Outlook: Ausgenutzte Lücke verrät NTLMv2-Hashes der Nutzer, Microsoft liefert Patch

Top-Secured Cyber-Monitoring: unabhängige Analyse auf Grundlage der unten genannten Quellen. Top-Secured ist mit den genannten Unternehmen nicht verbunden und wird Sie niemals nach Bankdaten oder Passwörtern fragen.

Microsofts Updates vom November 2026 beheben CVE-2026-124194, eine Outlook-Lücke, die laut Hersteller bereits ausgenutzt wird. Eine präparierte Datei, die in Outlook geöffnet wird, lässt das Programm ohne die übliche Warnung eine Verbindung zum Server eines Angreifers aufbauen und dabei den NTLMv2-Hash des Nutzers preisgeben; die CISA hat die Lücke in ihren Katalog ausgenutzter Schwachstellen aufgenommen.

Was passiert ist

Microsoft hat am 10. November 2026 seine monatlichen Sicherheitsupdates veröffentlicht. Laut The Record betreffen sie 1.093 Schwachstellen, zum zweiten Mal in Folge mehr als tausend. Darunter ist CVE-2026-124194 in Outlook, die Microsoft als bereits ausgenutzt kennzeichnet. Am selben Tag nahm die US-Behörde CISA sie in ihren Katalog bekannter ausgenutzter Schwachstellen auf und gab Bundesbehörden bis zum 24. November Zeit. Weder Microsoft noch die CISA haben mitgeteilt, wer hinter den Angriffen steckt oder wer ins Visier genommen wurde.

Wie Angreifer sie nutzen

Microsoft beschreibt das Szenario so: Der Angreifer schickt eine präparierte Datei und bringt den Nutzer dazu, sie in Outlook zu öffnen. Das Programm verbindet sich dann mit einem vom Angreifer kontrollierten Netzwerkpfad, ohne die übliche Warnung vor externen Inhalten anzuzeigen. Dabei übermittelt es den NTLMv2-Hash des Nutzers, mit dem sich der Angreifer als dieser Nutzer anmelden kann. Der Angreifer braucht kein Konto, das Opfer muss die Datei aber öffnen: Das Vorschaufenster ist kein Angriffsweg. Microsoft bewertet die Lücke mit 6,5 von 10 und als mittelschwer, doch ein gestohlener Hash kann den Zugang zu weiteren Diensten im Unternehmen öffnen.

Laut Microsoft betroffen: Microsoft 365 Apps for Enterprise (32 und 64 Bit), Office LTSC 2024 und Office LTSC 2021.

Was jetzt zu tun ist

1. Office aktualisieren: Build 16.0.17932.21140 oder neuer für Office LTSC 2024, 16.0.14334.21048 oder neuer für Office LTSC 2021; für Microsoft 365 Apps den Sicherheitsbuild vom November Ihres Update-Kanals. Prüfen Sie dies in Outlook unter Datei > Office-Konto > Info zu Outlook.
2. Prüfen, ob die Updates wirklich ankommen: Click-to-Run-Installationen bleiben manchmal auf einem alten Build, wenn eine Richtlinie Updates zurückstellt.
3. Ausgehendes SMB (TCP 445) ins Internet an der Firewall sperren: Das ist der häufigste Weg, um NTLM-Hashes nach außen zu schicken.
4. Administrator- und sensible Konten in die Gruppe Protected Users aufnehmen, die für sie die NTLM-Anmeldung unterbindet, und die Nutzung von NTLM in der Domäne schrittweise reduzieren.
5. Die Mitarbeitenden daran erinnern, keine unerwarteten Anhänge zu öffnen, auch nicht von bekannten Absendern.

Unsere Einschätzung

Eine als mittelschwer eingestufte, aber bereits ausgenutzte Lücke verdient mehr Aufmerksamkeit als eine kritische, die niemand nutzt. Das Patchen der Arbeitsplätze gehört zur Serversicherheit: Ein abgeflossener NTLM-Hash ist oft der erste Schritt zum Dateiserver oder Domänencontroller.

Quellen

• Microsoft MSRC — Microsoft Outlook Spoofing Vulnerability (CVE-2026-124194)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-124194 (Microsoft Office Outlook)
• The Record — Microsoft’s Patch Tuesday surpasses 1,000 bugs for second month in a row

Wie wir unsere Analysen auswählen, prüfen und schreiben →