Microsoft a corrigé une faille critique d'exécution de code distant sans interaction utilisateur dans Outlook, et chaque responsable marketing par email, propriétaire d'entreprise et chef de croissance qui lance des campagnes via Exchange doit prêter attention immédiatement.
Parmi les 137 vulnérabilités traitées lors de la mise à jour Patch Tuesday de mai 2026 de Microsoft, se trouve une faille Outlook critique susceptible de représenter une menace sérieuse pour les entreprises. Identifiée sous le code CVE-2026-40361, la vulnérabilité est classée par Microsoft comme une faille d'exécution de code distant. Le chercheur en sécurité Haifei Li a confirmé qu'il s'agit d'un bug use-after-free sans clic, ce qui signifie qu'il peut être exploité pour exécuter du code distant auprès des utilisateurs Outlook sans aucune action de leur part.
Ce que la faille fait et pourquoi elle est différente
La plupart des attaques par email exigent que le destinataire clique sur un lien ou ouvre une pièce jointe. Ce n'est pas le cas ici. Un email malveillant conçu pour exploiter cette faille peut déclencher une attaque dès son affichage. À l'arrivée de l'email, Outlook le traite automatiquement pour l'afficher, et sur un système non corrigé, cette étape normale peut entraîner l'exécution de code malveillant sans aucune action de l'utilisateur.
La faille permet l'exécution de code sur le point d'accès affecté sans interaction utilisateur, créant ainsi un risque d'accès aux données, de vol de credentials et d'activités post-compromission selon les privilèges de l'utilisateur.
Li a expliqué que la vulnérabilité affecte une DLL utilisée intensivement par Word et Outlook, et il a démontré son impact potentiel dans un environnement Outlook et Exchange Server. Parce que la vulnérabilité réside dans le moteur de rendu d'email d'Outlook, les atténuations traditionnelles telles que le blocage des pièces jointes ou des liens sont inefficaces.
Microsoft a assigné à CVE-2026-40361 un score CVSS de 8,4 et une classification de sévérité critique, marquant l'exploitation comme "plus probable".
Un parallèle vieux d'une décennie : le "Tue-entreprise" revient
Li a comparé CVE-2026-40361 à une vulnérabilité Outlook qu'il a découverte il y a plus d'une décennie. Cette faille antérieure, identifiée sous le code et baptisée BadWinmail, avait été qualifiée de "tue-entreprise" par le chercheur à l'époque, et la nouvelle faille utilise le même vecteur d'attaque et possède le même potentiel destructeur.
