Ce mail provient de l'extérieur, restons vigilants ===================================================================== CERT-Renater Note d'Information No. 2026/VULN082 _____________________________________________________________________ DATE : 27/01/2026 HARDWARE PLATFORM(S): / OPERATING SYSTEM(S): Systems running Microsoft Office 2016, Microsoft Office LTSC 2024, Microsoft Office LTSC 2021, Microsoft 365 Apps for Enterprise, Microsoft Office 2019. ===================================================================== https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21509 _____________________________________________________________________ Vulnérabilité de contournement de la fonctionnalité de sécurité dans Microsoft Office NewRecently updated CVE-2026-21509 Security Vulnerability Date de publication : Jan 26, 2026 Dernière mise à jour : Jan 26, 2026 Assigning CNA Microsoft CVE.org link CVE-2026-21509 Impact Contournement de la fonctionnalité de sécurité Gravité max. Important Weakness CWE-807: Reliance on Untrusted Inputs in a Security Decision CVSS Source Microsoft Chaîne vectorielle CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C Metrics CVSS:3.1 7.8 / 7.2 Métriques de score de base (8) Vecteur d’attaque Locale Complexité d’attaque Faible Privilèges requis Aucune Intervention de l’utilisateur Requise Requise Étendue Non modifié Confidentialité Élevée Intégrité Élevée Disponibilité Élevé Métriques de score temporel (3) Maturité de code malveillant Fonctionnelle Niveau de correction Correctif officiel Fiabilité du rapport Confirmé Pour plus d’informations sur la définition de ces métriques, consultez la page Common Vulnerability Scoring System. Exploitabilité Le tableau ci-dessous fournit une évaluation d’exploitabilité pour cette vulnérabilité lors de la publication initiale. Publicly disclosed No Exploited Yes Exploitability assessment Exploitation détectée Atténuations Mitigation refers to a setting, common configuration, or general best-practice, existing in a default state, that could reduce the severity of exploitation of a vulnerability. The following mitigating factors might be helpful in your situation: Customers running Office 2021 and later will be automatically protected via a service-side change, but will be required to restart their Office applications for this to take effect. Customers running Office 2016 and 2019 are not protected until they install the security update. Customers on these versions can apply the registry keys described as follows to be immediately protected. Microsoft Office: To start blocking please add the following registry keys: Caution:  Follow these steps carefully. Serious problems may occur if you modify the registry incorrectly. Before you start we recommend that you have a known good backup of your registry. See this article for more information: https://support.microsoft.com/en-us/help/322756/how-t o-back-up-and-restore-the-registry-in-windows Exit all Microsoft Office applications. Start the Registry Editor by tapping Start (or pressing the Windows key on your keyboard) then typing regedit and pressing enter. Locate the proper registry subkey. It will be one of the following: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\ (for 64-bit MSI Office, or 32-bit MSI Office on 32-bit Windows) or HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Office\16.0\Common\CO M Compatibility\ (for 32-bit MSI Office on 64-bit Windows) or HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\ClickToRun\REGISTRY\MACHIN E\Software\Microsoft\Office\16.0\Common\COM Compatibility\ (for 64-bit Click2Run Office, or 32-bit Click2Run Office on 32-bit Windows) or HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\ClickToRun\REGISTRY\MACHIN E\Software\WOW6432Node\Microsoft\Office\16.0\Common\COM Compatibility\ (for 32-bit Click2Run Office on 64-bit Windows) Note: The COM Compatibility node may not be present by default. If you don't see it, add it by right-clicking the Common node and choosing Add Key. Add a new subkey named {EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B} by right-clicking the COM Compatibility node and choosing Add Key. Within that new subkey we're going to add one new value by right-clicking the new subkey and choosing  New > DWORD (32-bit) Value. A REG_DWORD hexadecimal value called Compatibility Flags with a value of 400. Exit Registry Editor and start your Office application. Example For example, in Office 2016, 64-bit, on Windows you would locate this registry key: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\ Note: Remember, if the COM Compatibility node doesn't exist yet you'll need to create it. Then add a subkey with the name {EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B}. In this case, the resulting path is HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B}. To that subkey you'll add a REG_DWORD value called Compatibility Flags with a value of 400. Forum aux questions Selon les métriques CVSS, une intervention de l’utilisateur est nécessaire (UI:R). De quoi s’agit-il ? Un attaquant doit envoyer à l’utilisateur un fichier malveillant et le convaincre d’ouvrir ce fichier. Are the updates for Microsoft Office 2016 and 2019 currently available? Yes. As of January 26, 2026, the security update for Microsoft Office 2016 and 2019 is available. Customers running Microsoft Office 2016 and 2019 should ensure the update is installed to be protected from this vulnerability. How do I know what version of Office I am running? On January 26 2026, Microsoft released build number 16.0.10417.20095 to address this vulnerability. To see what version you have installed: In a document click the File tab. Click Account in the left hand pane. Click About . The top line of the About dialog box will display the Build number. Quel type de fonctionnalité de sécurité pourrait être contournée par l’exploitation de cette vulnérabilité ? Cette vulnérabilité contourne les atténuations OLE dans Microsoft 365 et Microsoft Office qui protègent les utilisateurs des contrôles COM/OLE vulnérables. Le volet de visualisation est-il un vecteur d’attaque pour cette vulnérabilité ? Non, le volet de visualisation n’est pas un vecteur d’attaque. Remerciements Microsoft Threat Intelligence Center (MSTIC), Microsoft Security Response Center (MSRC), and Office Product Group Security Team Microsoft reconnaît les efforts des professionnels de la sécurité qui contribuent à protéger les clients par une divulgation coordonnée des vulnérabilités. Pour plus d’informations, consultez la page Remerciements. Mises à jour de sécurité Consultez le site web Politique de support Microsoft pour connaître la politique de support correspondant à votre logiciel. ========================================================= + CERT-RENATER | tel : 01-53-94-20-44 + + 23/25 Rue Daviel | fax : 01-53-94-20-41 + + 75013 Paris | email:cert@support.renater.fr + =========================================================