<p>Le CERT-FR a publié le 3 août 2026 un avis sur la vulnérabilité CVE-2026-62870 dans Microsoft Office : l'ouverture d'un document piégé peut...
Une faille d'Office ne ressemble jamais à une attaque de cinéma. Elle prend la forme d'un fichier ordinaire: un devis, une facture, un tableau de suivi. On l'ouvre, il ne se passe rien de visible, et le poste est compromis. C'est exactement le scénario que couvre l'avis publié le 3 août 2026 par le CERT-FR au sujet de la vulnérabilité CVE-2026-62870. La vulnérabilité permet une exécution de code arbitraire à distance. Traduit en langage courant: l'ouverture d'un document spécialement construit peut suffire à faire tourner du code choisi par un tiers sur la machine de l'utilisateur, avec les droits de cet utilisateur. Le vecteur est banal — une pièce jointe, un fichier téléchargé depuis un lien.
Le périmètre annoncé couvre Microsoft 365 Apps pour Enterprise en 32 et 64 bits, Excel 2016 dans les versions antérieures à 16.0.5561.1001, Office 2019, Office LTSC 2021 et Office LTSC 2024. Autrement dit: la bureautique installée dans la quasi-totalité des TPE et PME françaises. Le bulletin de l'éditeur est daté du 31 juillet 2026, l'avis du CERT-FR du 3 août 2026.
Au moment où ces lignes sont écrites, le 4 août 2026, l'avis initial du CERT-FR ne fait état ni d'exploitation confirmée ni de code d'exploitation rendu public. Ce statut est susceptible d'évoluer et doit être revérifié sur la page de l'avis avant d'en conclure quoi que ce soit. Le poste bureautique reste la porte d'entrée la plus commode: il reçoit des fichiers toute la journée, de fournisseurs, de clients, de candidats. Une faille qui se déclenche à l'ouverture d'un document contourne l'essentiel des réflexes de prudence, puisqu'il n'y a ni lien suspect à éviter ni mot de passe à saisir.
Le point sensible se situe surtout du côté des éditions perpétuelles — Office 2019, LTSC 2021, LTSC 2024. Elles ne se mettent pas à jour aussi silencieusement que les abonnements Microsoft 365, et se retrouvent souvent corrigées en dernier, quand elles le sont. Un poste d'atelier ou un ordinateur de comptabilité acheté une fois pour toutes est un candidat classique à l'oubli.
Ce qu'il faut faire, dans l'ordre
1. Lancer la mise à jour d'Office sur l'ensemble du parc. Sur un poste isolé: Fichier > Compte > Options de mise à jour > Mettre à jour maintenant. Sur un parc géré: via Intune, WSUS ou l'outil d'administration à distance de votre prestataire. Les chemins de menu peuvent varier selon la version installée.
2. Contrôler la version d'Excel 2016 là où il subsiste. Elle doit atteindre au minimum 16.0.5561.1001, selon le périmètre publié par l'éditeur.
3. Recenser les éditions perpétuelles. Office 2019, LTSC 2021 et LTSC 2024 méritent une vérification manuelle poste par poste: ce sont elles qui restent en retard.
4. Vérifier le blocage des macros et le mode protégé. Les fichiers reçus par messagerie ou téléchargés doivent s'ouvrir en lecture seule, macros désactivées. Ce réglage ne remplace pas le correctif, mais il limite la surface d'attaque au quotidien.
5. Passer une consigne simple aux équipes. Une pièce jointe Office inattendue ne s'ouvre pas, même envoyée par un contact connu — une adresse peut être usurpée ou une boîte compromise. Le message se signale au référent informatique.
6. Tester sur un poste pilote avant de généraliser. Les macros métier et les compléments comptables sont sensibles aux mises à jour d'Office; mieux vaut le découvrir sur un poste que sur douze un lundi matin.
7. Vérifier que les sauvegardes fonctionnent réellement. Postes et partages de fichiers. C'est le filet de sécurité si une exécution de code aboutit malgré tout, et il ne vaut que s'il a été testé par une restauration.
Les éléments techniques ci-dessus (numéros de version, chemins de menu) sont donnés à titre indicatif, à valider sur votre propre infrastructure avant application en production. Pas de panique à avoir: aucune exploitation n'était confirmée dans l'avis initial. Mais une faille d'exécution de code à distance sur la suite bureautique la plus répandue ne se laisse pas traîner jusqu'à la rentrée. La mise à jour d'Office est une opération de routine; c'est précisément pour cela qu'elle se reporte facilement. Une matinée de vérification du parc suffit généralement à solder le sujet. Pour connaître le statut courant de la vulnérabilité, référez-vous à la page de l'avis du CERT-FR, mise à jour à la source.
- CERT-FR (ANSSI), avis CERTFR-2026-AVI-0961, 3 août 2026 — cert.ssi.gouv.fr
- Microsoft Security Response Center, bulletin de sécurité CVE-2026-62870, 31 juillet 2026 — msrc.microsoft.com
Synthèse rédactionnelle originale de TICLIC, établie à partir de la veille du 4 août 2026 et des deux sources ci-dessus (CERT-FR et éditeur), consultées le 4 août 2026. Le statut d'exploitation de la vulnérabilité n'a pas fait l'objet d'une vérification indépendante au-delà de ces avis et peut avoir évolué depuis leur publication.