CVE-2026-78501 : que sait-on de cette faille Copilot Business Chat ?
Un identifiant de faille, CVE-2026-78501, circule autour de Microsoft 365 Copilot Business Chat, l'assistant conversationnel intégré à Word, Outlook et Teams. Cette référence précise n'est pas confirmée à ce jour sur le portail officiel de Microsoft, mais plusieurs failles voisines, elles bien documentées, touchent le même mécanisme et méritent votre attention si vous utilisez Copilot dans votre entreprise.
Sommaire7 sections
Un identifiant de faille tombe dans les bases de sécurité, une alerte circule, et personne à Agen ne sait vraiment s'il faut s'inquiéter pour son compte Microsoft 365. C'est exactement la situation avec CVE-2026-78501, une référence qui désignerait une vulnérabilité de divulgation d'informations dans Microsoft 365 Copilot Business Chat.
Problème : au moment de la rédaction, cette référence précise n'apparaît dans aucune source vérifiable que nous avons pu consulter, ni sur le portail officiel du MSRC (Microsoft Security Response Center). En revanche, plusieurs failles bien réelles et documentées touchent la même fonctionnalité, avec des mécanismes très proches. C'est ce dossier, plus large, qu'il faut regarder de près.
Que sait-on vraiment de cette alerte Copilot ?
Sous ce type de référence circule généralement la description d'une injection de commande, c'est-à-dire une manipulation qui consiste à glisser, dans une requête envoyée à l'assistant, des instructions que celui-ci n'a pas été conçu pour interpréter comme telles. Le but recherché par un attaquant : faire révéler à l'IA des informations qu'elle n'aurait jamais dû exposer.
Ce scénario n'est pas théorique. L'organisme allemand dCERT a publié deux avis distincts pointant de multiples failles de divulgation dans Copilot et Copilot Business Chat. De son côté, le HKCERT, l'organisme de cybersécurité de Hong Kong, a publié son propre bulletin sur une vulnérabilité Microsoft permettant à un attaquant distant de provoquer une fuite d'informations sensibles.
Trois références sont, elles, clairement documentées : CVE-2026-26129, CVE-2026-26164 et CVE-2026-33111. Toutes trois affichent un score de sévérité CVSS de 7.5, ce qui correspond, sur le barème standard, à une sévérité « élevée » plutôt que « critique » — même si certaines veilles sécurité les présentent comme critiques. Nous préférons vous signaler ce désaccord entre sources plutôt que de trancher à votre place.
Pourquoi ce type de faille inquiète les experts ?
Ce qui rend ces vulnérabilités particulièrement gênantes, ce n'est pas seulement leur existence : c'est leur mode d'exploitation. D'après les analyses disponibles, l'attaque s'effectue via le réseau, sans authentification préalable et sans qu'aucune action de la victime ne soit nécessaire. L'utilisateur n'a rien cliqué, rien téléchargé : la faille se déclenche côté service.
Les données visées ne sont pas anecdotiques. Elles peuvent provenir de SharePoint, OneDrive, Exchange ou Teams, c'est-à-dire l'essentiel de ce qu'une PME stocke aujourd'hui dans le cloud Microsoft : devis, contrats, échanges commerciaux, pièces comptables.
Un autre incident, référencé CW1226324 côté administrateurs Microsoft 365, a montré que Copilot Chat pouvait lire et résumer des courriels situés dans les dossiers Éléments envoyés et Brouillons, malgré des étiquettes de confidentialité et des règles de prévention des pertes de données (DLP) actives.
Une faille voisine, CVE-2026-47645, relève d'un mécanisme différent : une redirection d'URL vers un site non fiable, ce qu'on appelle un open redirect, exploitée pour obtenir une élévation de privilège. Le point commun avec les failles de divulgation reste le même : Copilot agit comme un intermédiaire de confiance qui peut être détourné.
| Référence | Type de faille | Score CVSS | Statut |
|---|---|---|---|
| CVE-2026-26129 | Divulgation d'informations (injection) | 7.5 | Documentée |
| CVE-2026-26164 | Divulgation d'informations (injection) | 7.5 | Documentée |
| CVE-2026-33111 | Divulgation d'informations (injection) | 7.5 | Documentée |
| CVE-2026-47645 | Élévation de privilège (open redirect) | Non précisé dans nos sources | Documentée |
| CVE-2026-78501 | Divulgation d'informations (annoncée) | Non confirmé | À vérifier sur le portail MSRC |
Quel risque concret pour une TPE ou un artisan du Lot-et-Garonne ?
Beaucoup de petites structures autour d'Agen, du Passage ou de Villeneuve-sur-Lot ont activé Copilot dans leur abonnement Microsoft 365 sans vraiment auditer ce à quoi l'assistant a accès. Dans la pratique, je constate souvent que les droits internes sur OneDrive et SharePoint sont plus larges que nécessaire : un commercial voit les dossiers de la comptabilité, un stagiaire accède aux devis de tous les clients.
Ce n'est pas gênant tant que personne ne va chercher ces fichiers manuellement. Mais un assistant conversationnel peut résumer en quelques secondes des centaines de documents auxquels il a accès — et une faille comme celles décrites plus haut peut permettre de lui faire révéler ce contenu à un tiers non autorisé, sans alerte visible.
Pour un artisan ou un cabinet comptable, cela peut signifier l'exposition de tarifs négociés, de coordonnées bancaires clients ou de données personnelles couvertes par le RGPD. Les sanctions réglementaires liées à une fuite de données existent aussi en droit européen : certaines législations étrangères prévoient des pénalités pouvant atteindre plusieurs millions d'unités monétaires locales par violation constatée, un ordre de grandeur qui donne la mesure du risque, même si les montants applicables en France dépendent du cadre RGPD/CNIL et doivent être vérifiés au cas par cas.
Que faire concrètement, dès cette semaine ?
- Faites l'inventaire des instances Copilot actives dans votre organisation et vérifiez précisément à quelles sources de données (SharePoint, OneDrive, Exchange, Teams) chacune a accès.
- Appliquez le principe du moindre privilège : restreignez l'accès de l'IA aux seuls dossiers réellement nécessaires, via les outils de protection de l'information de Microsoft Purview.
- Mettez en place des règles de prévention des pertes de données spécifiques à l'IA, pour surveiller ou bloquer les résumés et requêtes suspectes.
- Sensibilisez vos équipes : un compte utilisateur compromis suffit souvent à activer une exploitation, même sans faille supplémentaire.
Faut-il désactiver Copilot en attendant un correctif ?
Je ne recommande pas de couper purement et simplement l'assistant si votre activité en dépend déjà au quotidien : la coupure brutale génère souvent plus de désorganisation que de sécurité réelle. En revanche, je conseille de traiter ce sujet comme n'importe quel autre risque cyber, à anticiper avant l'incident plutôt qu'à découvrir après.
Si votre structure ne dispose pas de compétences internes pour auditer les droits d'accès sur OneDrive, SharePoint ou Exchange, ou pour paramétrer des règles de protection des données, c'est précisément le type de mission qu'un prestataire en infogérance ou un consultant informatique à Agen peut prendre en charge. Ce n'est pas un luxe réservé aux grands comptes : les TPE et les indépendants sont, dans les faits, souvent les moins bien équipés pour repérer ce genre de faille.
Ces informations évoluent vite : les correctifs, les scores de sévérité et même l'existence exacte de certaines références CVE peuvent changer d'une semaine à l'autre. Vérifiez systématiquement l'état d'une faille sur le portail de mise à jour de sécurité Microsoft avant toute décision. Pour suivre ce type d'actualité, notre blog revient régulièrement sur les failles touchant les outils bureautiques les plus utilisés.
La vraie question à vous poser n'est pas « suis-je concerné par CVE-2026-78501 », dont la confirmation officielle reste attendue, mais « ai-je déjà audité ce que Copilot peut voir dans mon entreprise ». Cette réponse-là, vous pouvez l'obtenir dès aujourd'hui.
Questions fréquentes
CVE-2026-78501 est-elle une faille confirmée ?
Non, pas au moment de la rédaction : cette référence précise n'apparaît sur aucune source vérifiable consultée, ni sur le portail officiel du MSRC. En revanche, plusieurs failles voisines touchant Copilot Business Chat sont, elles, bien documentées. Vérifiez toujours l'état d'une CVE sur le portail officiel Microsoft avant d'agir.
Copilot peut-il vraiment lire mes emails confidentiels ?
Un incident documenté a montré que Copilot Chat pouvait résumer des courriels dans les dossiers Éléments envoyés et Brouillons malgré des étiquettes de confidentialité et des règles DLP actives. Cela dépend fortement des droits d'accès configurés dans votre organisation.
Faut-il désactiver Copilot dans mon entreprise ?
Pas nécessairement. Il est souvent plus utile d'auditer les droits d'accès et de mettre en place des règles de protection des données que de couper l'outil, sauf si votre activité manipule des données particulièrement sensibles sans compartimentage.
Le score CVSS de 7.5 signifie-t-il une faille critique ?
Sur le barème standard, 7.5 correspond à une sévérité « élevée », pas « critique ». Certaines analyses de veille sécurité utilisent toutefois le terme « critique » de façon plus large, ce qui explique la divergence observée entre sources.
Comment un artisan ou une petite entreprise peut-il se protéger ?
En commençant par un inventaire simple des accès de Copilot à OneDrive, SharePoint et Exchange, puis en restreignant ces accès au strict nécessaire. Un prestataire local peut réaliser cet audit si vous n'avez pas les compétences en interne.
