Outlook-Lücke CVE-2026-124194: Angreifer fangen Login-Hashes ab

Microsoft hat am 10.11.2026 einen Sicherheits-Fix für eine Schwachstelle im E-Mail-Programm Outlook bereitgestellt. Die unter der Kennung CVE-2026-124194 geführte Lücke wird nach Herstellerangaben bereits aktiv für Angriffe ausgenutzt, um Login-Hashes von Anwendern abzufangen. Es handelt sich um den einzigen Eintrag im monatlichen Patch-Paket des Konzerns, der mit dem Status einer bereits stattfindenden Ausnutzung versehen wurde. Zu den konkreten Angreifern, betroffenen Opfern oder dem Ausmaß der Vorfälle machte das Unternehmen keine Angaben.

Funktionsweise und betroffene Office-Versionen

Bei CVE-2026-124194 handelt es sich um eine Spoofing-Schwachstelle (CWE-356: fehlende Nutzerwarnung vor potenziell gefährlicher Aktion). Sie ist mit einem CVSS-3.1-Score von 6.5 bewertet und damit als moderat eingestuft.

Wird eine speziell präparierte Nachrichtendatei geöffnet, stellt Outlook ohne die gewohnte Sicherheitswarnung eine Verbindung zu einem vom Angreifer kontrollierten Netzwerkort her. Dabei überträgt das System eine NTLM-Authentifizierung.

Der NTLMv2-Login-Hash des Nutzers wird dadurch offengelegt, was Angreifer zur Identitätsübernahme und zur anschließenden Anmeldung als der betroffene Anwender missbrauchen können.

Für eine erfolgreiche Kompromittierung muss die präparierte Datei aktiv durch den Anwender geöffnet werden. Ein sogenannter Zero-Click-Angriff liegt nicht vor, da der Lesebereich von Outlook keinen Angriffsvektor darstellt.

Betroffen sind die 32- und 64-Bit-Editionen von Microsoft 365 Apps for Enterprise vor dem Update vom 10.11.2026, Office LTSC 2021 vor Build 16.0.14334.21048 sowie Office LTSC 2024 vor Build 16.0.17932.21140. Die Fehlerbehebungen stehen über den Current Channel und die Enterprise-Kanäle von Microsoft 365 Apps sowie für Office LTSC 2021 und 2024 bereit.

Reine Windows-Updates schließen die Lücke nicht; Administratoren und Nutzer müssen das Update für Office beziehungsweise die Microsoft-365-Anwendungen installieren.

Wissen Sie, wo Outlook Ihre Daten wirklich speichert – und wie Sie sie vor unbefugten Zugriffen sichern? Ein kostenloser Experten-Ratgeber enthüllt die wichtigsten Sicherheitseinstellungen, den Umgang mit PST-Dateien und Registry-Tricks, die kaum ein Nutzer kennt. Jetzt kostenlosen Outlook-Ratgeber sichern

Behördliche Warnungen und Patch-Umfang

Die US-Cybersicherheitsbehörde CISA bestätigte die laufenden Angriffe und nahm CVE-2026-124194 am 10.11.2026 in ihren Katalog bekannter ausgenutzter Schwachstellen auf. Für US-Bundesbehörden gilt eine Frist bis zum 24.11.2026, um die Schwachstelle zu beheben oder Meldung zu erstatten.

Auch der britische Gesundheitsdienst NHS England warnte vor der Lücke und riet Anwendern, bis zur Aktualisierung keine unerwarteten Dateianhänge oder Nachrichtendateien zu öffnen – selbst wenn diese von bekannten Absendern stammen. Der Dienst verwies für den Aktualisierungsvorgang auf den Menüpfad über Datei, Konto und Updateoptionen in der Office-Anwendung.

Laut CyberExperts wird die Entdeckung der Schwachstelle den Sicherheitsforschern mit den Namen nono und Benoît Sevens zugeschrieben; im offiziellen Microsoft-Advisory wurde dies nicht bestätigt. Vor der Bereitstellung des Patches war die Lücke nicht öffentlich bekannt.

Die Sicherheitsaktualisierungen von Microsoft für November 2026 umfassten insgesamt über 1.000 Schwachstellen. Die Zählungen schwanken je nach Quelle: Tenable und Krebs zählten 1.093 Schwachstellen, SecurityWeek 1.094, der Microsoft Security Update Guide 1.095, BleepingComputer 1.235 (unter Ausschluss von 108 früheren Fixes) und The Hacker News 1.259 (einschließlich 165 nicht von Microsoft vergebener Kennungen).

Wer täglich mit E-Mails arbeitet, sollte seine Arbeitsabläufe nicht nur sicher, sondern auch effizient gestalten. Über 40.000 Nutzer verwenden bereits diesen gratis Ratgeber für eine bessere Kalendernutzung, schnellere Mails und eine reibungslose Synchronisation. 7 Outlook-Zeitspar-Tricks kostenlos entdecken

Laut Microsoft Security Update Guide galten 64 Schwachstellen als kritisch (rund 5,8 Prozent), während Tenable 63 und BleepingComputer 66 kritische Einstufungen zählten. Angaben von Tenable zufolge hat Microsoft im Jahr 2026 insgesamt über 5.100 CVEs adressiert; der November stellte den zweiten Monat in Folge mit mehr als 1.000 Patches dar.

Zu den weiteren geschlossenen Sicherheitslücken gehörten nicht ausgenutzte Schwachstellen zur Remotecodeausführung in Windows Search (CVE-2026-116928, CVSS 9.8) und Windows LDAP (CVE-2026-119958, CVSS 9.8) sowie Fehler in Schannel, Windows Virtual Filtering Platform, dem Xbox Live Networking Service und eine privilegienausweitung in Azure OpenAI. Microsoft kündigte zudem an, ab Mai 2027 die NTLM-Signierung auf Windows-Servern standardmäßig verbindlich einzufordern.