Le mois de novembre 2026 impose une nouvelle course aux correctifs. Microsoft, Google, Adobe et Mozilla multiplient les mises à jour face à des vulnérabilités déjà exploitées.
Le Patch Tuesday de novembre 2026 atteint un niveau exceptionnel avec 1 093 vulnérabilités corrigées par Microsoft, dont 63 critiques. Une faille Outlook, CVE-2026-124194, fait déjà l’objet d’attaques. Google corrige également une vulnérabilité zero-day dans Chrome, tandis qu’Adobe et Mozilla publient des centaines de correctifs supplémentaires. Cette actualité intervient dans un contexte d’accélération des exploitations recensées par la CISA. Pour les entreprises, la difficulté consiste désormais à identifier les vulnérabilités réellement dangereuses et à protéger les équipements exposés. En parallèle, la panne mondiale des services Microsoft du vendredi 13 novembre rappelle que la cybersécurité concerne aussi la disponibilité des infrastructures numériques.
Microsoft : 1 093 failles et une vulnérabilité Outlook exploitée
Vendredi 13 novembre 2026. Pour les utilisateurs de Microsoft 365, Outlook, Teams et Copilot, cette journée a pris des allures de vendredi 13 version 2.0. Une panne mondiale, commencée la veille, a perturbé les communications d’entreprises et d’administrations dans plusieurs pays. Microsoft a attribué l’incident à un problème technique lié à des modifications de son infrastructure réseau, sans preuve d’activité malveillante.
Ce clin d’œil au calendrier illustre néanmoins une réalité : même les plateformes les plus utilisées restent vulnérables aux interruptions de service.
Trois jours auparavant, le 10 novembre, Microsoft publiait son Patch Tuesday avec 1 093 CVE corrigées, réparties entre 63 vulnérabilités critiques, 1 029 importantes et une modérée.
Les élévations de privilèges dominent avec 535 corrections, devant les 296 vulnérabilités permettant potentiellement une exécution de code à distance. Parmi les seules failles critiques, 48 concernent l’exécution de code et 15 l’élévation de privilèges.
Excel concentre 12 vulnérabilités critiques, Hyper-V en compte huit et Microsoft Message Queuing cinq. Exchange Server, IIS, SMB, TCP/IP et Defender figurent également parmi les composants concernés.
En volume global, Word arrive en tête avec 65 CVE, devant Excel (64) et SQL Server (53).
Mais le véritable signal d’alerte ne se trouve pas nécessairement parmi les vulnérabilités affichant les scores les plus élevés.
CVE-2026-124194, une faille dans Microsoft Outlook, possède un score CVSS de seulement 6,5 et une classification « Modérée ». Pourtant, Microsoft confirme son exploitation dans des attaques réelles.
Le scénario repose sur l’ouverture d’un fichier malveillant spécialement préparé. Outlook peut alors établir une connexion vers une infrastructure contrôlée par l’attaquant, sans afficher les avertissements habituels concernant les contenus externes.
Cette interaction risque d’exposer des informations d’authentification, notamment un condensat NTLMv2, susceptible d’être réutilisé pour usurper l’identité de la victime.
Microsoft 365 Apps for Enterprise et Office LTSC 2021 et 2024 sont concernés.
Dans une logique de cyberdéfense, cette vulnérabilité modérée doit être traitée comme une urgence opérationnelle, car son exploitation est confirmée.
La situation confirme une tendance observée depuis septembre : le délai entre la divulgation d’une vulnérabilité et son exploitation continue de mettre les défenseurs sous pression.
PHP2Shell, avec CVE-2026-109618 et CVE-2026-109619, a précédé Node2Shell (CVE-2026-111497), puis SSHole (CVE-2026-123158), une vulnérabilité OpenSSH limitée à certaines configurations.
Ces failles ont rejoint le catalogue KEV de la CISA respectivement les 26 octobre, 27 octobre et 9 novembre.
Entre le 1er avril et le 9 novembre, 217 CVE ont intégré ce catalogue, soit une augmentation de 52 % sur un an. Depuis janvier, 288 vulnérabilités exploitées ont été répertoriées, contre 245 sur toute l’année 2025.
Ces chiffres imposent une distinction fondamentale entre vulnérabilité publiée et menace effectivement exploitée.
Environ 44 % des vulnérabilités exploitées concernent les équipements périphériques, les outils d’administration informatique et les solutions d’accès distant. Leur exposition à Internet et leurs privilèges élevés en font des cibles particulièrement sensibles.
Google, Adobe et Mozilla : les correctifs s’accumulent
Microsoft n’est pas le seul éditeur mobilisé.
Le 9 novembre, Google a diffusé Chrome 157.0.8103.50 pour corriger neuf vulnérabilités, dont CVE-2026-125350, déjà exploitée. Il s’agit de la huitième faille zero-day exploitée dans Chrome depuis janvier 2026.
Cette mise à jour succède à celle du 3 novembre, qui corrigeait 213 vulnérabilités, dont sept critiques. Les navigateurs utilisant Chromium, notamment Microsoft Edge, doivent également intégrer le correctif correspondant.
Sur Android, le bulletin de novembre traite 216 vulnérabilités, dont 23 critiques, sans exploitation active signalée. Le niveau de sécurité recommandé est celui du 5 novembre 2026 ou une version ultérieure.
Adobe publie simultanément neuf bulletins couvrant 110 CVE, dont 22 critiques.
Adobe Connect se distingue avec 24 vulnérabilités, parmi lesquelles 18 critiques et six affichant un score CVSS maximal de 10. Les risques concernent notamment des requêtes serveur non maîtrisées, des traversées de répertoires et des injections SQL.
Experience Manager corrige 14 vulnérabilités, dont quatre critiques avec un score de 9,9.
After Effects, Photoshop, Premiere, Audition, Media Encoder, Dimension et Content Credentials SDK reçoivent également des mises à jour. Aucun cas d’exploitation active n’est signalé par Adobe.
Mozilla complète cette séquence avec 99 CVE corrigées dans Firefox 160, dont 57 de sévérité élevée. Firefox ESR 153.7 en corrige 81 et ESR 115.45 en traite 28.
Plusieurs vulnérabilités impliquent des erreurs de gestion mémoire et des possibilités de sortie des environnements d’isolation. CVE-2026-124907, liée à WebGL, figure parmi les corrections importantes.
Environ un quart des vulnérabilités traitées dans Firefox 160 ont été signalées par des chercheurs d’OpenAI.
Pour les équipes informatiques, les priorités de novembre sont donc claires : corriger immédiatement Outlook et Chrome, vérifier les versions de Microsoft Edge, contrôler les équipements exposés et poursuivre les déploiements Adobe, Firefox et Android.
Une mise à jour du navigateur doit être suivie de son redémarrage pour garantir l’application effective des correctifs.
La panne Microsoft du vendredi 13 rappelle enfin qu’une infrastructure sécurisée doit aussi rester disponible. Entre exploitation active, dépendance aux fournisseurs et continuité d’activité, la cyberintelligence consiste désormais à identifier rapidement les actifs menacés et à agir avant leur compromission.
