"Faille de sécurité critique": pourquoi il faut absolument mettre à jour Microsoft Outlook

Le site Cybermalveillance.gouv.fr alerte sur une faille de sécurité qui a été corrigée dans Microsoft Outlook. Il incite à mettre à jour le service de messagerie pour éviter le vol ou la destruction de données par des cybercriminels.

Une alerte à ne pas prendre à la légère. Ce 26 février, le site Cybermalveillance.gouv.fr a utilisé son dispositif Alerte Cyber pour une "faille de sécurité critique" dans Microsoft Outlook. Visant notamment à informer les entreprises, celui-ci a été mis en place en juillet 2021 pour les avertir lorsqu’une menace ou une faille critique est identifiée dans leurs systèmes.

Les systèmes concernés par cette faille, Immatriculée CVE-2024-21413, sont Microsoft Office 2016, Microsoft Office 2019, Microsoft Office LTSC 2021 et Microsoft 365 Apps. La vulnérabilité a été corrigée par l’entreprise, mais il est nécessaire de mettre à jour le service de messagerie si vous êtes concerné, afin de ne pas être la cible de cybercriminels. Cette alerte s'adresse donc principalement aux spécialistes gérant les parcs informatiques d'entreprises.

Prendre le contrôle des équipements

Des acteurs malveillants pourraient en effet "très prochainement exploiter cette vulnérabilité pour conduire des attaques massives contre les systèmes vulnérables", prévient Cybemalveillance.gouv.fr, dans un communiqué. Une alerte majeure, à quelques mois des JO 2024 de Paris.

Cette faille expose les personnes dont les systèmes sont concernés à de graves risques, permettant aux cybercriminels de prendre le contrôle de leurs équipements à distance. Ils pourraient ainsi voler ou détruire les données personnelles de ces individus, alerte Cybermalveillance.gouv.fr.

Une alerte d'une telle ampleur est particulièrement rare: depuis la mise en place de l'outil, seulement onze avertissements Alert Cyber pour des failles de sécurité critiques ont été lancés, en comptant celle concernant Microsoft Outlook. En 2023 par exemple, ce dispositif a été lancé deux fois, pour une application de conférence vocale et vidéo, et un système de gestion de site Internet.

Kesso Diallo