Microsoft corrige deux douzaines de failles critiques dans Office, dont des vulnérabilités de type exécution distante

Dans un déploiement connu sous le nom de Patch Tuesday, Microsoft a publié des correctifs pour plus de trente nouvelles vulnérabilités, dont deux douzaines de failles de type exécution distante (RCE). L'annonce, publiée jeudi 16 octobre 2026, fait suite à son cycle de corrections le plus dense à ce jour.

Failles de type exécution distante et vecteurs d'exploitation

La majorité des correctifs concernent des défauts d'exécution distante de haute gravité, principalement liés aux débordements de tampon (buffer overflow). Selon le rapport de SecurityWeek, la plupart des RCE résultent de problèmes de débordement de tampon, avec plusieurs défauts présentant des caractéristiques spécifiques : erreurs hors limites (off-by-one), utilisation après libération (use-after-free), traversée de chemin (path traversal) et erreurs de troncature numérique. Ces vulnérabilités permettent théoriquement à un attaquant d'exécuter du code arbitraire sur la machine victime.

L'exploitation de ces failles nécessite généralement l'envoi d'un fichier malveillant spécialement conçu — souvent un document banal comme un PDF ou un Word — auquel l'utilisateur doit être incité à l'ouvrir. Ce scénario d'attaque implique que l'application Office traite le fichier sans vérification adéquate, permettant au code malveillant d'être exécuté.

Portée des correctifs et répartition par produit

Word a reçu la majorité des correctifs, reflétant son statut principal de l'application Office. Quelques corrections ont également été déployées pour Outlook, PowerPoint et SharePoint. En revanche, le texte indique que seuls quelques correctifs ont été rollouts pour ces applications, suggérant que la surface d'attaque principale réside dans le traitement des documents et des flux collaboratifs.

Contexte supplémentaire : fin de support d'Office LTSC 2021

Parallèlement, une autre actualité liée à la suite Office émerge. Le support d'Office LTSC 2021 a pris fin le 13 octobre 2026, marquant la fin de la maintenance de cette version perpétuelle. Microsoft n'a plus prévu de fournir de correctifs de sécurité, de correctifs de bogues ou d'assistance technique pour les applications de la famille Office LTSC 2021 — incluant Access, Excel, OneNote, Outlook, PowerPoint, Project, Publisher, Skype for Business, Visio et Word.

Cette décision s'inscrit dans une stratégie de Microsoft de recentralisation vers le cloud et vers Microsoft 365. La durée de vie de cinq ans pour Office LTSC 2021 est particulièrement courte comparée à d'autres versions de la suite. Pour comparaison, Office 2019 bénéficiait de sept ans de support, tandis qu'Office 2016 avait été maintenu pendant dix ans. Une autre version, Office LTSC 2024, bénéficie également d'un support de cinq ans jusqu'au 9 octobre 2029.

Implications pour les organisations

Les correctifs déployés par Microsoft visent à réduire la surface d'attaque de la suite Office, particulièrement pour les environnements professionnels où les utilisateurs peuvent traiter des fichiers sensibles. Cependant, la disparition du support d'Office LTSC 2021 soulève des questions pour les organisations ayant encore des installations legacy. Sans mises à jour de sécurité, ces applications pourraient devenir des cibles potentielles face à de nouvelles variantes de vulnérabilité.

Les experts soulignent que ces correctifs font partie d'une démarche plus large de modernisation de la suite Office, avec un accent croissant sur la sécurité des applications cloud et la réduction de la dépendance aux versions perpétuelles obsolètes.

Sources

• https://www.securityweek.com/microsoft-patches-two-dozen-rce-flaws-in-office/
• https://www.it-connect.fr/fin-support-office-ltsc-2021/