Pour la publication de février, Microsoft a corrigé 57 CVE uniques. Six CVE sont signalées comme ayant été exploitées, dont trois qui sont également publiquement divulguées. Si l’on ajoute la faille OOB zero-day, il s’agit d’une série de CVE qui nécessitent une attention particulière.
Publications hors calendrier de janvier
La première mise à jour OOB du 17 janvier a corrigé une défaillance d’invite d’identification lors des connexions en bureau à distance ou à un autre appareil distant. La deuxième vague de mises à jour OOB a eu lieu les 24 et 26 janvier et a résolu des crashs d’applications dans Outlook et OneDrive, ainsi que des problèmes d’hibernation/d’arrêt du système. Enfin, la troisième mise à jour OOB du 26 janvier portait sur une vulnérabilité zero-day (CVE-2026-21509), une faille de contournement de fonction de sécurité dans Microsoft Office.
Désactivation progressive de NTLM par Microsoft
Microsoft a dévoilé son plan de désactivation progressive du protocole d’authentification New Technology LAN Manager (NTLM) dans les dernières versions des systèmes d’exploitation, à partir de 2026 et au-delà. Le protocole NTLM, introduit en 1993, a été remplacé depuis par Kerberos, bien plus sécurisé. Cependant, NTLM est resté utilisé en solution de repli lorsque Kerberos n’est pas disponible, malgré son obsolescence et la faiblesse de ses algorithmes.
La première phase introduit un audit supplémentaire pour identifier où NTLM est encore actif et le remplacer partout où cela est possible. Dès à présent, Microsoft recommande d’utiliser l’audit NTLM avancé déjà disponible dans Windows Server 2025, ainsi que Windows 11 24H2 et versions ultérieures. La deuxième phase commencera avec les principales mises à jour des systèmes d’exploitation prévues plus tard cette année. Cette mise à jour éliminera plusieurs scénarios de repli où Kerberos revenait par défaut à NTLM.
Enfin, lors de la troisième phase, NTLM sera désactivé par défaut. Le code restera présent, mais vous devrez le réactiver explicitement si cela est absolument nécessaire. Cette approche en trois phases sera rapide, il convient donc de planifier dès maintenant le remplacement de NTLM dans votre environnement pour franchir une étape de sécurité majeure. La phase où NTLM sera désactivé par défaut interviendra lors de la prochaine grande mise à jour de Windows Server.
Vulnérabilités exploitées par Microsoft
Le 29 janvier, Microsoft a corrigé une faille de contournement de fonctionnalité de sécurité dans Microsoft Office (CVE-2026-21509). Cette vulnérabilité est évaluée comme **importante** par Microsoft, avec un score CVSS v3.1 de 7.8, mais confirmée comme exploitée activement. Un attaquant peut envoyer un fichier Office malveillant à un utilisateur et le convaincre de l’ouvrir pour exploiter la faille. Une méthodologie de priorisation basée sur les risques justifie de traiter cette vulnérabilité avec une sévérité supérieure à celle attribuée par le fournisseur ou le score CVSS.
Microsoft a corrigé une élévation de privilèges dans Remote Desktop Services (CVE-2026-21533). Également jugée importante (CVSS 7.8, exploitée), elle permettrait à un attaquant d’obtenir des privilèges SYSTEM. Cette faille concerne Windows 10 et versions ultérieures.
Microsoft a corrigé une élévation de privilèges dans Desktop Window Manager (CVE-2026-21519). Jugée importante (CVSS 7.8, exploitée), elle permet aussi l’obtention de privilèges SYSTEM. Elle affecte toutes les versions de Windows OS actuellement supportées (y compris ESU).
Microsoft a corrigé une faille de contournement de sécurité dans le framework MSHTML (CVE-2026-21513). Jugée importante (CVSS 8.8, exploitée), elle pourrait permettre à un attaquant de contourner une fonctionnalité de sécurité via le réseau (concernant Windows 10 et ultérieurs).
Microsoft a corrigé une faille de contournement de sécurité dans Windows Shell (CVE-2026-21510). Jugée importante (CVSS 8.8, exploitée), elle touche également toutes les versions Windows encore supportées.
Microsoft a corrigé une faille de contournement de sécurité dans Microsoft Word (CVE-2026-21514). Jugée importante (CVSS 7.8, exploitée), elle permet à un attaquant de contourner une fonctionnalité localement à cause de l’utilisation d’entrées non fiables.
Microsoft a corrigé une faille de déni de service dans Windows Remote Access Connection Manager (CVE-2026-21525). Jugée modérée (CVSS 6.2, exploitée), une opération locale déclenche un déni de service via une déréférence de pointeur nul (affecte tous les Windows OS encore supportés).
Vulnérabilités des éditeurs tiers
Adobe a publié neuf mises à jour ce mois-ci, corrigeant 43 failles CVE, dont 27 critiques. Les neuf mises à jour sont classées en priorité trois par Adobe.
Liste des tâches pour la mise à jour de février
Les mises à jour de Windows OS et Microsoft Office sont prioritaires ce mois-ci, car elles corrigent six nouvelles failles et une faille OOB zero-day.
Passez en revue l’annonce et la documentation de Microsoft sur la désactivation progressive de NTLM pour commencer à planifier sa dépréciation et désactivation.
