les voies de relais internes.
Chronologie
Outlook, NTLM et les antécédents
La faille actuelle s’inscrit dans une série d’attaques qui interceptent des authentifications Windows via Outlook et l’Explorateur Windows.
- Exploitation
- Éditeur
- Exploitation
- Exploitation
- Éditeur
Microsoft annonce la fin de NTLM
NTLM doit être désactivé par défaut dans les prochaines versions majeures de Windows. Les versions actuelles continuent de le prendre en charge ; le durcissement reste du ressort des entreprises. [12]
- Exploitation
- Échéance
Échéance du catalogue KEV
D’ici cette date, les agences fédérales américaines doivent avoir installé les mises à jour. Pour les entreprises, c’est un bon repère. [4]
Versions concernées
Quelles installations d’Outlook ont besoin de la mise à jour
Est concerné Outlook classique pour Windows fourni avec ces suites Office. Le build installé fait foi : à partir des builds indiqués, la faille est corrigée ; les builds ultérieurs contiennent également le correctif.
| Produit | Canal ou édition | Version | Build avec correctif |
|---|---|---|---|
| Microsoft 365 Apps for Enterprise | Current Channel | 2610 | 20527.20196 |
| Microsoft 365 Apps for Enterprise | Monthly Enterprise Channel | 261026092608 | 20527.2019420430.2026420326.20320 |
| Microsoft 365 Apps for Enterprise | Semi-Annual Enterprise Channel | 261026092608 | 20527.2019220430.2026220326.20318 |
| Office LTSC (licence en volume) | Office LTSC 2024 | 2408 | 16.0.17932.21140 |
| Office LTSC (licence en volume) | Office LTSC 2021 | 2108 | 16.0.14334.21048 |
Pour Microsoft 365 Apps, Microsoft n’indique pas de numéro de build fixe dans l’entrée CVE, mais renvoie aux notes de publication des mises à jour de sécurité Office ; ces valeurs en sont issues. Le Semi-Annual Enterprise Channel reçoit désormais les builds du Monthly Enterprise Channel.
Vérification du build
Choisissez le canal, saisissez le build, le résultat s’affiche. Le build figure dans Outlook sous Fichier › Compte Office › À propos d’Outlook.
La vérification s’effectue uniquement dans votre navigateur ; aucune donnée n’est transmise.
Aucun build saisi
Le résultat s’affiche dès que vous saisissez un numéro de build.
- Correctif à partir du build
- 2610
20527.20196
Non répertoriés comme concernés
- Nouvel Outlook pour Windows
- Outlook sur le web
- Outlook pour Mac
- Outlook pour iOS et Android
Microsoft ne mentionne ni Office 2016 ni Office 2019 pour cette faille. Non répertorié ne signifie pas vérifié comme sûr : les organisations qui exploitent des versions plus anciennes devraient mettre en œuvre le durcissement NTLM avec une rigueur particulière.
Pour de nombreux postes : lire le build via PowerShell
Pour les installations Click-to-Run, le build figure dans le registre. Pour l’ensemble du parc, Intune, Defender Vulnerability Management ou le Microsoft 365 Apps Admin Center conviennent.
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Office\ClickToRun\Configuration' |
Select-Object VersionToReport, UpdateChannel, CDNBaseUrlLancer immédiatement la mise à jour sur un poste
Cette commande lance la mise à jour ; Outlook doit ensuite être redémarré.
& "$env:CommonProgramFiles\Microsoft Shared\ClickToRun\OfficeC2RClient.exe" /update userAuto-évaluation
Dans quelle mesure êtes-vous protégé contre le vol NTLM via Outlook ?
Huit questions, auxquelles il faut répondre honnêtement. « Oui » est à chaque fois la réponse sûre. L’analyse reste dans votre navigateur.
Votre résultat
Réponses : 0 sur 8
L’auto-évaluation ne remplace pas un contrôle de votre environnement.
Plan d’action
Ce qu’il faut faire maintenant
Trois étapes : combler la faille dès aujourd’hui, élargir la défense d’ici l’échéance KEV, puis réduire NTLM pas à pas. [12][13][18][19]
Combler la faille
- Déployer et imposer la mise à jour Office du 10 novembre sur tous les ordinateurs équipés d’Outlook classique.
- Vérifier le build installé, pas seulement l’état du déploiement.
- Bloquer le TCP 445 sortant vers Internet, y compris sur les ordinateurs portables hors du réseau de l’entreprise.
- Avertir les collaborateurs : ne pas ouvrir de fichiers de message inattendus.
- Rechercher, à l’aide des requêtes ci-dessous, des connexions d’Outlook vers des serveurs externes.
Élargir la défense
- Ajouter les comptes à privilèges au groupe « Utilisateurs protégés ».
- Journaliser le NTLM sortant vers des serveurs externes, puis le bloquer avec une liste d’exceptions.
- Activer la signature SMB et LDAP, la liaison de canal et l’Extended Protection.
- Désactiver le service WebClient sur les ordinateurs qui n’ont pas besoin de WebDAV.
- Analyser ou retenir les fichiers de message externes au niveau de la passerelle de messagerie.
Réduire NTLM
- Activer la journalisation NTLM étendue et l’analyser pendant quelques semaines (Windows 11 à partir de 24H2, Windows Server 2025).
- Faire passer les applications qui imposent NTLM à Negotiate, afin que Kerberos puisse s’appliquer.
- Supprimer les authentifications par adresse IP et enregistrer les SPN manquants.
- Bloquer NTLM par anneaux successifs, en commençant par les comptes particulièrement sensibles.
- Documenter les exceptions restantes et les limiter dans le temps.
Pour l’exploitation informatique et le SOC
- Rendre compte chaque jour de la couverture des correctifs jusqu’à l’échéance.
- Activer les règles de détection des connexions SMB et WebDAV initiées par Outlook.
- Surveiller sur les contrôleurs de domaine les authentifications NTLM provenant de sources inhabituelles.
Pour la direction et le responsable de la sécurité de l’information
- Fixer le 24 novembre comme objectif interne et exiger un suivi de l’avancement.
- Prévoir des ressources pour la réduction de NTLM : Microsoft ne désactivera NTLM que dans de futures versions.
- Déterminer si un cas suspect doit être notifié au titre de NIS2 ou de DORA.
Soupçon de fuite d’identifiants ?
Signaler un incident csirt@vamisec.comRéinitialiser le mot de passe du compte, révoquer les sessions et les jetons, rechercher les certificats émis au nom du compte et bloquer le serveur distant. Notre CSIRT vous assiste 24 h/24.
Détection
Rechercher des traces
Microsoft n’a publié aucun indicateur. Ces requêtes aident à repérer des connexions et des authentifications suspectes. Il s’agit d’exemples pour Microsoft Defender XDR, Microsoft Sentinel et les événements Windows ; testez-les dans votre environnement avant de les utiliser.
Outlook communique en SMB avec Internet
Connexions d’outlook.exe via le port 139 ou 445 vers des adresses publiques au cours des 30 derniers jours.
DeviceNetworkEvents
| where Timestamp > ago(30d)
| where InitiatingProcessFileName =~ "outlook.exe"
| where RemotePort in (139, 445)
| where RemoteIPType == "Public"
| summarize Connections = count(), FirstSeen = min(Timestamp),
LastSeen = max(Timestamp) by DeviceName, RemoteIP, RemotePortWebDAV comme voie de repli
Si le port 445 est bloqué, Windows peut se rabattre sur WebDAV via HTTP. On observe alors typiquement rundll32 avec davclnt.dll.
DeviceProcessEvents
| where Timestamp > ago(30d)
| where FileName =~ "rundll32.exe"
| where ProcessCommandLine has_all ("davclnt.dll", "DavSetCookie")
| project Timestamp, DeviceName, AccountName, ProcessCommandLine,
InitiatingProcessFileNameNTLM sortant dans le journal Windows
Lorsque la stratégie NTLM est en mode audit, Windows journalise les authentifications sortantes sous l’événement 8001, avec le serveur cible.
Get-WinEvent -LogName 'Microsoft-Windows-NTLM/Operational' -MaxEvents 500 |
Where-Object Id -eq 8001 |
Select-Object TimeCreated, MessageAuthentifications NTLM suspectes
Des ouvertures de session réseau via NTLM (événement 4624, type d’ouverture de session 3) depuis des sources nouvelles pour un compte peuvent indiquer un relais ou des mots de passe cassés.
SecurityEvent
| where TimeGenerated > ago(14d)
| where EventID == 4624 and LogonType == 3
| where AuthenticationPackageName == "NTLM"
| summarize Logons = count(), Sources = make_set(IpAddress, 20)
by TargetUserName, Computer
| order by Logons descLes résultats sont des indices, pas des preuves. En cas de résultat positif, traitez le compte comme compromis jusqu’à preuve du contraire.
NIS2 et DORA
Ce que dit la réglementation
La faille en elle-même ne constitue pas un cas de notification. Ce qui peut entraîner une obligation de notification, c’est ce que les attaquants font des identifiants dérobés.
- Traiter les vulnérabilités est une obligation
NIS2 exige des entités importantes et essentielles une gestion des risques qui inclut le traitement des vulnérabilités. Une organisation qui laisse une faille exploitée ouverte pendant des semaines doit, le cas échéant, pouvoir le justifier.
- Délais de notification en cas d’incident
Si le vol d’identifiants entraîne un incident de sécurité important, les règles suivantes s’appliquent en Allemagne : alerte précoce au BSI, l’office fédéral allemand de la sécurité de l’information, dans les 24 heures, notification dans les 72 heures, rapport final au bout d’un mois.
- Secteur financier : DORA
Les banques, les assureurs et les autres entités financières classent les incidents liés aux TIC selon DORA et notifient les incidents majeurs à leur autorité de surveillance. Les comptes compromis font partie de cette évaluation.
- Des preuves plutôt qu’une impression
Les auditeurs demandent des preuves : quand la mise à jour a-t-elle été déployée, quels ordinateurs manquaient, quelles exceptions existaient ? En documentant ces éléments, vous êtes prêt pour les audits et les demandes de précisions.
Pour aller plus loinMettre en œuvre NIS2 avec VamiSec Mettre en œuvre DORA avec VamiSec Gestion des incidents selon ISO/IEC 27035
Comment VamiSec vous accompagne
Vérifier, durcir, prouver
De la vérification rapide de votre exposition jusqu’à l’abandon maîtrisé de NTLM.
Urgence
CSIRT et Compromise Assessment
En cas de soupçon, nous déterminons si des identifiants ont fuité et ont été utilisés, en examinant terminaux, journaux, identités et infrastructure.
Compromise AssessmentVérifier
Pentest axé sur le relais NTLM
Nous examinons votre Active Directory à la recherche de chemins de relais, de signatures manquantes et de comptes grâce auxquels un hash dérobé irait loin.
Tests d’intrusionDétecter
Managed Detection & Response
Nous surveillons les terminaux et les identités et réagissons lorsqu’Outlook établit des connexions inhabituelles ou que des comptes se comportent de manière suspecte.
Le MDR chez VamiSecPrévenir
Monitoring zero-day
Confronter 24 h/24 les vulnérabilités nouvellement connues et exploitées à votre surface d’attaque, avant que les cycles de correctifs n’interviennent.
Monitoring zero-dayHumain
Sensibilisation à la sécurité avec KnowBe4
Des simulations de phishing avec pièces jointes et des formations courtes, pour que les fichiers suspects soient signalés plutôt qu’ouverts.
Sensibilisation à la sécuritéProcessus
Gestion des vulnérabilités
Un processus qui traite en priorité les entrées KEV, fixe des échéances et justifie les exceptions, au lieu de se contenter de trier par score CVSS.
Gestion des vulnérabilités
Plateforme GRC agentiqueVamiGRC : repérer les vulnérabilités exploitées, piloter les échéances, gérer les preuves
VamiGRC rapproche CISA KEV, NVD et EPSS de vos actifs. Lorsqu’une vulnérabilité exploitée comme CVE-2026-124194 apparaît, vous voyez quels actifs recensés sont concernés et pilotez les mesures et les échéances jusqu’à la preuve.
- CISA KEV, NVD et EPSS sont rapprochés de vos actifs, produits et SBOM.
- Les preuves issues des systèmes connectés se mettent à jour au rythme de leur source, et non au moment de l’audit.
- À l’enregistrement d’un incident, un minuteur d’échéances démarre pour NIS2 ; VamiAI rédige des projets de notification, votre équipe les vérifie et les soumet.
- Un contrôle, plusieurs référentiels : mis en œuvre une seule fois, il est rattaché à NIS2, à l’ISO 27001 et à d’autres normes.
- Des agents d’IA prennent en charge les tâches de routine selon vos règles de validation ; votre équipe décide.
Prendre rendez-vous
Parlons de votre situation Outlook et NTLM
Qu’il s’agisse de vérifier votre exposition, de durcir NTLM ou de produire des preuves pour NIS2 : Valeri Milke et l’équipe VamiSec vous aident à définir, à partir de ce point de situation, des prochaines étapes concrètes.
« La sécurité IT et la conformité sans IA, c'est une vulnérabilité. »
Valeri MilkeFondateur & dirigeant · VamiSec GmbHLead Auditor ISO/IEC 27001 & ISO/IEC 42001
FAQ
Questions fréquentes sur le zero-day Outlook
Qu’est-ce que CVE-2026-124194 ?
Une faille d’usurpation dans Outlook classique pour Windows, corrigée par Microsoft le 10 novembre 2026. Lorsqu’un utilisateur ouvre un fichier de message piégé, Outlook se connecte, sans l’avertissement habituel, à une destination réseau des attaquants et divulgue au passage le hash NTLMv2 de l’utilisateur. Microsoft attribue à la faille un score CVSS de 6,5 (gravité « moyenne ») et confirme qu’elle est exploitée.
S’agit-il d’une attaque zéro clic ?
Non. L’utilisateur doit ouvrir le fichier ; selon Microsoft, le volet de lecture n’est pas un vecteur d’attaque. Il en allait autrement en 2023 avec CVE-2023-23397, qui se déclenchait dès la réception d’un message.
Quelles versions d’Outlook sont concernées ?
Outlook classique pour Windows dans Microsoft 365 Apps for Enterprise ainsi que dans Office LTSC 2021 et Office LTSC 2024, en 32 et 64 bits. Le correctif est inclus dans Office LTSC 2021 à partir du build 16.0.14334.21048, dans Office LTSC 2024 à partir du build 16.0.17932.21140 et dans Microsoft 365 Apps à partir des builds de novembre du canal concerné, par exemple 20527.20196 dans le Current Channel. Microsoft ne mentionne pas comme concernés le nouvel Outlook, Outlook sur le web, Outlook pour Mac ni les applications mobiles.
Windows Update suffit-il ?
Non. La faille se trouve dans Office. Ce qui compte, c’est la mise à jour de sécurité Office de novembre 2026, qui, pour Microsoft 365 Apps, est distribuée via le canal de mise à jour concerné. Vérifiez le build installé dans Outlook sous Fichier › Compte Office › À propos d’Outlook, ou de manière centralisée via Intune ou Defender Vulnerability Management.
Pourquoi une faille avec un CVSS de 6,5 est-elle si urgente ?
Parce qu’elle est exploitée. Le CVSS décrit la gravité technique, pas le niveau de menace. La CISA a ajouté la faille à son catalogue des vulnérabilités exploitées connues et a fixé aux agences fédérales américaines une échéance au 24 novembre 2026. D’anciennes fuites NTLM présentant le même score ont elles aussi été activement attaquées.
Que peuvent faire des attaquants avec un hash NTLMv2 ?
Ils peuvent tenter de casser le mot de passe hors ligne, ce qui réussit rapidement avec des mots de passe faibles. Ou bien ils relaient directement l’authentification vers d’autres services (relais NTLM), par exemple Exchange, des serveurs de fichiers ou les services de certificats d’Active Directory, et y agissent au nom de l’utilisateur. Si le compte dispose de privilèges, c’est tout le domaine qui peut être menacé.
Qui exploite la faille ?
On l’ignore. Microsoft et la CISA ne nomment ni acteurs ni cibles, et aucun indicateur n’a été publié. D’anciennes failles d’Outlook permettant le vol NTLM ont notamment été exploitées par le groupe russe Forest Blizzard (APT28) ; on ne peut toutefois pas en tirer de conclusions sur le cas actuel.
Quel est le rôle de Claude dans cette découverte ?
Microsoft remercie Benoit Sevens avec la mention « using Claude with Anthropic », ainsi qu’un chercheur désigné sous le nom « nono ». La manière exacte dont le modèle d’IA a été impliqué n’a pas été publiée. Ce cas montre à quel point l’IA accélère la recherche de vulnérabilités, chez les défenseurs comme chez les attaquants.
Existe-t-il un code d’exploitation public ?
Au moins deux dépôts promettant une preuve de concept sont apparus sur GitHub ; l’un d’eux est explicitement non testé. Ne téléchargez pas ce type de code sans vérification : les prétendus exploits sont régulièrement eux-mêmes des logiciels malveillants.
Quel accompagnement propose VamiSec ?
Nous vérifions rapidement si vos installations d’Outlook sont corrigées et jusqu’où un hash dérobé pourrait mener dans votre réseau, nous durcissons NTLM, mettons en place des règles de détection et clarifions les cas suspects grâce à un Compromise Assessment et à notre CSIRT. Avec VamiGRC, vous pilotez les vulnérabilités exploitées, les échéances et les preuves pour NIS2.
Sources
Sources et informations complémentaires
Les informations reposent sur des publications de Microsoft, de la CISA, du NIST et de chercheurs en sécurité parues jusqu’au 13 novembre 2026. Les analyses de VamiSec sont signalées comme telles.
- [1]Microsoft Security Response Center: CVE-2026-124194 – Microsoft Outlook Spoofing Vulnerability,
- [2]Microsoft Security Response Center: November 2026 Security Updates – Release Notes,
- [3]Microsoft Learn: Release notes for Microsoft Office security updates,
- [4]CISA: Known Exploited Vulnerabilities Catalog,
- [5]NIST National Vulnerability Database: CVE-2026-124194 Detail,
- [6]CVE Program: CVE Record CVE-2026-124194,
- [7]Cyber Security News: CISA Confirms Active Exploitation of Outlook User Interaction 0-Day Vulnerability,
- [8]Cyber Security News: Microsoft Confirms Hackers Are Exploiting Outlook 0-Day to Steal Windows Authentication Hashes,
- [9]SecurityWeek: Exploited Outlook Zero-Day Among 1,094 Flaws Patched by Microsoft,
- [10]Notebookcheck: Exploited Outlook zero-day was found by a researcher using Claude,
- [11]TheHackerWire: CVE-2026-124194: Vulnerability Details,
- [12]Microsoft Windows IT Pro Blog: Retiring NTLM: Frequently asked questions,
- [13]Microsoft Security Blog: Guidance for investigating attacks using CVE-2023-23397,
- [14]Check Point Research: The Risks of the #MonikerLink Bug in Microsoft Outlook and the Big Picture,
- [15]NIST National Vulnerability Database: CVE-2024-43451 Detail,
- [16]SecurityWeek: Windows Zero-Day Exploited by Russia Triggered With File Drag-and-Drop, Delete Actions,
- [17]Check Point Research: CVE-2025-24054, NTLM Exploit in the Wild,
- [18]Microsoft Learn: Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers
- [19]Microsoft Learn: Protected Users Security Group
- [20]NIST National Vulnerability Database: CVE-2025-24054 Detail,
- [21]FIRST: Exploit Prediction Scoring System (EPSS): CVE-2026-124194,
Ce point de situation ne remplace ni un conseil juridique ni un contrôle de votre environnement.
Agir maintenantAppliquer le correctif est impératif.
Appliquer le correctif est impératif.
Réduire NTLM protège contre la prochaine faille.
Convenez d’un premier entretien sans engagement : nous faisons le point avec vous sur l’état des correctifs, le durcissement et les prochaines étapes.