Une vulnérabilité dans Outlook permet aux pirates de diffuser des logiciels malveillants par courrier électronique

Microsoft Windows est désormais menacé par une nouvelle faille de sécurité critique. Sobrement nommée CVE-2025-21298cette vulnérabilité se situe au cœur de la fonction Windows Object Linking and Embedding (OLE), qui permet d'intégrer de manière transparente des documents et d'autres objets dans des applications. Mais cette fonction recèle un danger particulier : un simple coup d'œil à la boîte de réception d'Outlook ou l'ouverture irréfléchie d'un aperçu de courrier électronique peut suffire à ouvrir la porte numérique à des invités non sollicités.

Les pirates peuvent exploiter la faille de sécurité dite "use after free" pour prendre le contrôle de l'ordinateur de la victime "en envoyant un courrier électronique spécialement conçu à une cible". Une exploitation réussie conduirait à l'exécution d'un code à distance sur le système cible si la cible ouvre ce courriel en utilisant une version vulnérable de Microsoft Outlook ou si son logiciel est capable de prévisualiser le courriel à travers un volet de prévisualisation"

Les conséquences d'une telle attaque peuvent être dévastatrices, allant du vol de données, de l'espionnage au chiffrement complet du système par un ransomware. Différentes versions de Windows 10, Windows 11 et Windows Server sont concernées. La vulnérabilité a un score CVSSv3 de 9,8 sur 10 et est donc "critique". D'autre part, Microsoft déclare n'avoir observé aucune exploitation de la vulnérabilité à ce jour.

Microsoft déploie déjà des correctifs de sécurité afin de combler la faille : il est fortement recommandé aux utilisateurs d'installer ces mises à jour dès que possible. Jusqu'à ce que les mises à jour soient installées, il est conseillé aux utilisateurs d'afficher les courriels en texte brut et, dans les grands réseaux locaux, de restreindre le trafic NTLM ou de désactiver complètement NTLM. Configurer Microsoft Outlook pour qu'il affiche les courriels en texte brut plutôt qu'en format enrichi empêche l'affichage d'autres types de contenu, tels que des photos, des animations ou des polices spécialisées, grâce auxquels la vulnérabilité peut être exploitée.