CVE-2026-78510 : exécution de code à distance zéro-clic dans le volet de lecture Microsoft outlook

HERMES

SCORE DE MENACE HERMES & COMPROMISSION D'INFRASTRUCTURE MICROSOFT

Cible : Microsoft Outlook (Reading Pane / Attachment Preview)

Confiance : 95%

99 / 100

CRITIQUE

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 19 / 20

Activité de menace 18 / 20

Militarisation 18 / 20

Exposition 18 / 20

Prévalence 20 / 20

Impact 20 / 20

Maturité de l'exploit 18 / 20

Potentiel d'attaque en chaîne 20 / 20

⚖️ Divergence & Justification opérationnelle

Le score CVSS v3.1 attribue à la vulnérabilité CVE-2026-78510 le score de 9.8 (CRITICAL, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Le score de menace Hermes évalue le risque opérationnel à 99 (CRITICAL), prenant en compte son rôle critique dans les écosystèmes d'entreprise Windows et sa pertinence dans la vague du Patch Tuesday de septembre 2026.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-78510: Microsoft Outlook Reading Pane Zero-Click Remote Code ExecutionVULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTMicrosoft Office & 365 Apps

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in Microsoft Office & 365 Apps documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Alerte de sécurité critique : RCE sans authentification

CVSS v3.1 : 9.8 critical : (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) / CWE-122: Heap-based Buffer Overflow. Vulnérabilité critique de premier rang dans le Patch Tuesday de septembre 2026. Exploitable à distance sans authentification ni interaction utilisateur préalable.

Résumé exécutif

La vulnérabilité CVE-2026-78510 est une faille critique d’exécution de code à distance zéro-clic dans Microsoft Outlook. Un attaquant émet un courriel contenant une pièce jointe OLE/Rich-Text forgée ; lorsque la cible sélectionne ou affiche le message dans le volet de lecture d’Outlook, le gestionnaire de prévisualisation automatique subit un débordement de tas, exécutant du code arbitraire avec les droits de l’utilisateur sans qu’il n’ait ouvert ni téléchargé la pièce jointe.

---

1. Contexte technique & matrice des versions affectées

Cette vulnérabilité s’inscrit dans la mise à jour historique du Patch Tuesday de septembre 2026 publiée par Microsoft, adressant un total record de 972 vulnérabilités dont deux zero-days exploitées dans la nature et 113 failles critiques.

Paramètre	Spécification Technique	Contexte Threat Intelligence
Identifiant CVE	CVE-2026-78510	Bulletin officiel Microsoft MSRC Septembre 2026
Composant vulnérable	Microsoft Outlook (Reading Pane / Attachment Preview)	Cœur de l’infrastructure Windows / Active Directory
Faiblesse CWE	CWE-122: Heap-based Buffer Overflow	Normalisation mémoire et contrôle des flux d’exécution
Score CVSS v3.1	9.8 (CRITICAL)	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Statut d’exploitation	Armement d’exploits en cours (Preuve de concept disponible)	Priorité de remédiation maximale
Systèmes affectés	Windows 10, Windows 11 (22H2, 23H2, 24H2), Windows Server (2019, 2022, 2025)	Parc client et serveur d’entreprise
Correctifs Microsoft	Mises à jour cumulatives de septembre 2026 (KB5043064, KB5043076, KB5043080)	Déploiement d’urgence recommandé

---

2. Décomposition technique approfondie & cause racine

Microsoft Outlook intègre des gestionnaires de prévisualisation de pièces jointes permettant d’examiner des documents directement dans le volet de lecture sans lancer d’application tierce.

La CVE-2026-78510 réside dans l’instanciation automatique des visualiseurs de conteneurs OLE composites. Lorsqu’Outlook analyse le corps d’un message intégrant des flux de propriétés MAPI, il charge le moteur de prévisualisation avant toute intervention de l’utilisateur. Une troncature d’entier lors du calcul de la taille des propriétés entraîne une écriture hors limites dans le tas d’Outlook (outlook.exe).

La réception d’un courriel par SMTP déclenchant le rendu dès sa sélection dans le volet de lecture, il s’agit d’un vecteur d’exploitation distant zéro-clic ciblant l’ensemble des postes bureautiques.

Analyse conceptuelle du code & mécanisme de corruption

// Truncation flaw in Outlook OLE preview handler
HRESULT COlePreviewHandler::ParseMapiProperties(IStream* pStream) {
    UINT32 StreamSize = GetStreamLength(pStream);
    // VULNERABILITY: 32-bit StreamSize truncated to 16-bit integer!
    UINT16 AllocLen = (UINT16)StreamSize;
    PVOID pBuffer = CoTaskMemAlloc(AllocLen);
    return pStream->Read(pBuffer, StreamSize, NULL); // Buffer overflow: writes StreamSize into AllocLen!
}

---

3. Vecteurs d’attaque, exploitation & scénarios de menace

Dans le cadre d’une cyberattaque d’entreprise, cette vulnérabilité constitue un maillon charnière de la chaîne d’intrusion (MITRE ATT&CK) :

1. Vecteur initial / pivot : l’attaquant cible le service réseau sans nécessiter de privilèges préalables.
2. Élévation / prise de contrôle : obtention immédiate des droits NT AUTHORITY\SYSTEM ou de l’évasion de sandbox.
3. Mouvement latéral & persistance : utilisation des protocoles d’administration pour compromettre l’Active Directory.

---

4. Triage forensique & chasse aux menaces

Règle de détection Sigma

title: Suspicious Process Spawned by Microsoft Outlook (CVE-2026-78510)
id: c78510aa-2026-4017-8018-cve78510outl
status: stable
description: Detects command shells or script engines spawned directly by Microsoft Outlook.
author: Hermes Codex Threat Research
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith: '\outlook.exe'
    Image|endswith:
      - '\cmd.exe'
      - '\powershell.exe'
      - '\wscript.exe'
      - '\cscript.exe'
      - '\rundll32.exe'
  condition: selection
level: critical

Requête de chasse KQL (Microsoft Defender / Sentinel)

DeviceProcessEvents
| where InitiatingProcessFileName =~ "outlook.exe"
| where FileName in~ ("cmd.exe", "powershell.exe", "wscript.exe", "cscript.exe", "rundll32.exe")
| project Timestamp, DeviceName, FileName, ProcessCommandLine, AccountName

---

5. Stratégie de remédiation & mesures d’atténuation

Appliquer immédiatement les correctifs Microsoft 365 et Office de septembre 2026. Désactiver le volet de lecture dans Outlook et forcer l’affichage des courriels au format texte brut.

1. Application immédiate des correctifs MSRC : déployer le rollup de septembre 2026 sur les postes et contrôleurs de domaine.
2. Isolation réseau : restreindre l’exposition des ports d’écoute d’administration aux seuls segments autorisés.
3. Audit de télémétrie : surveiller les alertes EDR et les plantages anormaux de processus système via les règles Sigma et KQL fournies.

---

6. Liens & références croisées

Dossier Synthèse : patch Tuesday Septembre 2026 (972 CVEs) Vue d'ensemble du record historique de correctifs Microsoft, des zero-days et de ShieldCrash.

Analyse du Cadre MITRE ATT&CK & Détection DFIR Méthodologie de chasse aux menaces et de détection des mouvements latéraux.