« Patch Tuesday » de Microsoft de novembre 2026 : une faille sur 1 095 a obtenu une note de 6,5, et elle fait l'objet d'attaques

La seule vulnérabilité de Microsoft exploitée ce mois-ci est classée « modérée » et présente le niveau de maturité d’exploitation le plus élevé attribué par Microsoft. Elle a été découverte par un chercheur à l’aide de l’IA et était déjà exploitée dans la nature. Par ailleurs, la faille qui a effectivement permis de prendre le contrôle de pare-feu ce mois-ci n’appartenait pas du tout à Microsoft.

En bref

Le nombre indiqué correspond aux CVE classées par Microsoft avec une note d’impact, à l’exclusion de 267 CVE de tiers republiées (paquets Azure Linux / Mariner, CVE Chromium attribuées par Google). En incluant celles-ci, le document comporte 1 362 lignes. Tenable et Krebs en recensent 1 093, ZDI environ 1 090, et BleepingComputer 1 235, selon une base de calcul différente. Nos chiffres proviennent de la révision du 11 novembre. Le mois de novembre affiche une baisse de 23 % par rapport aux 1 418 d'octobre — le deuxième mois à atteindre les quatre chiffres, mais pas un nouveau record.

La diffusion, par classe d'impact

1 095 CVE répertoriés par Microsoft.

L'élévation de privilèges représente 49 % des vulnérabilités divulguées et nécessite au préalable un point d'ancrage. L'exécution de code à distance est la catégorie qui ne nécessite pas de point d'ancrage. Tenable recense 287 produits concernés ; les plus touchés sont Office Word (65), Office Excel (64) et SQL Server (53).

Ce qui compte vraiment ce mois-ci

Cinq points, par ordre de priorité.

1. La seule faille Microsoft exploitée a obtenu une note de 6,5 — et Microsoft attribue à son exploit un niveau de maturité « Élevé ».

C'est le summum : un code d'exploitation largement disponible et fiable. CVE-2026-124194 est une faille d'Outlook qui entraîne la fuite de hachages NTLM, et le score CVSS la sous-estime car l'impact se limite à la confidentialité et nécessite une interaction de l'utilisateur. Sur 1 095 CVE, 1 084 sont classés « Non prouvé » et un autre est classé « Preuve de concept ». Le CVSS l'a classée comme « modérée ». La maturité de l'exploit indique qu'il est prêt à être utilisé dès maintenant.

2. Son correctif ne figure pas dans la mise à jour cumulative de Windows

Le correctif est disponible dans mises à jour de sécurité — Microsoft 365 Apps for Enterprise et Office LTSC 2021/2024 — et non dans la mise à jour KB5132061. Un parc informatique qui se contente de déployer le rollup mensuel de Windows sans aller plus loin restera vulnérable. La date limite fixée par la CISA est le 24 novembre.

3. L'IA a fait son apparition des deux côtés au cours du même mois

Microsoft attribue la découverte de la faille dans Outlook à un chercheur travaillant « avec Claude d’Anthropic » — et cette faille était déjà exploitée au moment où elle a été découverte. Dans le même temps, des pirates ont utilisé une assistance IA pour mettre au point la chaîne d’exploitation php2shell qui a permis de contourner les pare-feu Palo Alto. La découverte et l’exploitation de cette faille se sont toutes deux accélérées au cours du même cycle d’actualité.

4. Ce mois-ci, les véritables dégâts ont été causés par PHP, et non par Microsoft

Les vulnérabilités CVE-2026-109618 et CVE-2026-109619 correspondent à des failles RCE sans authentification au sein même du cœur de PHP — EPSS 0,9999, le score le plus élevé de tous les CVE de cette période. Le honeypot d’Amazon a détecté une tentative d’exploitation quatre jours avant la divulgation publique, alors que l’embargo était encore en vigueur. Au moins 25 pare-feu Palo Alto ont été compromis. Aucune de ces vulnérabilités n’apparaît dans le flux « Patch Tuesday ».

5. Les volumes continuent de baisser en raison de l'aversion au risque

1 095 CVE de Microsoft, dont une exploitée — 0,09 %. Les données de VulnCheck montrent que le nombre de CVE publiées a augmenté de 45 % d'une année sur l'autre, tandis que celui des vulnérabilités dont l'exploitation a été confirmée a progressé de 10 % ; la part des vulnérabilités exploitées est quant à elle passée d'un pic de 2,7 % à 1,4 %. Mais le délai médian entre la publication et l’exploitation est passé de 120 à 80 jours. Le nombre de vulnérabilités s’amenuise ; le délai avant exploitation se raccourcit.

Recommandations en matière d'atténuation

Les cinq correctifs Microsoft qui nécessitent une stratégie, et pas seulement un simple correctif. Pour chacun d'entre eux : ce qu'un pirate en fait concrètement, ce qu'il faut surveiller au sein de votre propre infrastructure, et les mesures à prendre au-delà du simple déploiement de la mise à jour.

CVE-2026-124194 — Microsoft Outlook, divulgation d'un hachage NTLM

EXPLOITÉ · CVSS 6,5 · Maturité de l'exploit : Élevée · KEV prévu le 24 novembre 2026 · CWE-356

Microsoft classe cet incident comme une usurpation d'identité ; d'un point de vue fonctionnel, il s'agit d'une fuite d'identifiants. Un fichier de message spécialement conçu incite Outlook à se connecter à un emplacement contrôlé par un attaquant sans afficher l'avertissement habituel concernant le contenu externe, puis Windows procède à une authentification automatique, transmettant ainsi le hachage NTLMv2 de l'utilisateur. La note de 6,5 reflète un impact limité à la confidentialité ainsi que la nécessité d'une interaction de la part de l'utilisateur — elle ne dit rien sur la valeur potentielle d'un identifiant de domaine relayé.

Comment les pirates exploitent cette faille

• Envoyez un fichier de message spécialement conçu ; l'utilisateur l'ouvre. Le volet d'aperçu n'est pas un vecteur : le fichier doit être ouvert.
• Outlook se connecte au serveur de messagerie sortant et Windows procède à une authentification automatique, exposant ainsi le hachage NTLMv2.
• Utilisez-le en temps réel contre tout service ne prenant pas en charge la signature SMB/LDAP ou la protection étendue pour l'authentification, ou craquez-le hors ligne à votre guise.

Ce qu'il faut surveiller

• Trafic sortant SMB (port 445) vers des destinations externes peu après l'ouverture d'un fichier de messages.
• Tentatives d'authentification NTLM vers des destinations Internet — consultez le journal des événements « NTLM Operational ».
• Vérifier si la signature SMB, la signature LDAP et l'EPA sont effectivement appliquées. Ce sont ces éléments qui transforment un hachage divulgué à la suite d'une violation de données en une véritable nuisance.
• Aucun indice n'a été publié et aucun acteur n'a été désigné ; la recherche comportementale est donc la seule option possible.

Recommandations en matière d'atténuation

• Déployez la mise à jour d'Office, et pas seulement le correctif cumulatif de Windows. Microsoft 365 Apps for Enterprise et Office LTSC 2021/2024 intègrent ce correctif. C'est le cas de figure le plus probable où vous pensez avoir appliqué le correctif alors que ce n'est pas le cas.
• Les terminaux avant les serveurs. La transmission se fait par e-mail et la cible est une personne.
• Si ce n'est pas déjà fait, activez la signature SMB et LDAP ainsi que la « Protection étendue pour l'authentification ». Ces mesures permettent de contrer les attaques par relais pour toutes les futures variantes de cette vulnérabilité, et pas seulement pour cette CVE.
• Bloquez le protocole SMB sortant au niveau du périmètre. Il y a rarement une raison légitime de l'utiliser.

CVE-2026-116928 — Composant Windows Search, exécution de code à distance

CRITIQUE · CVSS 9,8 · AV:N / PR:N / UI:N · Déclencheur : pièce jointe indexée · Pas encore exploitée

Exécution de code (RCE) avant authentification, sans intervention de l'utilisateur. Ce qui la distingue des autres vulnérabilités notées 9,8 : une pièce jointe malveillante envoyée à un serveur Exchange est traitée automatiquement lors de son indexation. Personne n'ouvre quoi que ce soit. Pour être entièrement corrigée, cette faille nécessite à la fois le correctif Windows et celui d'Exchange.

Comment les pirates exploitent cette faille

• Envoyez une pièce jointe personnalisée vers n'importe quelle boîte aux lettres d'un serveur Exchange sur lequel l'indexation est activée.
• L'indexeur de recherche l'analyse et l'exécute avant même qu'un utilisateur ne voie le message.

Ce qu'il faut surveiller

• Les serveurs Exchange sur lesquels l'indexation du contenu est activée — c'est-à-dire la plupart d'entre eux.
• Processus enfants inattendus provenant de l'indexeur de recherche ou des composants de transport Exchange.
• Serveurs de fichiers sur lesquels Windows Search est activé pour les partages autorisant les téléchargements.

Recommandations en matière d'atténuation

• Correctif les deux Windows et Exchange. La moitié du correctif laisse la porte ouverte.
• Traitez-le avec la même urgence que la faille exploitée : aucune authentification, aucune interaction et un mécanisme de diffusion que toutes les organisations utilisent déjà.
• Vérifiez que la mise à jour a bien été appliquée à tous les serveurs du DAG, et pas seulement à celui que vous avez testé.

CVE-2026-119958 — LDAP sous Windows, exécution de code à distance

CRITIQUE · CVSS 9,8 · Écriture hors limites · AV:N / PR:N / UI:N · Pas encore exploitée

Écriture hors limites non authentifiée dans le service LDAP. Le protocole LDAP fonctionnant sur chaque contrôleur de domaine, cela revient à dire que ce problème est l'équivalent, pour ce mois de novembre, du problème lié au DNS : le service vulnérable et les « joyaux de la couronne » se trouvent sur le même hôte.

Comment les pirates exploitent cette faille

• Envoyer un trafic LDAP spécialement conçu vers un contrôleur de domaine accessible. Sans identifiants, sans cliquer sur quoi que ce soit.
• Exécuter dans le contexte du service LDAP — sur un contrôleur de domaine (DC), c'est-à-dire l'annuaire lui-même.

Ce qu'il faut surveiller

• Quels réseaux peuvent accéder aux adresses 389/636 sur vos centres de données ? La réponse est généralement « plus que vous ne le souhaiteriez ».
• Le service LDAP se bloque ou redémarre sans qu'aucune modification n'ait été effectuée.
• Les centres de données exposés à des segments « guest », d’accès à distance ou OT.

Recommandations en matière d'atténuation

• Les contrôleurs de domaine d'abord, avant l'ensemble du parc de serveurs. Tout le reste de l'annuaire dépend d'eux.
• Limitez l'accessibilité LDAP pendant le déploiement. Les mesures de contrôle réseau permettent de gagner du temps ; seul le correctif permet de corriger le bug.
• Pendant que vous y êtes : si la signature LDAP n'est pas imposée, ce mois-ci vous offre deux raisons distinctes d'y remédier.

CVE-2026-88218 — Vulnérabilité de type « Server » dans le DNS de Windows, exécution de code à distance

CRITIQUE · CVSS 9,8 · AV:N / PR:N / UI:N · 4 CVE liés au DNS pour ce cycle · Pas encore exploité

Exécution de code à distance sans authentification dans le DNS de Windows, l'une des quatre vulnérabilités DNS identifiées lors de ce cycle et faisant partie des 30 CVE que ZDI considère comme pouvant donner lieu à la propagation d'un ver. Dans la plupart des environnements, l'Server DNS s'exécute sur des contrôleurs de domaine ; cette vulnérabilité concerne donc le même environnement que la faille LDAP mentionnée ci-dessus, ce qui signifie qu'une seule fenêtre de maintenance suffit pour corriger les deux.

Comment les pirates exploitent cette faille

• Envoyez un paquet spécialement conçu à n'importe quel serveur DNS Windows accessible.
• Exécution dans le contexte du service DNS ; sur un contrôleur de domaine co-résident, cela constitue une voie directe vers la compromission du domaine.

Ce qu'il faut surveiller

• Serveurs DNS partageant un hôte avec Active Directory — effectuez l'inventaire avant de planifier l'opération, et non pendant celle-ci.
• Le DNS Windows est accessible depuis les VLAN des utilisateurs, les plages d'accès à distance ou Internet.
• Les trois autres vulnérabilités DNS répertoriées dans la base CVE de cette version doivent être corrigées en une seule fois.

Recommandations en matière d'atténuation

• Regrouper cette opération avec le correctif LDAP au sein d'une seule fenêtre de maintenance du contrôleur de domaine. La présence de deux versions 9.8 sur le même hôte justifie d'avancer la fenêtre de maintenance.
• Le fait que l'accès soit limité au réseau interne ne constitue pas une mesure d'atténuation lorsque le point d'entrée initial est un ordinateur portable victime d'une attaque par hameçonnage.
• Vérifiez l'état du service après le déploiement du rollup : quatre correctifs DNS en un seul cycle représentent une surface de régression plus importante que d'habitude.

CVE-2026-119952 — Schannel de Windows, exécution de code à distance

CRITIQUE · CVSS 8,1 · Exploitation plus probable · AV:N / PR:N / UI:N · Pas encore exploité

Schannel est l'implémentation TLS de Windows : il est à la base de tout ce qui met fin à une connexion chiffrée. Il obtient un score inférieur à celui des failles mentionnées ci-dessus, mais c'est l'une des rares à avoir reçu la mention « Exploitation plus probable » dans ce bulletin, ce qui indique que Microsoft vous signale d'où, selon lui, proviendra la prochaine exploitation malveillante.

Comment les pirates exploitent cette faille

• Accédez à n'importe quel service utilisant Schannel pour établir une connexion TLS : IIS, RDP, LDAPS, SMB sur TLS.
• À exécuter pendant la phase de négociation, avant l'authentification.

Ce qu'il faut surveiller

• Tous les services Windows exposés à Internet qui terminent une connexion TLS. La surface d'exposition concernée est plus vaste que ne le laisse supposer le nom d'un produit en particulier.
• Accumulation d'erreurs Schannel ou d'échecs de négociation dans les journaux d'événements du système.

Recommandations en matière d'atténuation

• Il convient d'accorder plus d'importance à l'évaluation de Microsoft qu'à celle de 8,1. La mention « Exploitation plus probable » est un jugement prospectif ; le CVSS est une description statique.
• D'abord les terminateurs TLS orientés vers Internet, puis les terminateurs internes.
• Il n'existe aucune solution de contournement au niveau de la configuration : Schannel ne peut pas être désactivé. La mise à jour constitue le moyen de contrôle.

Communiqués de presse de tiers

Où se situent réellement les exploitations. Sur les quarante-trois vulnérabilités CVE dont l'exploitation a été confirmée au cours de cette période, quarante-deux provenaient de sources extérieures à Microsoft. Neuf d'entre elles concernaient des périphériques de périmètre.

PHP et Palo Alto

php2shell · EPSS 0,9999 · EXPLOITÉ

Les vulnérabilités CVE-2026-109618 et CVE-2026-109619 constituent des failles d'exécution de code à distance (RCE) sans authentification dans le cœur même de PHP, révélées le 21 octobre. L'une provoque une corruption de mémoire lors du nettoyage de la requête après un dépassement de mémoire ; l'autre réutilise un état de requête périmé sur un worker recyclé. Elles affectent toutes les installations PHP qui traitent des requêtes web — PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed —, mod_php étant le plus vulnérable, car l'exploitation se produit avant l'exécution du code de l'application. Corrigées dans les versions PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.

Le honeypot « MadPot » d'Amazon a détecté une tentative d'exploitation le 17 octobre, soit quatre jours avant la divulgation et alors que l’information était encore sous embargo. Les attaquants l’ont combinée à une faille de l’élevage de privilèges du noyau appelée « Fragnesia » pour déployer des shells web root sur les interfaces de gestion des pare-feu Palo Alto ; Dream Research en a recensé au moins 25 compromises. Palo Alto : « Aucune configuration particulière n’est nécessaire pour être affecté. » Selon SecurityWeek, les attaquants ont utilisé l’intelligence artificielle pour construire cette chaîne d’attaques.

Ivanti

Se connecter à Secure · chaîne fermée · EXPLOITÉ

La note d'information d'octobre signalait qu'un maillon non corrigé existait dans la chaîne de l'Secure « Connect ». Ce maillon a désormais été corrigé. Les vulnérabilités CVE-2026-111357 (CVSS 8,8, absence d’authentification dans le service de maintenance racine dsinvoked) et CVE-2026-118527 (4,3, identifiants prévisibles permettant une course à l’écriture) ont été corrigées le 29 octobre dans les versions 25.1.1.3 et 22.8R2.6. Les deux ont été intégrées au KEV le 30 octobre ; la date limite pour la vulnérabilité 118527 est fixée au 13 novembre, soit dans deux jours.

Les détails fournis par Volexity concernant UTA0576 méritent d’être lus : le module « dsinvoked » a exécuté une charge utile Python qui a temporairement modifié une bibliothèque en mémoire, redirigé une tâche de maintenance pour qu’elle s’exécute en tant qu’administrateur, puis restauré la configuration et l’état de la mémoire d’origine. Ni shell web, ni porte dérobée persistante : les commandes transitaient par des requêtes HTTPS répétées. L’exploitation a permis d’extraire les mots de passe administrateur LAPS de Windows et les clés de récupération BitLocker. L’appareil compromis était entièrement à jour au moment des faits. « Un résultat de contrôle d’intégrité négatif ne suffit pas à lui seul à exclure une compromission. »

Adobe

110 CVE · 9 bulletins · CRITIQUE

Adobe Connect fait la une — APSB26-191, 24 CVE dont 18 sont critiques, avec un score CVSS maximal de 10,0, et accessibles via le réseau sans authentification ni interaction de l'utilisateur. ZDI le qualifie de bulletin Adobe le plus important et le plus grave du mois. Experience Manager (APSB26-189) en ajoute 14 autres, dont quatre notées 9,9 ne nécessitant qu'un compte à privilèges limités.

Seuls ces deux bulletins relèvent de la priorité 2 ; les sept autres relèvent de la priorité 3. Aucune des vulnérabilités de la série Adobe de ce mois-ci n’a fait l’objet d’une exploitation — mais la vulnérabilité CVE-2026-48356, qui concerne un téléchargement de fichiers sans restriction dans Commerce et Magento, a été intégrée au KEV le 27 octobre avec un score EPSS de 0,475. C’est le troisième mois consécutif qu’une faille d’Adobe Commerce a été confirmée comme ayant fait l’objet d’une exploitation.

SAP

43 notes · 12 HotNews · CRITIQUE

Onapsis parle d'un record : 43 notes de sécurité nouvelles ou mises à jour, 12 HotNews et quatre failles CVSS 10.0, toutes exploitables sans authentification. Deux d’entre elles constituent la paire de failles de corruption de mémoire ICM2SHELL : CVE-2026-76964 (NetWeaver AS ABAP) et CVE-2026-89126 (Web Dispatcher et HANA XSA). CVE-2026-89103 correspond à PROXYGATE, une faille de contrôle d’accès dans SAP Gateway, et CVE-2026-120017 à une absence d’authentification dans le fournisseur de services SAML2 de NetWeaver.

Deux pièges opérationnels. PROXYGATE nécessite une modification manuelle des paramètres de profil après l'application du correctif — le correctif à lui seul ne suffit pas à le corriger. De plus, la solution de contournement consistant à désactiver WebSocket pour ICM2SHELL est explicitement déconseillée par SAP. Des chercheurs ont transmis à SAP des exploits fonctionnels ; aucune exploitation en milieu réel n'a encore été signalée.

Appareils périphériques

Citrix · SonicWall · Barracuda · EXPLOITÉ

Barracuda C'est la dernière en date : les vulnérabilités CVE-2026-116606 (contournement de l'authentification) et CVE-2026-111560 (injection de commandes système) sont explicitement enchaînées ; Barracuda confirme des attaques contre « un petit nombre d'organisations » ; watchTowr a publié le code d'exploitation ; et les deux sont prévues pour le 13 novembre.

La vulnérabilité SonicWall CVE-2026-19868 (7.1) permet à un utilisateur disposant d’identifiants valides non SAML de contourner l’authentification multifactorielle (MFA) imposée par SAML sur le VPN SSL. Il n’existe pas de solution de contournement ; les correctifs 7.3.4-7013 et 8.2.3-8015 sont prévus pour le 20 novembre. Citrix a publié le correctif CVE-2026-107406 (CVSS 9,5, NetScaler configuré pour SAML) le 8 octobre, ainsi qu'un correctif groupé distinct pour php2shell dans les versions 14.1-73.49 / 13.1-64.32, qui inclut également les correctifs de septembre et d'octobre.

Mozilla Firefox

160 · 99 CVE · AUCUNE EXPLOITATION

Firefox 160 (MFSA 2026-125) a été publié lors du « Patch Tuesday » avec 99 CVE : 57 de niveau « Élevé », 24 de niveau « Modéré », 18 de niveau « Faible » et aucune de niveau « Critique ». Les versions ESR 115.45 et 153.7 ont été publiées en même temps, ainsi que Thunderbird 160 et 153.7. Le nombre de 99 vulnérabilités dans une seule version de navigateur est bien supérieur à la norme historique de Mozilla et correspond au même volume que celui observé chez Microsoft, bien que Mozilla n'ait pas publiquement attribué ce résultat à la détection assistée par l'IA.

Apple

Une vulnérabilité CVE de 2024, désormais exploitée · EXPLOITÉ

Le 9 novembre, Apple a déployé les versions 27.2.1, 26.7.3 et 18.7.12 d’iOS/iPadOS, ainsi que trois branches de macOS. Le fait qu’il y ait trois branches iOS simultanées est en soi un signe — Lee Neely, du SANS : « Je prends note lorsque Apple publie des correctifs pour plus de deux versions. »

Le cas le plus intéressant est plus ancien. Le CVE-2024-27834 — une faille de contournement de l’authentification par pointeur (CVSS 5,5) qu’Apple a corrigée en mai 2024 — a été ajouté à la base de données KEV le 4 novembre. Sekoia attribue l’exploitation de cette faille à APT29 / Midnight Blizzard, via des sites légitimes compromis et une faille dans la chaîne d’approvisionnement du tracker SEO Plerdy, dans le cadre d’une chaîne d’attaque « zéro clic » aboutissant à un infostealer volant les cookies. Un bug de gravité moyenne datant de deux ans et demi, exploité par un acteur étatique.

Ce que cela signifie pour vous si vous expédiez des colis Software

Ce qui caractérise ce mois-ci, ce n’est pas le volume. C’est le fait que les deux événements les plus marquants — la découverte de la seule faille exploitée chez Microsoft et la compromission des pare-feu de Palo Alto — aient tous deux impliqué l’assistance de l’IA, dans des camps opposés, à moins de trois semaines d’intervalle. Un chercheur s’en est servi pour détecter un bug qui était déjà exploité. Un pirate s’en est servi pour mettre au point une chaîne d’attaques qui a permis de prendre le contrôle des équipements de production.

Et ce qui a réellement permis aux pirates de s'introduire dans les systèmes, c'est PHP : une dépendance, pas un produit. L'essentiel est de savoir ce que contiennent votre produit et vos terminaux avant même que la vulnérabilité CVE ne soit rendue publique. C'est précisément cette chaîne que cartographie le tableau de bord « Detection & Patching » d'OESIS : quelle application est installée, quelles vulnérabilités CVE elle comporte, et s'il existe déjà un correctif.

Matrice des priorités

Quatre tranches, en commençant par la plus grave. Le classement est établi en fonction de l'exposition et de l'exploitation, et non selon le score CVSS — c'est pourquoi une note de 6,5 figure en tête et une note de 10,0 en bas du classement. L'étude porte sur les logiciels que la plupart des organisations utilisent réellement ; l'ensemble des données couvre les 43 CVE exploitées et tous les éditeurs concernés par ce cycle.

P1 — MAINTENANT En moins de 24 heures 19 sur 43 ont été exploités

Exploitation confirmée dans la nature — observée, et non prédite. Classées par ordre chronologique décroissant : les premières lignes correspondent aux éléments qui n'avaient pas été abordés lors du dernier cycle.

Les failles « Microsoft » et « Chrome » ne disposent pas de score EPSS, car le modèle ne les avait pas encore évaluées au moment où cet instantané a été réalisé. Les 24 autres vulnérabilités CVE exploitées concernent des serveurs multimédias, des appareils de sauvegarde, des outils de développement et le lot historique du 8 octobre ; les 43 vulnérabilités sont consultables dans le tableau de bord CVE de l’ OPSWAT .

P2 — CETTE SEMAINE Dans les 72 heures 12 sur 32

Windows, sans authentification, accessible via le réseau, sans intervention de l'utilisateur. Il n'est pas nécessaire de cliquer sur quoi que ce soit pour que ces éléments modifient votre niveau d'exposition. Server : les rôles en premier lieu — et notez que le DNS et le LDAP se trouvent tous deux sur des contrôleurs de domaine.

Pas de rubrique EPSS ce mois-ci. Au moment de cet instantané, le modèle n'avait détecté qu'une seule des 1 095 vulnérabilités CVE de Microsoft — alors qu'en octobre, lors d'une analyse effectuée à peu près à la même heure, la couverture était quasi totale. Les scores EPSS sont communiqués selon leur propre calendrier, et une rubrique comportant des tirets indiquerait un risque faible plutôt qu'une absence de données. De toute façon, pour les exploitations confirmées, cela n'a jamais constitué un indicateur de classement pertinent.

P3 — CE CYCLE Dans un délai de 7 jours 8 CVE

Ces éléments sont essentiels et accessibles, mais chacun nécessite une condition préalable : un identifiant, une session authentifiée, un fichier transmis. La ligne « Proof-of-Concept » doit figurer ici, dans la catégorie « maturité de l'exploit », quel que soit son score.

P4 — AUCUNE ACTION À titre informatif uniquement 4 CVE

Côté serveur. Microsoft a corrigé ces vulnérabilités au sein de son propre environnement ; les clients n'ont rien à déployer. L'entreprise publie chaque mois un classement brut selon le CVSS — c'est précisément pour cette raison qu'elle figure ici, afin d'éviter toute confusion.

Le plan des 72 heures

Ce que la matrice des priorités ne vous dit pas.

Prochains rendez-vous au calendrier

Sources d'information

Commençons par les avis des fournisseurs principaux.

1. Centre de réponse aux incidents de sécurité de Microsoft, document CVRF n° 2026-Nov, révision du 11 novembre 2026 — liste CVE canonique, scores CVSS attribués par Microsoft et vecteurs temporels.
2. Catalogue des vulnérabilités connues et exploitées de la CISA et FIRST EPSS.
3. Zero Day Initiative : bilan des mises à jour de sécurité de novembre 2026.
4. Tenable : le « Patch Tuesday » de novembre 2026 corrige 1 093 vulnérabilités (CVE) ; Krebs on Security ; Rapid7.
5. Avis du PHP Group concernant les vulnérabilités CVE-2026-109618 et CVE-2026-109619 ; suivi des produits « php2shell » par le NCSC-NL ; article de SecurityWeek sur les compromissions subies par Palo Alto.
6. Volexity sur UTA0576 et Ivanti Connect Secure; avis de sécurité d'Ivanti concernant les vulnérabilités CVE-2026-111357 et CVE-2026-118527.
7. Onapsis, Journée des correctifs de sécurité SAP, novembre 2026.
8. Bulletins de sécurité Adobe (APSB26-191, -189 et autres).
9. Mozilla, MFSA 2026-125 (Firefox 160).
10. Citrix CTX697191 ; SonicWall SNWLID-2026-0014 ; alertes de sécurité Barracuda ; article de The Hacker News sur la vulnérabilité CVE-2024-27834 et APT29.
11. VulnCheck : les vulnérabilités détectées par l'IA et leurs taux d'exploitation.

Méthodologie. Le nombre indiqué correspond aux CVE classées par Microsoft avec une note d’impact dans le CVRF, à l’exclusion de 267 CVE tierces republiées. Les valeurs CVSS et de maturité d’exploitation de Microsoft sont attribuées par le fournisseur à partir du CVRF ; les valeurs CVSS tierces proviennent du NVD ou du fournisseur lorsque la CISA n’en publie pas. L’EPSS est un modèle de prédiction qui est simplement rapporté, mais jamais utilisé pour classer les exploitations confirmées — ce mois-ci, il n’avait évalué qu’une seule des 1 095 vulnérabilités CVE de Microsoft au moment de l’extraction des données, ce qui explique son absence dans les tableaux Microsoft. La matrice de priorité porte sur les logiciels d’entreprise courants ; l’ensemble de données sous-jacent couvre l’ensemble des 43 CVE dont l’exploitation a été confirmée entre le 8 octobre et le 10 novembre, ainsi que tous les éditeurs concernés par ce cycle. Le statut d’exploitation reflète les informations du KEV de la CISA et les confirmations des éditeurs eux-mêmes, et non les allégations de tiers.

Données au 11 novembre 2026. Les bases de données CISA KEV et EPSS sont mises à jour en continu, et Microsoft révise le CVRF après sa publication — les chiffres indiqués ici reflètent la révision du 11 novembre et l'état du catalogue tel qu'il se présentait ce matin-là. Les recommandations de mitigation sont générales et découlent des caractéristiques publiées pour chaque vulnérabilité ; elles ne remplacent en aucun cas les tests effectués dans votre propre environnement.