MIS À JOUR Microsoft a publié un correctif d’urgence pour Office après avoir confirmé qu’une faille zero-day était déjà utilisée dans des attaques réelles.
La faille, identifiée comme CVE-2026-21509 et dotée d’un score CVSS de 7,8, tombe dans la catégorie « contournement des fonctionnalités de sécurité » de Microsoft. En pratique, cela signifie que les attaquants peuvent contourner les protections censées empêcher l’exécution des composants existants non sécurisés. Ces composants incluent COM et OLE – d’anciennes fonctionnalités Windows qui sont au cœur des attaques basées sur les documents depuis des années et qui n’ont clairement pas encore mérité leur retraite.
Microsoft enquête sur les échecs de démarrage de Windows 11 liés aux mises à jour de sécurité de janvier
Selon Microsoft, l’exploitation ne dépend pas du volet d’aperçu d’Office – souvent un signal d’alarme dans les campagnes précédentes – mais nécessite encore peu d’efforts une fois qu’une victime est persuadée d’ouvrir un fichier piégé. Dans son avis, la société décrit le problème comme un cas de « dépendance à l’égard d’entrées non fiables dans une décision de sécurité », une manière polie de dire qu’on peut convaincre Office de faire des choses qu’il ne devrait pas faire.
AD ENREGISTREMENT
« Le recours à des entrées non fiables dans une décision de sécurité dans Microsoft Office permet à un attaquant non autorisé de contourner localement une fonctionnalité de sécurité », a déclaré Microsoft. « Un attaquant doit envoyer à un utilisateur un fichier Office malveillant et le convaincre de l’ouvrir. »
AD ENREGISTREMENT
La faille touche la plupart des versions actuelles d’Office, depuis Office 2016 et 2019 jusqu’aux versions LTSC et Microsoft 365 Apps for Enterprise. Les mises à jour sont disponibles pour les versions plus récentes, mais toute personne exécutant encore Office 2016 ou 2019 doit attendre. Microsoft affirme que les correctifs pour ces éditions ne sont pas encore prêts et seront livrés « dès que possible ».
En attendant, Redmond oriente les clients concernés vers des mesures d’atténuation qui, selon elle, peuvent réduire le risque d’exploitation. Celles-ci impliquent de bloquer manuellement les contrôles COM et OLE vulnérables via le registre Windows en ajoutant une clé de compatibilité COM spécifique et en définissant une valeur DWORD d’indicateurs de compatibilité. C’est le genre de solution de contournement que de nombreuses organisations auront du mal à déployer de manière cohérente à grande échelle.
Microsoft est resté discret sur la manière dont CVE-2026-21509 est utilisé, ne fournissant aucun détail sur les campagnes d’attaque, les profils des victimes ou leur impact. La société a crédité son propre Microsoft Threat Intelligence Center, son Microsoft Security Response Center et son équipe de sécurité du groupe de produits Office pour avoir découvert le problème.
L’Agence américaine de cybersécurité et de sécurité des infrastructures n’a pas tardé à ajouter la faille à son catalogue de vulnérabilités exploitées connues, donnant aux agences fédérales du pouvoir exécutif civil jusqu’au 16 février pour appliquer les correctifs disponibles.
Le correctif arrive quelques jours seulement après que Microsoft a tiré la sonnette d’alarme concernant CVE-2026-20805, un bug Windows distinct déjà attaqué, donnant à 2026 une sensation inconfortablement familière. ®
Mis à jour pour ajouter à 10 h 55 UTC, le 28 janvier
Un représentant Microsoft contacté Le registre pour partager qu’une mise à jour de sécurité est disponible pour les clients exécutant Office 2016 et 2019. Plus d’informations peuvent être trouvées ici.
