CVE-2026-85885 sur Microsoft 365 Copilot : le point sur une faille encore mal documentée

Un dirigeant de TPE qui utilise Copilot dans Teams ou Outlook a de quoi s'inquiéter en voyant passer un intitulé comme « Microsoft 365 Copilot Elevation of Privilege Vulnerability ». Le principe décrit est celui d'une injection de commande : un attaquant déjà authentifié parvient à faire exécuter par le système des instructions qu'il n'aurait pas dû pouvoir déclencher, et obtient ainsi des droits supérieurs à ceux qui lui étaient normalement accordés.

C'est ce mécanisme, plus que le numéro de CVE lui-même, qu'il faut comprendre pour agir correctement.

Que sait-on réellement de CVE-2026-85885 ?

La réponse honnête est : peu de choses vérifiables. Cette référence exacte n'apparaît, au moment de l'écriture de cet article, dans aucune des analyses techniques indépendantes consacrées aux vulnérabilités récentes de Copilot. Il pourrait s'agir d'une confusion avec une autre entrée de la même famille, ou simplement d'une référence trop récente pour avoir été documentée ailleurs que sur le portail de Microsoft.

Je recommande de ne jamais bâtir une décision de sécurité sur un simple numéro de CVE non confirmé. La bonne pratique consiste à consulter directement la fiche officielle sur le Microsoft Security Response Center, qui reste la seule source faisant foi sur le score de sévérité, le vecteur d'attaque précis et l'état du correctif.

Ce flou n'est pas un cas isolé. Microsoft 365 Copilot a déjà fait l'objet de plusieurs alertes bien documentées ces derniers mois, et elles donnent une idée assez fidèle du type de risque que recouvre une « élévation de privilèges » sur cet outil.

Pourquoi cette famille de failles inquiète les éditeurs de sécurité

Trois épisodes récents illustrent le schéma répété sur Copilot :

• Une faille de type SSRF (Server-Side Request Forgery, c'est-à-dire une manipulation qui force le serveur à effectuer des requêtes réseau non prévues) référencée CVE-2026-26137 dans Copilot Business Chat, avec un score de sévérité de 8,9 sur 10.
• Une faille de cross-prompt injection — l'insertion d'instructions cachées dans un contenu que l'IA va lire et exécuter comme une commande — dans les fonctions de résumé d'e-mails et de Teams, corrigée le 11 mars.
• La faille surnommée EchoLeak, notée 9,3 sur 10, corrigée côté serveur sans preuve d'exploitation réelle constatée.

Dans les trois cas, le point commun est que l'intelligence artificielle traite du contenu (un e-mail, un fichier, une conversation) et peut être manipulée pour agir au-delà de ce que l'utilisateur a explicitement demandé.

Comparatif des principales failles Copilot documentées

Quel impact concret pour les TPE/PME du Lot-et-Garonne ?

C'est le point le plus mal compris par les dirigeants que nous croisons lors de nos interventions. Une faille Copilot corrigée côté cloud par Microsoft ne demande, dans la majorité des cas, aucune action technique locale : pas de mise à jour Windows à pousser, pas de patch à installer sur les postes.

Le vrai danger n'est pas là. Il se situe dans le surpartage interne de documents sur SharePoint, Teams ou OneDrive. Si Copilot a accès à un dossier RH mal cloisonné ou à un partage client trop ouvert, une faille d'élévation de privilèges peut transformer un accès limité en accès étendu à des données sensibles, sans que personne ne s'en aperçoive immédiatement.

Pour une petite structure sans équipe informatique dédiée, ce risque est souvent invisible : les permissions s'accumulent au fil des années, un stagiaire garde un accès qu'il n'utilise plus, un dossier « Tous les employés » contient en réalité des données de paie. C'est exactement le type d'audit qu'un accompagnement en infogérance permet de sécuriser sur la durée.

Que faire concrètement cette semaine ?

Pas besoin d'expertise pointue en cybersécurité pour réduire l'exposition. Voici une marche à suivre raisonnable, que vous pilotiez vous-même votre parc ou que vous vous appuyiez sur un prestataire :

1. Vérifiez sur le portail officiel MSRC si CVE-2026-85885 (ou une référence proche) concerne bien votre périmètre Microsoft 365, et notez si une action administrateur est demandée.
2. Passez en revue les contrôles d'accès de Copilot : qui y a droit, et est-ce justifié pour chaque utilisateur ?
3. Appliquez le principe du moindre privilège sur Teams, Exchange, SharePoint et OneDrive, c'est-à-dire ne donner à chacun que l'accès strictement nécessaire à son poste.
4. Auditez les journaux d'utilisation de Copilot pour repérer des requêtes ou des accès inhabituels.
5. Maintenez à jour les applications Microsoft 365 et le navigateur Edge, même si le correctif principal se joue côté serveur.

Pour les structures qui traitent des données sensibles (contrats, données RH, informations clients), une couche supplémentaire mérite d'être envisagée : la protection des données via Microsoft Purview. Concrètement, cela consiste à :

• Créer une étiquette de sensibilité (sensitivity label) qui classe clairement un document comme confidentiel ou public.
• Publier cette étiquette dans l'environnement Microsoft 365 pour qu'elle soit disponible à tous les utilisateurs concernés.
• Mettre en place une stratégie de prévention de perte de données (DLP) qui bloque le traitement par Copilot des fichiers portant cette étiquette.

Ces réglages demandent des droits d'administrateur global sur le tenant Microsoft 365 : si vous n'êtes pas certain de les manier sans risque de casser des accès existants, c'est le moment de vous faire accompagner plutôt que de tâtonner en production.

Faut-il désactiver Copilot en attendant d'y voir plus clair ?

Je ne conseille pas une désactivation généralisée sur la seule base d'un numéro de CVE non confirmé : ce serait une réaction disproportionnée par rapport au risque réellement établi. En revanche, pour un service qui manipule des données très sensibles (comptabilité, RH, données de santé), restreindre temporairement l'accès à Copilot le temps de vérifier les permissions sous-jacentes est une précaution raisonnable, pas une panique.

Dans la pratique, ce qui coince rarement, c'est la technologie elle-même : c'est la gouvernance des accès qui n'a pas suivi la vitesse d'adoption de l'IA dans les équipes. Une entreprise qui a déployé Copilot en quelques semaines sans revoir ses permissions SharePoint prend plus de risques qu'une faille de sévérité modérée non encore confirmée.

Ces questions de gouvernance et de permissions dépassent largement le seul cas Copilot ; notre page de questions fréquentes détaille qui, du client ou du prestataire, doit s'occuper de quoi sur ce type de sujet.

Questions fréquentes

Sources

• Microsoft Security Response Center - Update Guide
• Microsoft Security Response Center - Portail des mises à jour
• TheHackerWire - Microsoft 365 Copilot SSRF privilege elevation
• Field Effect - Critical vulnerability in Microsoft 365 Copilot (EchoLeak)