Microsoft a corrigé une vulnérabilité critique CVE-2026-21413 (CVSS 9.8) dans Outlook pour Windows et Microsoft 365 Apps. Cette faille de type zero-click RCE permet l exécution de code arbitraire à la simple réception d un email spécialement conçu, sans aucune interaction de l utilisateur. Le volet preview du message suffit à déclencher l exploitation. Le correctif est disponible dans le Patch Tuesday d avril 2026 mais des exploits PoC circulent déjà sur des forums underground.

Détails techniques

AttributValeur
CVECVE-2026-21413
CVSS 3.19.8 (Critique)
TypeRemote Code Execution (zero-click)
VecteurAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
ComposantTraitement OLE des pièces jointes dans le preview pane
ProduitsOutlook 2021, 2024, Microsoft 365 Apps (Windows)
CorrectifPatch Tuesday avril 2026

Mécanisme d exploitation

La vulnérabilité réside dans le moteur de rendu OLE (Object Linking and Embedding) d Outlook. Un email contenant un objet OLE malformé déclenche un use-after-free dans le processus de preview, permettant l exécution de shellcode dans le contexte de l utilisateur Outlook.

La chaîne d exploitation observée :

  1. L attaquant envoie un email avec un objet OLE conçu pour déclencher le UAF
  2. Le volet d aperçu Outlook traite automatiquement l objet
  3. Le shellcode télécharge et exécute un implant Cobalt Strike
  4. L attaquant obtient un accès au poste de l utilisateur avec ses privilèges

Criticité maximale

Cette vulnérabilité est de type zero-click : aucune action de l utilisateur n est nécessaire. Le simple fait de recevoir l email et de le voir apparaître dans le volet d aperçu suffit à déclencher l exploitation. C est le scénario le plus dangereux possible pour une faille email.

Mesures de remédiation immédiates

  • Appliquer le Patch Tuesday avril 2026 immédiatement via WSUS, SCCM ou Intune
  • Désactiver le volet d aperçu en attendant le patch : Affichage > Volet de lecture > Désactivé
  • Bloquer les objets OLE dans les emails entrants au niveau de la gateway mail (Exchange, Proofpoint, Mimecast)
  • Déployer une règle ASR (Attack Surface Reduction) : "Bloquer la création de processus enfants par les applications Office"
  • Monitorer les alertes EDR : rechercher les comportements suspects d Outlook.exe (création de processus, connexions sortantes inhabituelles)

Pour une stratégie complète de gestion des vulnérabilités Microsoft, consultez notre guide sur l audit de sécurité Microsoft 365.

À retenir

Les vulnérabilités zero-click dans les clients email sont les plus critiques car elles ne nécessitent aucune interaction utilisateur. Maintenez Outlook à jour et implémentez une défense en profondeur : gateway mail, EDR, ASR et segmentation réseau.

Sources : Microsoft Security Response Center | CISA KEV Catalog