Le 14 janvier 2025, Microsoft a publié une mise à jour de sécurité essentielle pour corriger une faille critique affectant Outlook. Cette vulnérabilité permet à des pirates d’exécuter du code malveillant sur un ordinateur sans qu’aucune action ne soit requise de la part de l’utilisateur. Un simple affichage de l’aperçu d’un e-mail compromis pourrait suffire à déclencher l’attaque.
Une faille exploitée via l’aperçu des e-mails
Cette vulnérabilité, répertoriée sous le code CVE-2025-21298, concerne la technologie Windows Object Linking and Embedding (OLE), présente dans plusieurs logiciels Microsoft, dont Outlook.
Les cybercriminels peuvent exploiter cette brèche en envoyant un e-mail contenant un élément spécialement conçu. Dès que l’utilisateur ouvre l’e-mail en mode aperçu, le code malveillant s’exécute automatiquement. Aucune interaction n’est nécessaire : ni clic sur un lien, ni téléchargement de pièce jointe. Cette particularité rend cette faille extrêmement dangereuse.
Une menace hautement probable
Microsoft classe cette vulnérabilité parmi celles hautement susceptibles d’être exploitées. Cela signifie que des attaques pourraient déjà être en cours ou sur le point de se produire. Les experts en cybersécurité recommandent donc aux utilisateurs d’Outlook d’agir immédiatement pour se protéger.
Comment se protéger efficacement ?
Face à cette menace, plusieurs mesures doivent être mises en place rapidement pour éviter tout risque d’intrusion.
Installer la mise à jour de sécurité
La première action à effectuer est d’appliquer immédiatement le correctif de sécurité publié par Microsoft. Cette mise à jour corrige la faille et empêche toute tentative d’exploitation.
Pour vérifier et installer les dernières mises à jour de sécurité :
- Ouvrir Windows Update en recherchant « Windows Update » dans le menu Démarrer.
- Cliquer sur Rechercher des mises à jour.
- Installer toutes les mises à jour disponibles, en particulier celles liées à Microsoft Outlook.
- Redémarrer l’ordinateur pour finaliser l’installation.
Activer le mode texte brut dans Outlook
Si vous ne pouvez pas installer immédiatement la mise à jour, une solution temporaire consiste à activer l’affichage en mode texte brut pour tous les e-mails reçus. Cette option empêche l’exécution automatique des contenus potentiellement dangereux.
Voici comment procéder :
- Ouvrir Outlook et accéder à Fichier.
- Sélectionner Options, puis aller dans Centre de gestion de la confidentialité.
- Cliquer sur Paramètres du Centre de gestion de la confidentialité.
- Dans l’onglet Sécurité des e-mails, cocher les cases suivantes :
- Lire tous les messages standard en texte brut
- Lire les messages signés numériquement en texte brut
- Enregistrer les modifications et redémarrer Outlook.
Cette méthode réduit les risques en supprimant toute mise en forme susceptible de contenir du code malveillant. Cependant, elle ne remplace pas l’installation du correctif officiel.
Adopter de bonnes pratiques de cybersécurité
Même après avoir installé la mise à jour et activé le mode texte brut, certaines précautions doivent être prises pour minimiser les risques :
- Éviter d’ouvrir des e-mails suspects : Si un message provient d’un expéditeur inconnu ou semble inhabituel, il est préférable de ne pas l’ouvrir.
- Ne pas télécharger de pièces jointes non sollicitées : Les fichiers attachés peuvent contenir des logiciels malveillants. Seuls les documents provenant de sources fiables doivent être ouverts.
- Ne jamais cliquer sur des liens douteux : Certains liens frauduleux peuvent rediriger vers des sites piégés capables d’exploiter d’autres vulnérabilités.
- Mettre à jour régulièrement ses logiciels : Outre Outlook, il est crucial de maintenir à jour l’ensemble des logiciels et l’antivirus de l’ordinateur.
Un correctif à appliquer en priorité
L’Office fédéral de la sécurité informatique (BSI) recommande à tous les utilisateurs de prioriser l’installation de ce correctif pour éviter toute compromission de leur appareil. Étant donné la gravité de cette faille et la simplicité avec laquelle elle peut être exploitée, il est impératif d’agir rapidement.
Pourquoi cette faille est-elle si préoccupante ?
Un risque accru pour les entreprises
Les entreprises utilisant Outlook pour la gestion de leurs e-mails sont particulièrement exposées. Une attaque réussie pourrait permettre aux hackers d’accéder à des données confidentielles, de prendre le contrôle de comptes professionnels ou même de propager un rançongiciel sur un réseau entier.
Une attaque silencieuse et indétectable
Le fait que cette vulnérabilité ne nécessite aucune action de l’utilisateur la rend particulièrement sournoise. Contrairement aux attaques traditionnelles, où l’utilisateur doit cliquer sur un lien ou télécharger une pièce jointe, celle-ci peut s’exécuter sans que la victime ne se rende compte de quoi que ce soit.
Un vecteur d’attaque pouvant être combiné à d’autres failles
Cette faille pourrait être utilisée en combinaison avec d’autres vulnérabilités pour augmenter son efficacité. Par exemple, un pirate pourrait exploiter ce problème pour déployer un malware furtif et prendre le contrôle total du système infecté.
Vers une augmentation des cyberattaques en 2025 ?
Les experts en cybersécurité craignent que l’année 2025 soit marquée par une augmentation des attaques ciblant des logiciels largement utilisés comme Outlook. Les pirates informatiques exploitent souvent des failles nouvellement découvertes avant que la majorité des utilisateurs ne les corrigent.
Il est donc primordial de rester informé et de réagir rapidement dès qu’une alerte de sécurité est émise par Microsoft ou d’autres organismes spécialisés.
