Mozilla a corrigé dans Thunderbird 153.5.1 un défaut de configuration des comptes Exchange. Pendant l’autodécouverte d’un serveur, Thunderbird pouvait envoyer une requête HTTP contenant le mot de passe saisi. Un attaquant capable d’intercepter le trafic entre l’utilisateur et le serveur pouvait alors récupérer ce secret.
Le scénario est précis : il porte sur l’étape de configuration d’un compte Exchange avec une version vulnérable, et non sur toute ouverture ou réception de courriel. L’avis de sécurité Mozilla classe le problème comme important et publie le correctif le 20 octobre. Il ne signale pas d’exploitation connue ni de mot de passe effectivement dérobé.
Dans quel cas le mot de passe pouvait être exposé
La faille, suivie sous l’identifiant CVE-2026-113866, concerne la requête AutoDiscover utilisée pendant la configuration d’un compte Microsoft Exchange. Cette requête pouvait partir en HTTP et inclure les identifiants fournis dans l’assistant de configuration.
Pour qu’un tiers récupère le mot de passe, il aurait fallu qu’il puisse observer ou intercepter ce trafic réseau. Le bulletin ne dit pas que les mots de passe de tous les comptes Exchange configurés avec Thunderbird ont été transmis à un attaquant. Il faut donc distinguer une possibilité technique d’une compromission démontrée.
Mettre Thunderbird à jour
Mozilla a corrigé le défaut dans Thunderbird 153.5.1. Installez cette version ou une version ultérieure selon le canal de mise à jour de votre organisation, puis vérifiez le numéro affiché dans le menu « À propos de Thunderbird ». Sur un parc géré, le responsable informatique peut confirmer que la version corrigée est déployée sur les postes concernés.
Si la mise à jour n’est pas encore disponible par votre canal habituel, évitez de configurer de nouveaux comptes Exchange sur une version vulnérable depuis un réseau partagé ou non fiable. Ne téléchargez pas un installateur depuis un site tiers.
Faut-il renouveler les identifiants ?
Mozilla ne rapporte pas d’exploitation observée dans son avis. En l’absence d’un autre indice, la correction du logiciel est le premier geste utile; changer tous les mots de passe n’est pas une conséquence automatique du bulletin.
Si un compte Exchange a été configuré avant le correctif sur un réseau auquel des tiers pouvaient accéder, et que vos journaux ou votre contexte font suspecter une interception, contactez l’administrateur de messagerie. Si un renouvellement est justifié, modifiez le mot de passe depuis un appareil et un réseau fiables, puis vérifiez les sessions et méthodes d’authentification selon la procédure de votre organisation.
Réduire l’impact d’un secret réutilisé
Si le mot de passe Exchange sert aussi à d’autres services, son remplacement doit être envisagé pour ces services également. Utilisez un secret différent par compte afin qu’une éventuelle exposition ne donne pas accès à plusieurs outils professionnels. Le gestionnaire de comptes de l’organisation peut aussi vérifier les règles d’authentification multifacteur et les sessions actives.
La mise à jour de Thunderbird protège contre ce défaut précis; elle ne remplace ni la surveillance des comptes ni les règles de sécurité de votre messagerie. Conservez les informations utiles à l’analyse et appliquez le processus de réponse aux incidents de votre entreprise si une activité inhabituelle apparaît.
Le lien avec Soclyde
Des mots de passe distincts limitent les conséquences d’une exposition, mais ils doivent rester faciles à retrouver et à transmettre aux bonnes personnes. Soclyde permet de conserver des identifiants professionnels dans un coffre chiffré disponible sur les appareils autorisés.
Soclyde ne corrige pas Thunderbird, ne sécurise pas la connexion Exchange et ne détermine pas si un mot de passe a été intercepté. La mise à jour et l’examen des comptes restent à effectuer dans les outils de messagerie de votre organisation.
À retenir
Installez Thunderbird 153.5.1 ou une version ultérieure et ne concluez pas à un vol de compte sans indice propre à votre situation. La vulnérabilité décrit une exposition possible pendant la configuration Exchange, sous condition d’interception du trafic. Pour mieux organiser les identifiants professionnels, consultez notre guide pour sécuriser les mots de passe.
