Sur la CVE-2026-40379, je veux éviter de mélanger deux choses : la faille d'usurpation décrite par Microsoft et les attaques par vol de session. Microsoft lui attribue 9.3/10 et précise qu'une interaction de la victime est nécessaire, sans compte requis pour l'attaquant.
Ce qui s'est passé
La description officielle relie une exposition d'informations sensibles à une usurpation par le réseau. La fiche référence un correctif Microsoft ; son bulletin reste la référence pour le statut du service et les actions demandées aux clients.
On n'a pas le déroulé technique complet dans la fiche publique. Pour comprendre le mécanisme exact, il faut s'en tenir aux informations que Microsoft publie.
Ce que ça fait concrètement
Une usurpation dans un service d'identité est sérieuse. Les détails publics ne suffisent toutefois pas à affirmer que l'attaquant obtient toutes les données Microsoft 365 ou tous les droits d'administration.
Le vol de session mérite quand même qu'on s'y intéresse pour protéger les comptes. Ce n'est pas le mécanisme confirmé de cette CVE. Un jeton ou un cookie volé donne accès à un périmètre et pendant une durée qui dépendent du service ; ce n'est pas un accès universel et permanent.
Suis-je concerné ?
Si vous gérez un tenant Entra ID, suivez le bulletin et vos alertes de sécurité. La publication de la faille ne prouve pas qu'un de vos comptes a été compromis. Je ne lancerais pas une révocation générale des sessions sur la seule base de cette publication : regardez d'abord le bulletin et les éléments qui concernent votre environnement.
Que faire concrètement
En cas de suspicion, suivre votre procédure d'incident. Préservez les traces, examinez le compte et révoquez les sessions concernées lorsque c'est justifié. Les applications peuvent garder un accès jusqu'à l'expiration de leur jeton ou appliquer leur propre gestion de session ; la révocation n'agit pas partout de façon instantanée.
Comprendre le rôle de CAE. Continuous Access Evaluation permet aux clients et services compatibles de réagir à certains événements sans attendre l'expiration normale d'un jeton. Il est activé par défaut dans les scénarios pris en charge. Il n'existe pas un simple interrupteur universel à activer pour toutes les applications.
Renforcer l'authentification. Les méthodes résistantes au phishing, comme les passkeys FIDO2, réduisent les risques liés à une fausse page de connexion. Elles ne rendent pas un poste compromis ou une session volée inoffensifs : la protection de l'appareil et des jetons reste nécessaire.
Revoir les consentements applicatifs. Un consentement inattendu ou une modification inexpliquée d'une application doit être examiné indépendamment des connexions du compte.
Surveiller les signes d'exploitation
Recherchez les connexions inhabituelles, les changements de méthodes d'authentification et les consentements inexpliqués. Une localisation étrangère ou une connexion non interactive est un indice à contextualiser, pas une preuve automatique d'attaque.
Les journaux d'audit et de connexion Entra sont conservés par défaut 7 jours avec Entra ID Free, 30 jours avec P1 ou P2. Une recherche sur un incident ancien suppose donc qu'ils aient été archivés. Ces durées ne sont pas celles du journal unifié Microsoft Purview.