Patch Tuesday de novembre 2026 : 1 094 CVE, 1 faille zero-day exploitée

La publication du Patch Tuesday de Microsoft de novembre 2026 corrige 1 094 CVE Microsoft. C'est moins que le record de octobre, qui s'élevait à 1 413, mais il s'agit tout de même de la deuxième plus importante publication de Patch Tuesday à ce jour, devant les 974 de septembre. Cette publication concerne Windows, Microsoft 365 et les applications Office, SQL Server, SharePoint Server, Exchange Server, Azure, Defender et les outils de développement. Microsoft republie également 165 CVE non-Microsoft.

Une vulnérabilité fait déjà l’objet d’une exploitation active : CVE-2026-124194, une faille d’usurpation dans Microsoft Outlook. Microsoft la classe comme modérée, et aucun CVE de cette publication n’avait été divulgué publiquement avant le correctif. Pour le troisième mois consécutif, la vulnérabilité effectivement exploitée par les attaquants est classée en dessous de Critique, c’est pourquoi le statut d’exploitation doit déterminer l’ordre de priorité des travaux.

Avec plus de 1 000 CVE Microsoft à évaluer, les équipes IT ont besoin d’un déploiement basé sur les risques qui commence par les vulnérabilités exploitées par les attaquants et les systèmes où une compromission causerait le plus de dégâts. Cet article explique où les vulnérabilités sont concentrées, comment fonctionne le zero-day Outlook et où son correctif est déployé, quelles vulnérabilités critiques traiter ensuite, ainsi que comment séquencer le déploiement.

Analyse des correctifs Microsoft de novembre 2026

Parmi les 1 093 CVE avec des niveaux de sévérité, Microsoft en a classé 63 comme critiques, 1 029 comme importantes et 1 comme modérée.

Les élévations de privilèges et l’exécution de code à distance représentent environ 76 % de la publication :

Les failles d’exécution de code à distance peuvent donner à un attaquant un accès initial, et les failles d’élévation de privilèges peuvent transformer cet accès limité en contrôle total d’un système. Avec plus de 800 failles de ces deux types dans une seule version, les équipes IT doivent savoir quels systèmes affectés sont exposés et lesquels disposent d’un accès privilégié.

Où les vulnérabilités sont concentrées

Windows représente environ les deux tiers des CVE de ce mois-ci. Office et SharePoint Server en ajoutent 201 de plus, ce qui maintient le risque lié aux documents en haut de la liste.

Les chiffres publiés par Microsoft pour cette version diffèrent légèrement : les notes de version et la répartition par famille de produits indiquent 1 094 CVE, tandis que les évaluations de gravité en couvrent 1 093. Cet article utilise 1 094, le chiffre indiqué dans les notes de version de Microsoft.

Un zero-day exploité dans Outlook

Microsoft a signalé une CVE comme étant exploitée ce mois-ci. Il s'agit de la seule vulnérabilité classée modérée de toute cette publication.

Un attaquant non authentifié envoie un fichier de message spécialement conçu et amène le destinataire à l’ouvrir dans Outlook. L’ouverture du fichier amène Outlook à se connecter à un emplacement réseau contrôlé par l’attaquant sans afficher l’avertissement habituel concernant le contenu externe. Cette connexion peut exposer le hash NTLMv2 de l’utilisateur, qu’un attaquant peut utiliser pour se faire passer pour l’utilisateur lors d’attaques ultérieures.

L’utilisateur doit ouvrir le fichier, et le volet de prévisualisation n’est pas un vecteur d’attaque. Microsoft n’a pas indiqué qui est à l’origine des attaques ni quelle est leur ampleur. « Modéré » se situe un niveau au-dessus de la note la plus basse de Microsoft, pourtant c’est le seul CVE de cette publication que les attaquants utilisent de manière confirmée, alors appliquez ce correctif en priorité sur chaque appareil exécutant Outlook.

Le correctif est inclus dans les mises à jour de sécurité de Microsoft 365 Apps et d’Office LTSC 2021 et 2024. Il ne fait pas partie de la mise à jour cumulative de Windows (KB5132061), de sorte que les organisations qui déploient uniquement les mises à jour Windows restent exposées jusqu’à l’installation de la mise à jour Office.

Le CISA a ajouté CVE-2026-124194 à son catalogue des vulnérabilités connues comme exploitées le 10 novembre 2026, avec une date limite de remédiation fixée au 24 novembre 2026 pour les agences fédérales.

Vulnérabilités critiques à prioriser ensuite

Microsoft a classé 63 vulnérabilités comme critiques ce mois-ci : 48 exécutions de code à distance et 15 élévations de privilèges. Au lieu de les traiter comme un seul groupe, hiérarchisez-les en fonction de l'infrastructure affectée, de son niveau d'exposition et de ce qu'une compromission mettrait en risque.

Services d’identité, d’annuaire et d’authentification

Les contrôleurs de domaine et les protocoles qui sécurisent l’authentification donnent à un attaquant une portée sur l’ensemble de l’environnement. La faille Active Directory Domain Services (CVSS 8.8) nécessite un attaquant authentifié, tandis que la faille Schannel (CVSS 8.1) peut être exploitée par un attaquant non authentifié sur le réseau. Microsoft a évalué les deux comme étant plus susceptibles d’être exploitées.

Exchange, IIS et serveurs de déploiement

Exchange Server (CVE-2026-118207), Internet Information Services (CVE-2026-119961) et Windows Deployment Services (CVE-2026-119951) présentent chacun une vulnérabilité critique d’exécution de code à distance. La faille Exchange obtient un score CVSS de 8.8 et est évaluée comme étant plus susceptible d’être exploitée.

Ces serveurs sont souvent exposés à internet ou en contact avec chaque terminal qui dépend d’eux pour la messagerie, les services web ou le provisionnement. SharePoint Server mérite également une attention particulière : CVE-2026-120002 est classée Important, mais obtient un score CVSS de 9,9, un autre cas où le niveau de gravité sous-estime le risque.

Services Windows exposés au réseau

Toutes celles-ci sont des vulnérabilités d’exécution de code à distance dans des services à l’écoute sur le réseau. Identifiez où Message Queuing et les autres services concernés sont activés, et placez les systèmes accessibles depuis l’extérieur en tête de file. La faille NAT (CVSS 8.1) est évaluée comme ayant une probabilité d’exploitation plus élevée.

Élévation de privilèges dans Hyper-V et Windows

Windows Hyper-V présente huit vulnérabilités critiques d’élévation de privilèges ce mois-ci :

• CVE-2026-113753

• CVE-2026-113856

• CVE-2026-113860

• CVE-2026-113861

• CVE-2026-113864

• CVE-2026-113865

• CVE-2026-119947

• CVE-2026-119960

Le noyau graphique (CVE-2026-119966 et CVE-2026-125137) et les Services Bureau à distance (CVE-2026-119957) présentent également des failles critiques d’élévation de privilèges. Associées à une vulnérabilité d’accès initial, elles peuvent donner à un attaquant un contrôle au niveau SYSTEM.

Les hôtes Hyper-V exécutent souvent de nombreuses charges de travail de production, donc une faille au niveau de l’hôte met en danger tous les invités qui s’y trouvent. Utilisez des tests par étapes et des fenêtres de maintenance coordonnées lorsqu’un déploiement immédiat pourrait perturber les services, mais gardez ces fenêtres courtes.

Applications Microsoft 365 et Office

Les applications Office représentent 22 des vulnérabilités critiques d’exécution de code à distance de ce mois-ci :

Excel présente de nouveau la plus forte concentration de failles critiques dans une seule application. Les documents malveillants restent l’un des vecteurs d’entrée les plus courants dans les environnements utilisateur. Les trois failles critiques d’Outlook (CVE-2026-110043, CVE-2026-110068 et CVE-2026-111309) ne sont pas signalées comme exploitées. Elles sont diffusées via le même canal de mise à jour Office que le correctif zero-day, de sorte qu’un seul déploiement Office peut traiter les deux.

Composants de fichiers, de médias et de recherche

Des vulnérabilités critiques d’exécution de code à distance affectent également Graphic Fonts (CVE-2026-119969), la bibliothèque Windows Codecs Library (CVE-2026-113749), Raw Image Extension (CVE-2026-114169), Windows Search (CVE-2026-116928) et Print Spooler Components (CVE-2026-113752).

Les failles liées aux polices, aux codecs, aux images et à la recherche peuvent être déclenchées par un contenu conçu spécialement, ce qui les met à portée sur les terminaux du quotidien. Print Spooler fonctionne sur la plupart des appareils Windows et passe facilement inaperçu dans les cycles de correctifs ; vérifiez donc qu’il est couvert par le même déploiement que le reste de la version.

Azure et services de sécurité

Azure OpenAI (CVE-2026-119990) et Azure Managed Grafana (CVE-2026-114160) présentent chacun une vulnérabilité critique d’élévation de privilèges, et Microsoft Defender présente une vulnérabilité critique d’exécution de code à distance (CVE-2026-122194). Les services cloud et les outils de sécurité nécessitent la même vérification que les systèmes sur site, et une faille dans un produit de sécurité constitue en soi une cible de grande valeur.

Comment prioriser les correctifs de novembre 2026

Il n’existe pas de calendrier fixe adapté à tous les environnements. Utilisez ces niveaux comme point de départ, puis ajustez en fonction de l’exposition, de l’impact métier et des exigences de test.

Appliquer le correctif sous 72 heures

• CVE-2026-124194, via les mises à jour de Microsoft 365 Apps et Office LTSC, sur chaque appareil exécutant Outlook

• Active Directory Domain Services, LDAP, Schannel et CredSSP sur les contrôleurs de domaine et les serveurs d’authentification

• Exchange Server et IIS, en commençant par les systèmes exposés à Internet

• Message Queuing, serveur SMB, TCP/IP et NAT sur les systèmes où ces services sont accessibles

• Hôtes Hyper-V

• Google Chrome CVE-2026-125350, traité dans la section tierce ci-dessous

• Toute CVE ajoutée ultérieurement au catalogue KEV de la CISA ou signalée comme ayant une probabilité d’exploitation plus élevée

Appliquez le correctif sous 1 à 2 semaines

• Autres vulnérabilités critiques restantes d’Office, en commençant par Excel, puis Word, Outlook et PowerPoint. Microsoft indique que les mises à jour Office sont cumulatives, sauf pour Office 2016, donc le déploiement du zero-day inclut déjà la plupart de ces correctifs dans Microsoft 365 Apps et Office LTSC. Vérifiez Office 2016 séparément.

• Polices graphiques, bibliothèque de codecs, extension d’image brute, Windows Search et composants du spouleur d’impression

• Vulnérabilités d’élévation de privilèges de Graphics Kernel, Remote Desktop Services et TPM

• SharePoint Server, y compris CVE-2026-120002

• Azure OpenAI, Azure Managed Grafana et Microsoft Defender

• Visual Studio, Visual Studio Code et .NET sur les postes de travail des développeurs

• serveurs Adobe Connect et Adobe Experience Manager

L’exposition doit néanmoins primer sur le calendrier par défaut. Les utilisateurs qui ouvrent régulièrement des fichiers externes pourraient avoir besoin de mises à jour Office plus tôt.

Cycle de correctifs régulier

• Vulnérabilités d’élévation de privilèges et de divulgation d’informations classées Important dans des composants à exposition limitée

• Problèmes liés à l’accès local uniquement et aux pilotes de périphériques sur les systèmes à accès physique restreint

• Systèmes non exposés à Internet avec des contrôles compensatoires en place

Mises à jour importantes de tiers

Plusieurs autres fournisseurs ont publié des correctifs de sécurité la même semaine, dont un autre zero-day exploité.

zero-day de Google Chrome

Google a corrigé CVE-2026-125350, une vulnérabilité use-after-free de haute sévérité dans le composant XML de Chrome qui est exploitée activement. Le correctif est inclus dans Chrome 157.0.8103.50/.51 pour Windows et Mac ainsi que dans Extended Stable 156.0.8078.96, et cette même mise à jour corrige huit autres vulnérabilités. La CISA a ajouté CVE-2026-125350 au catalogue KEV le 10 novembre, le même jour que la faille Outlook.

Chrome télécharge les mises à jour en arrière-plan, mais ne les applique qu’après un redémarrage. Confirmez donc les versions installées plutôt que le statut du téléchargement. Les autres navigateurs basés sur Chromium partagent le même code moteur, alors surveillez également les mises à jour de ces éditeurs.

Adobe

Adobe a publié des correctifs pour environ 110 vulnérabilités sur neuf produits : Adobe Experience Manager, Adobe Connect, Photoshop, Premiere, After Effects, Audition, Media Encoder, Dimension et le SDK Content Credentials. Des vulnérabilités critiques ont été corrigées dans Adobe Connect et Adobe Experience Manager, dont six failles Adobe Connect avec un score CVSS de 10. Adobe indique n’avoir connaissance d’aucune exploitation.

Adobe ColdFusion 2021 arrive également en fin de support étendu le 10 novembre 2026, selon le calendrier de support d’Adobe. Sa dernière mise à jour a été publiée en décembre 2025, donc tous les serveurs ColdFusion 2021 encore en service nécessitent un plan de mise à niveau.

CVE non-Microsoft republiées

Microsoft republie 165 CVE non-Microsoft ce mois-ci, contre un seul en octobre. Combiné aux publications de Chrome et d’Adobe, cela rappelle qu’il faut intégrer les navigateurs, les outils créatifs et les applications serveur au même workflow de gestion des vulnérabilités que Windows et Office. Des processus distincts peuvent laisser des failles, même lorsque les correctifs du système d’exploitation sont à jour.

Pourquoi le Patch Tuesday de novembre est important pour les équipes IT

La version de novembre soulève trois problèmes opérationnels qui vont au-delà de toute CVE prise individuellement.

1. Les correctifs arrivent via plusieurs canaux de mise à jour

La seule vulnérabilité Microsoft exploitée ce mois-ci est corrigée dans la mise à jour d’Office, le zero-day de Chrome nécessite un redémarrage du navigateur, et Adobe publie selon son propre calendrier. Un processus reposant uniquement sur Windows Update peut indiquer qu’un appareil est à jour alors qu’il reste exposé.

Les équipes ont besoin du statut des correctifs pour chaque application ainsi que pour chaque version d’OS, avec une vision claire des appareils auxquels il manque encore les mises à jour les plus importantes ce mois-ci.

2. Windows 11 23H2 Enterprise and Education atteignent la fin des mises à jour

Microsoft indique que la mise à jour de novembre (KB5131087) est la dernière mise à jour de sécurité pour Windows 11 version 23H2 Enterprise et Education. Windows 11 version 24H2 Home et Pro a déjà atteint la fin des mises à jour en octobre, et les appareils Windows 10 22H2 commerciaux ont besoin d’une licence Extended Security Updates Year 2 pour recevoir les correctifs de ce mois-ci.

Les appareils utilisant ces éditions cessent de recevoir des correctifs après leur date de fin, quelle que soit la rapidité avec laquelle une équipe applique les correctifs. Identifiez-les dès maintenant et planifiez les mises à niveau. Microsoft a également indiqué qu’il n’y aura pas de mise à jour d’aperçu non liée à la sécurité en décembre 2026, bien que la mise à jour de sécurité de décembre soit toujours attendue pour le Patch Tuesday.

3. Les changements de durcissement de la sécurité peuvent nécessiter des tests

Avec cette mise à jour, les clients Windows 11 offrent la signature des messages NTLM par défaut pour les connexions non anonymes, ce qui contribue à réduire les attaques par relais NTLM. C’est un changement opportun dans un mois où le zero-day exploité cible les hachages NTLMv2.

PowerShell applique désormais des contrôles d’encodage plus stricts aux scripts signés. Les scripts avec un encodage UTF-8 non valide peuvent donc échouer à la validation de signature, même s’ils fonctionnaient auparavant. Microsoft recommande d’enregistrer ces scripts au format UTF-8 avec un marqueur d’ordre des octets, puis de les signer à nouveau. Testez les scripts d’automatisation signés sur un petit groupe d’appareils avant un déploiement à grande échelle.

Comment Splashtop AEM peut aider à prioriser et déployer les correctifs

Une version comportant 1 094 CVE, dont une faille zero-day exploitée, confie deux missions aux équipes IT : identifier ce qui compte dans leur environnement et déployer rapidement les bonnes mises à jour. Splashtop AEM (Autonomous Endpoint Management) prend en charge les deux depuis une console centralisée.

• Repérez les appareils exposés : Splashtop AEM analyse en continu les terminaux Windows et macOS à la recherche de CVE, y compris les vulnérabilités figurant dans le catalogue Known Exploited Vulnerabilities de la CISA, ainsi que l’état des correctifs et l’inventaire du matériel et des logiciels. Les équipes peuvent voir quels terminaux restent exposés au fur et à mesure du déploiement des mises à jour.

• Priorisez ce que les attaquants utilisent : les résumés de CVE alimentés par l’IA et les signaux de risque, y compris les scores EPSS et le statut KEV, aident les équipes à traiter les vulnérabilités exploitées avant le reste d’une publication de plus de 1 000 CVE.

• Déployez et vérifiez plus rapidement : le correctif du système d’exploitation et des applications tierces en temps réel, les politiques automatisées, les fenêtres de maintenance, les contrôles de redémarrage et les anneaux de mise à jour permettent aux équipes de tester d’abord les mises à jour des serveurs ou de Hyper-V sur un groupe plus restreint d’appareils. Les équipes peuvent ensuite étendre le déploiement et suivre quelles installations ont réussi, échoué ou ont été retardées.

• Renforcez vos workflows existants : Splashtop AEM peut améliorer Microsoft Intune en ajoutant l’application de correctifs en temps réel, la visibilité sur les CVE et la remédiation. Les équipes qui utilisent un RMM peuvent s’en servir pour combler les lacunes en matière de visibilité sur les correctifs et d’automatisation.

Identifiez et corrigez plus rapidement les terminaux exposés avec Splashtop AEM

La version de novembre est plus modeste que celle d’octobre, mais elle reste la deuxième plus importante Patch Tuesday à ce jour, et son unique vulnérabilité Microsoft exploitée est corrigée en dehors de la mise à jour Windows. Les équipes IT doivent voir quels endpoints sont exposés sur chaque canal de mise à jour, déployer d’abord les correctifs les plus urgents et confirmer chaque installation.

Démarrez un essai gratuit de Splashtop AEM pour voir quels endpoints sont vulnérables, prioriser les mises à jour à haut risque et déployer les correctifs plus rapidement.