Alerte de sécurité: CVE-2026-21509 menace Microsoft Office et demande des correctifs d'urgence

Microsoft a publié cette semaine des mises à jour de sécurité hors calendrier pour corriger une vulnérabilité à haute gravité dans Microsoft Office qui est déjà exploité dans des attaques. L'échec, enregistré comme CVE-2026-21509, touche plusieurs éditions de Office, y compris Microsoft 365 Apps for Enterprise et les dernières versions de LTSC, et force les gestionnaires et les utilisateurs à agir aussi rapidement que possible. Pour la description officielle de la vulnérabilité, voir le guide Microsoft: MSRC - CVE-2026-21509, et pour un résumé indépendant du registre de vulnérabilité, l'onglet est disponible dans le NVD: NVD - CVE-2026-21509.

La société définit l'échec comme un omission d'une mesure de sûreté au Bureau qui permet à un attaquant local, non authentifié, d'éviter les protections conçues pour atténuer les risques associés aux contrôles COM / OLE vulnérables. Dans la pratique, le vecteur d'exploitation observé exige que l'attaquant convainc la victime d'ouvrir un fichier Office malveillant ; Microsoft souligne que le panneau d'aperçu n'est pas le point d'entrée, mais il y a eu des attaques à faible complexité qui nécessitent une interaction utilisateur.

Microsoft a déjà publié des correctifs d'urgence pour plusieurs éditions administrées par son service cloud et pour les versions récentes du LTSC, mais a reconnu que Aucune mise à jour disponible pour Office 2016 et Office 2019 et travaillera à les publier dès que possible. Entre-temps, la société a proposé une mesure d'atténuation basée sur le registre Windows qui peut réduire les possibilités d'exploitation dans ces environnements, bien que les instructions officielles soient confuses pour de nombreux administrateurs.

Si vous travaillez avec Office 2016 ou 2019 et ne pouvez pas appliquer un correctif immédiat, Microsoft recommande de fermer toutes les applications Office et de sauvegarder le Registre avant toute modification - modifier le Registre incorrectement peut laisser le système instable -; Microsoft explique comment le faire dans votre guide: Comment sauvegarder et restaurer le registre Windows. L'atténuation proposée consiste à créer ou à vérifier l'existence d'une succursale particulière sous la clé du Bureau commun, ajouter la sous-clé appelée {EAB22AC3-30C1-11CF-A7EB-00C05BAE0B} au sein de l'OCM Compatibilité et, dans cette sous-clé, créer une valeur DWORD (32 bits) appelée Drapeaux de compatibilité avec données 400. Après avoir enregistré les modifications, la protection entrerait en vigueur en relançant toute demande d'office.

Répétez-le en mots simples : fermez toutes les applications Office, sauvegardez le Registre, ouvrez l'Éditeur du Registre (regedit), naviguez sur la route correspondant à votre installation (la route varie si vous avez Office de 32 ou 64 bits et si c'est Click-to-Run), créez la touche COM Compatibilité sous Common si elle n'existe pas, ajoutez la touche à l'identifiant indiqué et créez à l'intérieur les DWORD Compatibility Flags avec la valeur 400. Si vous n'êtes pas à l'aise d'apporter des modifications au Registre, vous êtes responsable de l'attente du patch officiel ou de l'assistance technique.

Microsoft n'a pas publié de détails techniques sur qui a découvert la vulnérabilité ou la manière précise dont elle est exploitée dans la nature, et a limité les informations pour empêcher la multiplication des attaques opportunistes. Cela accroît l'importance de mettre en œuvre les mises à jour dès qu'elles sont disponibles et de prendre des mesures préventives supplémentaires : éviter d'ouvrir des documents à partir d'envois inconnus, désactiver les macros lorsqu'elles ne sont pas nécessaires, et exiger des contrôles de sécurité sur le courrier et les canaux de messagerie qui parviennent aux utilisateurs finaux.

Le contexte récent est pertinent: dans le Patch mardi de janvier 2026 Microsoft a remédié à plus de 100 défaillances, y compris plusieurs jours zéro actifs qui étaient exploités. En outre, ces dernières semaines, l'entreprise a dû publier d'autres correctifs en dehors du calendrier régulier pour corriger les problèmes découlant de ces mises à jour, ce qui met en évidence la dynamique et la critique du paysage de sécurité actuel. Pour suivre les notes de sécurité et les mises à jour, consultez le centre de mise à jour de Microsoft: Guide de mise à jour de sécurité de Microsoft.

Bref : si votre organisation utilise Microsoft 365 Apps pour Enterprise ou les versions LTSC qui ont déjà reçu le patch, appliquez la mise à jour dès que possible. Si vous êtes dépendant de Office 2016 ou 2019, sauvegardez et, si vous décidez d'appliquer des mesures d'atténuation dans le Registre, suivez attentivement les étapes ou délèguez la tâche au personnel des TI. Quelle que soit votre situation, agissez prudemment aux fichiers inattendus et attendez des instructions et des correctifs supplémentaires de Microsoft.