Patch Tuesday de novembre 2026 : 1 235 failles corrigées, un zero-day Outlook exploité et des RCE critiques dans Active Directory, ce qu'il faut installer sur un VPS Windows Server

Le mardi 10 novembre 2026, Microsoft a publié son Patch Tuesday de novembre : 1 235 failles corrigées selon le décompte de BleepingComputer, dont 66 critiques, et une seule faille zero-day exploitée dans la nature, CVE-2026-124194, une usurpation (spoofing) dans Outlook qui sert à voler des hachages NTLM. Côté serveur, les correctifs qui comptent vraiment sont ailleurs : deux failles critiques dans Active Directory Domain Services (exécution de code à distance CVE-2026-118146, élévation de privilèges CVE-2026-118148) et une exécution de code à distance dans Exchange Server (CVE-2026-118207). Cet article fait le tri pour qui administre un VPS Windows sous Windows Server 2016, 2019, 2022 ou 2025 : quelle mise à jour cumulative installer, dans quel ordre selon le rôle du serveur, et comment vérifier qu'elle est bien en place.

Sources : Microsoft Security Response Center, guide des mises à jour de sécurité de novembre 2026 (fiches CVE et numéros de KB relevés le 12 novembre 2026), BleepingComputer, 10 novembre 2026 pour le décompte, catalogue KEV de la CISA pour l'exploitation active.

L'essentiel en une minute

• Sur tout VPS Windows Server : installez la mise à jour cumulative (LCU) de novembre : KB5131291 (Server 2016), KB5131085 (Server 2019), KB5131090 (Server 2022) ou KB5131080 (Server 2025), puis redémarrez.
• Contrôleur de domaine : priorité absolue, à cause de CVE-2026-118146 (CVSS 8,8) et CVE-2026-118148 (CVSS 7,5), toutes deux classées critiques avec une exploitation jugée « plus probable » par Microsoft.
• Serveur Bureau à distance (RDS) avec Outlook installé : la mise à jour Windows ne suffit pas. Le zero-day Outlook se corrige par la mise à jour d'Office (Microsoft 365 Apps, Office LTSC 2021 ou 2024).
• Exchange Server Subscription Edition : mise à jour de sécurité KB5133453 (build 15.02.2562.057) pour CVE-2026-118207, en plus de la LCU Windows.
• Windows Server 2016 : fin du support étendu le 12 janvier 2027. Il reste deux Patch Tuesday gratuits, celui du 8 décembre 2026 et celui du 12 janvier 2027.

Le Patch Tuesday de novembre 2026 en chiffres

Le chiffre de 1 235 vulnérabilités vient de BleepingComputer, qui compte tout ce que Microsoft publie le jour du Patch Tuesday, y compris 142 failles du navigateur Microsoft Edge (moteur Chromium) et de nombreuses entrées de Mariner, la distribution Linux de Microsoft. D'autres analystes, qui retirent ces produits tiers, publient des totaux autour de 1 090 failles. Les deux décomptes décrivent le même lot de mises à jour de sécurité : après les 1 407 failles du Patch Tuesday d'octobre 2026, c'est le deuxième mois consécutif au-dessus de mille correctifs.

Sur les 66 failles critiques, 48 sont des exécutions de code à distance, 15 des élévations de privilèges et 3 des use-after-free dans Edge. Environ 639 failles touchent Windows et ses composants : c'est cette part que corrige la mise à jour cumulative de votre Windows Server.

CVE-2026-124194 : le zero-day Outlook qui vole les hachages NTLM

CVE-2026-124194 est la seule faille du mois exploitée activement avant la publication du correctif. Microsoft la classe en sévérité « Modérée » avec un score CVSS de 6,5, ce qui ne reflète pas le risque réel : le code d'exploitation est jugé mature (E:H) et la CISA l'a ajoutée à son catalogue KEV (Known Exploited Vulnerabilities) dès le 10 novembre, avec une échéance de correction fixée au 24 novembre 2026 pour les agences fédérales américaines.

Comment fonctionne l'attaque

L'attaquant, sans authentification, envoie un fichier de message spécialement conçu et convainc l'utilisateur de l'ouvrir. Outlook se connecte alors à un emplacement réseau contrôlé par l'attaquant sans afficher l'avertissement habituel sur le contenu externe (faiblesse CWE-356 : l'interface ne prévient pas d'une action dangereuse). Pendant cette connexion, Windows envoie le hachage NTLMv2 de l'utilisateur. L'attaquant peut ensuite le relayer en direct vers un service qui n'exige pas la signature SMB ou LDAP, ou tenter de le casser hors ligne si le mot de passe est faible. Microsoft précise que le volet de lecture (Preview Pane) n'est pas un vecteur d'attaque : il faut ouvrir le fichier.

Qui est concerné sur un serveur

Un VPS Windows qui fait tourner un serveur de jeu ou une application web n'a en général pas Outlook installé. En revanche, un serveur RDS (Remote Desktop Services, hôte de session Bureau à distance) qui fournit Office à des utilisateurs est en première ligne : chaque session ouverte avec Outlook est une cible. Le correctif passe par Office, pas par Windows Update pour Windows :

Office 2016 et Office 2019 ne figurent pas dans la liste des produits corrigés : leur support s'est terminé le 14 octobre 2025.

Active Directory : deux failles critiques sur les contrôleurs de domaine

Si votre VPS ou votre serveur dédié porte le rôle contrôleur de domaine (Active Directory Domain Services, AD DS), ces deux correctifs passent avant tout le reste. Aucune n'est exploitée à ce jour, mais Microsoft évalue l'exploitation des deux comme « plus probable » (Exploitation More Likely).

Les deux failles relèvent d'un défaut d'autorisation (CWE-863). Pour CVE-2026-118146, un attaquant qui dispose d'un simple compte authentifié envoie une requête spécialement conçue au serveur et y exécute du code, sans interaction d'un utilisateur. Pour CVE-2026-118148, la complexité est élevée, mais le résultat est le niveau de privilèges SYSTEM sur le serveur.

Le point commun avec le zero-day Outlook mérite d'être souligné : ces deux failles demandent un compte du domaine, et un hachage NTLM volé via CVE-2026-124194 permet précisément de s'authentifier à la place d'un utilisateur. Sur le papier, un poste ou une session RDS non patché peut donc ouvrir la voie à un contrôleur de domaine non patché. Mettez à jour les deux.

Les builds corrigés par la fiche MSRC de CVE-2026-118146 sont 10.0.14393.9688 (Server 2016), 10.0.17763.9487 (Server 2019), 10.0.20348.5870 (Server 2022) et 10.0.26100.33822 (Server 2025), installations complètes et Server Core comprises.

Exchange Server : CVE-2026-118207, une RCE après authentification

CVE-2026-118207 est une exécution de code à distance critique (CVSS 8,8) dans Exchange Server. L'attaquant doit être authentifié avec un compte à faibles privilèges, puis envoie une requête forgée au serveur pour y exécuter du code. Microsoft juge l'exploitation « plus probable ». Le seul produit listé est Exchange Server Subscription Edition : la mise à jour de sécurité KB5133453 l'amène au build 15.02.2562.057. Exchange 2016 et Exchange 2019 ne sont plus supportés depuis le 14 octobre 2025 et ne reçoivent pas ce correctif.

Bonne nouvelle pour les administrateurs Exchange : les mises à jour cumulatives Windows de novembre corrigent aussi le problème apparu après les mises à jour Windows d'octobre, qui pouvait bloquer la connexion à Outlook sur le web (OWA), laisser des messages coincés dans la boîte d'envoi ou interrompre la réplication des boîtes aux lettres. Microsoft l'indique dans les notes de version des KB de novembre.

Les autres failles serveur à surveiller

Plusieurs rôles courants sur un VPS Windows Server reçoivent aussi des correctifs importants. Ils sont tous inclus dans la mise à jour cumulative : vous n'avez rien de plus à installer, mais ils aident à juger l'urgence.

Un contrôleur de domaine fait très souvent aussi office de serveur DNS : c'est une raison de plus pour le traiter en premier. Si votre port RDP est encore ouvert à tout Internet, profitez de la fenêtre de maintenance pour appliquer notre guide sécuriser un VPS Windows Server : durcir RDP et pare-feu.

Les numéros de KB de novembre 2026 pour Windows Server

Voici les mises à jour cumulatives de sécurité publiées le 10 novembre 2026, relevées dans le guide MSRC et les notes de version Microsoft. Chacune regroupe tous les correctifs Windows du mois, ainsi que ceux des mois précédents.

Sur Windows Server 2016, Microsoft rappelle d'installer d'abord la SSU KB5131083 : sans elle, la LCU peut ne pas être proposée ou échouer. Sur un serveur WSUS, approuvez les deux. Sur Windows Server 2025, une installation manuelle depuis le catalogue Microsoft Update demande aussi la mise à jour de point de contrôle KB5043080, à placer dans le même dossier que KB5131080.

Quoi patcher en priorité selon le rôle de votre serveur

Pour savoir quels rôles sont installés, une commande PowerShell suffit :

Get-WindowsFeature AD-Domain-Services, DNS, DHCP, RDS-RD-Server | Format-Table Name, InstallState

Pour Exchange, ouvrez l'Exchange Management Shell et lancez Get-ExchangeServer | Format-List Name, Edition, AdminDisplayVersion.

Installer les mises à jour sur un VPS Windows Server

Connectez-vous en Bureau à distance. Si la connexion RDP ne répond plus, la console VNC du panel ElypseCloud permet d'intervenir quand même, et notre guide débloquer un VPS Windows (port RDP bloqué) détaille la marche à suivre.

1. Sauvegardez avant : exportez vos données critiques (bases de données, configuration des services, profils) et vérifiez qu'il reste au moins 10 Go libres sur le disque système.
2. Windows Update : sur Server 2016, 2019 et 2022 avec interface graphique, ouvrez Paramètres > Mise à jour et sécurité > Windows Update puis Rechercher des mises à jour. Sur Server 2025, Windows Update est directement dans les Paramètres.
3. Server Core : lancez sconfig et choisissez l'option 6, installation des mises à jour.
4. Installation manuelle : téléchargez le fichier .msu depuis le catalogue Microsoft Update, puis wusa.exe C:\maj\fichier.msu /quiet /norestart, ou DISM /Online /Add-Package /PackagePath:C:\maj\fichier.msu.
5. Office sur un serveur RDS : dans Outlook, Fichier > Compte Office > Options de mise à jour > Mettre à jour maintenant, avec les sessions utilisateurs fermées.
6. Redémarrez le serveur : la LCU ne s'applique qu'après le redémarrage.

Vérifier que la mise à jour de novembre est bien installée

La méthode la plus fiable consiste à lire le numéro de build complet, dont la dernière partie (UBR, Update Build Revision) change à chaque mise à jour cumulative :

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion' | Select-Object CurrentBuild, UBR

Le résultat doit être au moins 14393 / 9688 sur Server 2016, 17763 / 9487 sur Server 2019, 20348 / 5870 sur Server 2022 et 26100 / 33822 sur Server 2025. Vous pouvez aussi chercher le KB directement :

Get-HotFix -Id KB5131090

Remplacez le numéro par celui de votre version. Pour Office installé en Démarrer en un clic, la version installée se lit ainsi :

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Office\ClickToRun\Configuration' | Select-Object VersionToReport

Enfin, contrôlez qu'aucun service en démarrage automatique n'est resté arrêté après le redémarrage :

Get-Service | Where-Object { $_.StartType -eq 'Automatic' -and $_.Status -ne 'Running' }

Ce qui change aussi : la signature NTLM activée par défaut

Les mises à jour de novembre modifient le comportement de NTLM sur Windows Server 2016, 2019, 2022 et 2025, en lien avec la vulnérabilité CVE-2026-118737. Microsoft le décrit dans l'article KB5135557 :

• Phase 1, depuis le 10 novembre 2026 : les clients Windows proposent la signature NTLM sur toutes les connexions non anonymes. Les serveurs acceptent encore les clients qui ne signent pas, et un audit identifie ces connexions.
• Phase 2, en mai 2027 : les serveurs Windows exigeront la signature NTLM par défaut et refuseront les clients qui ne la proposent pas.

C'est la meilleure parade de fond contre le relais de hachages volés comme avec le zero-day Outlook. Pour préparer la phase 2, surveillez le journal Microsoft-Windows-NTLM/Operational : l'événement 4023 côté serveur et l'événement 4022 côté client signalent les connexions non signées. Deux valeurs de registre, dans HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0, pilotent le comportement : ClientAllowUnsignedNtlm (à 1, le client ne propose plus la signature, réservé à une compatibilité temporaire) et ServerRequireNtlmSign (à 1, le serveur rejette dès maintenant les clients non signés). Kerberos n'est pas concerné.

Problèmes connus après la mise à jour

• Activation et licence (Server 2019, 2022 et 2025) : certaines commandes slmgr.vbs, comme /ipk ou /skms-domain, peuvent échouer avec l'erreur 0x80041008. Les serveurs déjà activés le restent. Microsoft prépare un correctif. À savoir si vous comptez saisir votre clé de licence sur un VPS Windows livré en version d'essai.
• Scripts PowerShell signés : la validation de l'encodage devient plus stricte. Un script signé contenant de l'UTF-8 invalide peut échouer à la vérification de signature : réenregistrez-le en UTF-8 avec BOM, puis signez-le à nouveau.
• WSUS : le détail des erreurs de synchronisation n'est toujours plus affiché, une conséquence du correctif de CVE-2025-59287.
• Services de déploiement Windows (WDS) : Import-WdsInstallImage exige désormais les droits administrateur.

Les notes de version rappellent aussi que la transition des certificats Secure Boot se poursuit : un serveur qui n'a pas encore reçu les nouveaux certificats démarre et se met à jour normalement. Pour le détail sur une machine virtuelle, voir notre guide sur les certificats Secure Boot 2023 sur un VPS Windows.

Windows Server 2016 : plus que deux Patch Tuesday avant la fin du support

Selon la page de cycle de vie de Microsoft, le support étendu de Windows Server 2016 se termine le 12 janvier 2027. Les correctifs gratuits du 8 décembre 2026 et du 12 janvier 2027 seront les derniers. Ensuite, seuls les serveurs inscrits au programme payant ESU (Extended Security Updates) recevront les mises à jour de sécurité, par tranches annuelles jusqu'en janvier 2030.

Un détail utile dans KB5131080 : la mise à jour de novembre pour Windows Server 2025 corrige un échec de la mise à niveau sur place depuis Windows Server 2016, qui bloquait au contrôle de compatibilité avec l'erreur 0x80070003 - 0x40008. Pour choisir entre mise à niveau sur place et réinstallation propre, lisez notre article sur la fin de support de Windows Server 2016 et la migration d'un VPS.

Prochain rendez-vous : le Patch Tuesday du 8 décembre 2026

Le prochain Patch Tuesday tombe le mardi 8 décembre 2026, deuxième mardi du mois. Pour ne pas courir après les correctifs :

• bloquez une fenêtre de maintenance mensuelle le mardi soir ou le mercredi suivant chaque Patch Tuesday ;
• suivez le catalogue KEV de la CISA entre deux publications, c'est là qu'apparaissent les failles exploitées comme CVE-2026-124194 ;
• sur un parc de plusieurs serveurs, centralisez l'approbation dans WSUS et commencez par une machine de test ;
• planifiez dès maintenant la migration de vos derniers serveurs sous Windows Server 2016.

Si vous hébergez un serveur de jeu sous Windows, la même discipline s'applique : notre guide pour héberger un serveur DayZ sur un VPS Windows montre comment planifier les redémarrages et relancer le serveur de jeu automatiquement au démarrage de Windows, ce qui évite qu'un redémarrage de mise à jour le laisse éteint.