Outlook-Sicherheitslücke: Microsoft patcht aktiv ausgenutzten Zero-Day
Veröffentlicht am: 10.11.2026 um 22:52 Uhr | Redaktion boerse-global.de
Microsoft hat am November-Patch-Tuesday Notfall-Aktualisierungen bereitgestellt, um eine bereits aktiv ausgenutzte Schwachstelle im E-Mail-Client Outlook zu beheben. Die Sicherheitslücke wird unter der Kennung CVE-2026-124194 geführt und ermöglicht Angreifern das unbemerkte Entwenden sogenannter NTLMv2-Hashes.
Laut Berichten vom 10.11.2026 handelt es sich dabei um die einzige Schwachstelle des aktuellen Veröffentlichungszyklus, bei der bereits tatsächliche Angriffe im Vorfeld der Veröffentlichung registriert wurden.
Funktionsweise und betroffene Office-Versionen
Bei der Schwachstelle handelt es sich um ein Spoofing-Problem, das im Standardwerk der Schwachstellen-Klassifikation als CWE-356 erfasst ist. Microsoft ordnet das Risiko mit dem Schweregrad „Moderat“ ein. Der CVSS-3.1-Basiswert lag zunächst bei 6.5 und wird aktuell mit 6.2 beziffert.
Obwohl der Fehler vorab nicht öffentlich bekannt war, stuft der Konzern den Status als bereits aktiv ausgenutzt ein. Konkrete Details zu den Urhebern der Angriffe, betroffenen Zielen oder dem Gesamtausmaß der Vorfälle liegen bislang nicht vor.
Die Ausnutzung setzt eine direkte Interaktion des Anwenders voraus. Ein automatischer Angriff über das reine Betrachten einer Nachricht im Vorschaufenster (Preview Pane) ist laut Microsoft ausgeschlossen.
Erst wenn ein Nutzer eine speziell präparierte Nachrichtendatei aktiv öffnet, baut das Programm ohne vorherige Warnmeldung eine Verbindung zu einem Server des Angreifers auf. Dabei wird der NTLMv2-Hash des Nutzers übermittelt.
Satnam Narang, Forscher beim IT-Sicherheitsdienstleister Tenable, wies darauf hin, dass die Entwendung dieser Hashwerte einem Angreifer die direkte Authentifizierung und Anmeldung als der kompromittierte Anwender ermöglichen kann.
Wer sich mit der Absicherung seiner E-Mail-Kommunikation befasst, findet in diesem kostenlosen Experten-Ratgeber wertvolle Informationen zu den wichtigsten Einstellungen und Sicherheitsfaktoren, die über die Standard-Updates hinausgehen. Wichtige Outlook-Sicherheitseinstellungen kostenlos entdecken
Von der Sicherheitslücke betroffen sind sowohl die 32-Bit- als auch die 64-Bit-Ausführungen der Microsoft 365 Apps for Enterprise. Zudem betrifft der Fehler ältere Lizenzversionen: Office LTSC 2024 ist bis einschließlich Build 16.0.17932.21140 anfällig, während für Office LTSC 2021 die Build-Nummer 16.0.14334.21048 als gefährdet gilt.
Entdeckung mit KI-Unterstützung und Vorgaben durch die CISA
Entdeckt wurde die Lücke durch die Sicherheitsforscher Benoît Sevens und eine Person unter dem Pseudonym „nono“. Bei ihren Untersuchungen setzten die Experten auf das KI-Modell Claude des Entwicklers Anthropic.
Die US-amerikanische Cybersicherheitsbehörde CISA reagierte auf den Vorfall und nahm CVE-2026-124194 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) auf. Als offizielle Begründung nannte die Behörde die fehlende Warnung vor potenziell unsicheren Aktionen bei einer Nutzerinteraktion, wodurch unautorisierte Dritte über das Netzwerk Spoofing-Angriffe durchführen können.
Für Bundesbehörden der Vereinigten Staaten legte die CISA eine verbindliche Frist fest: Die Systeme müssen bis zum Monatsende durch entsprechende Patches abgesichert werden.
Rekordumfang bei den November-Sicherheitskorrekturen
Das aktuelle Wartungspaket von Microsoft fällt außergewöhnlich umfangreich aus. Insgesamt umfasst das Update für November 1.093 neu gemeldete Schwachstellen. Davon stuft das Unternehmen 63 Fälle als kritisch ein, 1.029 als wichtig und eine Schwachstelle als moderat. CVE-2026-124194 sticht dabei als einziger aktiv angegriffener Zero-Day-Fehler heraus.
Bei der Betrachtung der insgesamt 1.094 behandelten CVEs entfällt der Großteil auf das Betriebssystem Windows mit 726 Schwachstellen. Office folgt mit 174 Lücken, während auf den SQL Server 59 und auf Entwicklertools 53 Fehlerbehebungen entfallen. Weitere Patches adressieren den SharePoint Server (27), Azure (20) und den Exchange Server (9). Zudem wurden 165 Fremd-CVEs republiziert.
Der Schutz des eigenen Systems vor Viren und Trojanern erfordert eine präzise Konfiguration der bereits vorhandenen Bordmittel. Dieser kostenlose Leitfaden zeigt Schritt für Schritt, wie man den integrierten Schutz unter Windows optimal aktiviert. Kostenlose Windows-Sicherheitsanleitung herunterladen
Für ältere Plattformen steht das Windows-10-Update KB5131096 über die erweiterten Sicherheitsupdates (Extended Security Update) bereit, welches die November-Korrekturen sowie die Outlook-Fehlerbehebung enthält; dies betrifft die Builds 19045.7846 beziehungsweise 19044.7846 für Enterprise LTSC 2021. Die Veröffentlichung des nächsten regulären Patch-Pakets kündigte Microsoft für den 8.12.2026 an.
Mehr zum Thema bei BleepingComputer: „Microsoft November 2026 Patch Tuesday fixes 1,235 flaws, Outlook zero“
