En bref
- Le fait. Le 13 octobre 2026, Microsoft a corrigé de nombreuses failles critiques d'exécution de code dans ses applications bureautiques : Outlook, Word, PowerPoint, Excel et Visio. Pour plusieurs d'entre elles, Microsoft indique que le volet de visualisation (l'aperçu d'un message ou d'un document) est un vecteur d'attaque. Microsoft ne signale aucune exploitation. Le CERT-FR a publié les avis CERTFR-2026-AVI-1312 (14 octobre) et CERTFR-2026-AVI-1331 (16 octobre). Source : notes de version Microsoft d'octobre 2026.
- Êtes-vous concerné ? Oui, si vos équipes utilisent Microsoft 365 Apps (Outlook, Word, Excel, PowerPoint installés sur le poste) ou une version Office LTSC, sur Windows comme sur Mac.
- Quoi faire :
- vérifiez que Microsoft 365 Apps se met bien à jour automatiquement et que les postes ont redémarré les applications Office depuis le 13 octobre ;
- sur Mac, lancez Microsoft AutoUpdate et installez la version 16.114.26101123 ou ultérieure ;
- pour les installations Office LTSC, faites contrôler le numéro de build par votre prestataire.
- Urgence : critique, selon Microsoft (plusieurs failles notées « Critical »).
Détail technique
Versions corrigées (Security Update Guide de Microsoft) :
| Produit | Version corrigée |
|---|---|
| Microsoft 365 Apps for Enterprise | build de sécurité d'octobre 2026 de chaque canal, listé dans les notes de version de sécurité Microsoft 365 Apps |
| Office LTSC 2021 | 16.0.14334.20974 |
| Office LTSC 2024 | 16.0.17932.21056 |
| Office 365 pour Mac, Office LTSC pour Mac 2021 et 2024 | 16.114.26101123 |
Failles critiques dans Outlook (exécution de code à distance) : CVE-2026-70242, CVE-2026-70291, CVE-2026-88156, CVE-2026-97016 et CVE-2026-97749 (CVSS 9.8). Pour CVE-2026-70291 et CVE-2026-88156, Microsoft indique que le volet de visualisation est un vecteur d'attaque. Pour Office sur Mac, Microsoft a annoncé le 15 octobre 2026 la disponibilité du correctif de CVE-2026-70291.
Ajout du 15 octobre. CVE-2026-108448 (Outlook, critique, CVSS 7.5, volet de visualisation vecteur d'attaque) a été publiée le 15 octobre. Microsoft précise qu'elle était déjà corrigée par les mises à jour d'octobre et avait été omise par erreur : aucune action supplémentaire n'est nécessaire si les mises à jour d'octobre sont installées.
Autres failles critiques (exécution de code) : Word CVE-2026-70300 (CVSS 9.8), CVE-2026-108439, CVE-2026-108440, CVE-2026-70269 et CVE-2026-88185 ; PowerPoint CVE-2026-88178 (CVSS 9.8), CVE-2026-70215, CVE-2026-88144 et CVE-2026-88207 ; Excel CVE-2026-100209, CVE-2026-100210, CVE-2026-100211 et CVE-2026-105718 ; Visio CVE-2026-102855, CVE-2026-102856 et CVE-2026-102857.
KEV. Non : aucune de ces CVE ne figure au catalogue KEV de la CISA (version du 21 octobre 2026), et Microsoft ne signale ni exploitation ni divulgation publique préalable.
Contournement. Microsoft ne propose pas de contournement : l'installation des mises à jour d'octobre est la mesure à appliquer.
Vérifier sa version. Sous Windows, dans Word ou Outlook : Fichier, Compte, À propos de, qui affiche la version et le build. Comparer avec le build de sécurité d'octobre 2026 de votre canal (Microsoft 365 Apps) ou avec le tableau ci-dessus (LTSC). Sur Mac : menu Word ou Outlook, À propos, version 16.114.26101123 ou ultérieure attendue.