Unter den 20 Outlook-Lücken, die Microsoft am Patchday vom 10. November 2026 geschlossen hat, ist ausgerechnet die am niedrigsten eingestufte die dringendste: CVE-2026-124194 bewertet der Hersteller nur mit dem Schweregrad „Moderate“ und einem CVSS-Wert von 6,5. Zugleich ist sie die einzige Lücke des Monats, die Microsoft als bereits ausgenutzt markiert. Wer eine präparierte Nachrichtendatei in Outlook öffnet, verrät Angreifern seinen NTLMv2-Hash. Damit können sie sich laut Microsoft als das Opfer anmelden.

CVE-2026-124194: Outlook verbindet sich ohne Warnung

Nach Microsofts Beschreibung schickt ein Angreifer, der kein Konto im Zielsystem braucht, eine speziell präparierte Nachrichtendatei und bringt das Opfer dazu, sie in Outlook zu öffnen. Outlook baut dann eine Verbindung zu einem Netzwerkziel des Angreifers auf, ohne die übliche Warnung vor externen Inhalten anzuzeigen. Dabei fließt der NTLMv2-Hash des Nutzers ab. Die Ausnutzung setzt eine Netzwerkverbindung und eine Benutzerinteraktion voraus, das Vorschaufenster ist kein Angriffsweg. Microsoft ordnet den Fehler als CWE-356 ein: Die Oberfläche warnt nicht vor einer unsicheren Aktion.

Wer die Lücke ausnutzt und gegen wen, verrät Microsoft nicht. Öffentlich bekannt war sie vor dem Patchday nicht. In der Danksagung nennt der Hersteller „Benoît Sevens using Claude with Anthropic“ sowie einen Forscher mit dem Pseudonym „nono“. Die US-Cybersicherheitsbehörde CISA hat CVE-2026-124194 noch am 10. November in ihren Katalog ausgenutzter Lücken (KEV) aufgenommen, US-Bundesbehörden müssen bis 24. November handeln. Dustin Childs von der Zero Day Initiative (ZDI) rät, sich vom niedrigen CVSS-Wert und vom harmlos klingenden Etikett „Spoofing“ nicht täuschen zu lassen.

Betroffen sind laut Microsoft die Microsoft 365 Apps for Enterprise sowie Office LTSC 2021 und Office LTSC 2024, jeweils in 32 und 64 Bit. Die Korrektur kommt nicht als Windows-KB, sondern über den Update-Mechanismus von Office: Office LTSC 2021 ist ab Build 16.0.14334.21048 geschützt, Office LTSC 2024 ab 16.0.17932.21140. Für den aktuellen Kanal der Microsoft 365 Apps nennt Microsoft Version 2610 (Build 20527.20196). Wie schon bei der Paint-Lücke CVE-2026-83844 reicht es also nicht, nur auf Windows Update zu schauen.

1.093, 1.094 oder 1.235: Warum die Zahlen auseinandergehen

Wie groß der Patchday ist, hängt von der Zählweise ab. Wir haben die maschinenlesbaren Daten des Microsoft Security Response Center (MSRC) ausgewertet, Stand 11. November, 2:07 Uhr: Darin stehen 1.093 neue CVE-Einträge vom 10. November, für die Microsoft selbst als CVE-Vergabestelle (CNA) zuständig ist. 63 stuft Microsoft als kritisch ein: 48 erlauben das Ausführen von Code aus der Ferne, 15 eine Rechteausweitung. Über alle Schweregrade hinweg führen Rechteausweitungen (534) vor Codeausführung (297) und Informationslecks (156). The Register kommt auf 1.094 Lücken, die ZDI auf „etwa 1.090“.

BleepingComputer meldet dagegen 1.235 Lücken, davon 66 kritische. In dieser Zahl stecken 142 Chromium-Lücken in Microsoft Edge, die Microsoft bereits Anfang November veröffentlicht hat und deren CVE-Nummern von Google stammen, drei davon kritisch. Zusätzlich führt der MSRC-Datensatz 102 Lücken in Fremdpaketen für Azure Linux. Schon im Oktober hatte Microsoft laut ZDI rund 1.400 CVEs veröffentlicht. Childs sieht darin laut The Register eine Folge automatisierter Fehlersuche.

Kritisch: LDAP, Windows Search, Exchange und Hyper-V

Drei Lücken in Windows erreichen den CVSS-Wert 9,8. CVE-2026-119958 in Windows LDAP erlaubt einem Angreifer ohne Anmeldung, über präparierte LDAP-Aufrufe Code im Kontext des LDAP-Dienstes auszuführen, ein Risiko vor allem für Domänencontroller. CVE-2026-116928 steckt in der Windows-Suche, die Exchange Server nutzt: Eine E-Mail mit präpariertem Anhang genügt, weil Exchange Anhänge automatisch indiziert. Der Empfänger muss nichts öffnen. CVE-2026-112967 im Xbox Live Networking Service von Windows 10 und 11 lässt sich von einem Angreifer im selben Netz ausnutzen.

Exchange Server Subscription Edition erhält neun Korrekturen, darunter die kritische Codeausführung CVE-2026-118207 (CVSS 8,8), für die ein Angreifer nur ein Konto mit geringen Rechten braucht. Microsoft hält eine Ausnutzung hier für „wahrscheinlicher“, ebenso bei CVE-2026-118146 in den Active Directory Domain Services (8,8), bei CVE-2026-119952 in Schannel (8,1) und bei CVE-2026-113862 in der Netzwerkadressübersetzung NAT (8,1). In Office zählt Microsoft 22 kritische Lücken, vor allem in Excel und Word. Bei drei kritischen Outlook-Lücken (CVE-2026-110043, CVE-2026-110068 und CVE-2026-111309) ist das Vorschaufenster ein Angriffsweg. Hyper-V kommt auf acht kritische Rechteausweitungen. SharePoint erhält 27 Korrekturen, keine davon gilt bei Microsoft als kritisch, obwohl CVE-2026-120002 in der Subscription Edition einen CVSS-Wert von 9,9 trägt.

Außerdem beginnt Microsoft mit den Windows-Updates vom 10. November, NTLM-Signaturen durchzusetzen: Windows-Clients bieten das Signieren von NTLM-Nachrichten nun standardmäßig an, ab Mai 2027 sollen Windows-Server es verlangen. Das soll Relay-Angriffe erschweren; Microsoft führt die Änderung als zusätzlichen Schutz zur kritischen RPC-Lücke CVE-2026-118737.

Was du jetzt tun solltest

Office und Outlook aktualisieren. In einer Office-App unter „Datei“ › „Konto“ (im klassischen Outlook „Office-Konto“) › „Updateoptionen“ › „Jetzt aktualisieren“ wählen. Die installierte Build-Nummer zeigt bei Klick-und-Los-Installationen dieser Befehl:

reg query "HKLM\SOFTWARE\Microsoft\Office\ClickToRun\Configuration" /v VersionToReport

Windows-Updates einspielen. Die November-Updates tragen diese Nummern:

  • Windows 11 25H2 und 26H2 sowie 24H2 (nur noch Enterprise und Education): KB5132061, als Hotpatch KB5132043
  • Windows 11 26H1: KB5132059, Windows 11 23H2: KB5131087
  • Windows 10 22H2 und 21H2: KB5131096
  • Windows Server 2025: KB5131080, als Hotpatch KB5131077
  • Windows Server 2022: KB5131090, Server 2019: KB5131085, Server 2016: KB5131291
  • Exchange Server SE: KB5133453

Den Stand prüfst du in der PowerShell. Unter Windows 11 25H2 sollte nach dem Update Build 26200 mit UBR 9974 oder höher erscheinen (Hotpatch: 9911):

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion' | Select-Object CurrentBuild, UBR

Server zuerst. Domänencontroller (LDAP, AD DS) und Exchange-Server haben Vorrang. Wichtig: Die Lücke in der Windows-Suche schließt das Windows-Update auf dem Exchange-Server, nicht das Exchange-Update.

Symbolbild: Netzwerkbuchsen (RJ45) eines Switches in Nahaufnahme

Symbolbild – Bild: RJ45 Switch Ports von Ben Franske, Lizenz CC BY-SA 4.0, via Wikimedia Commons

NTLM-Abfluss eindämmen. Für CVE-2026-124194 nennt Microsoft keine Workarounds. Bei der ähnlich gelagerten Outlook-Lücke CVE-2023-23397 hatte der Hersteller im März 2023 zwei Maßnahmen empfohlen: Konten mit hohen Rechten wie Domänen-Admins in die Gruppe „Protected Users“ aufnehmen, die NTLM als Anmeldeverfahren ausschließt. Anwendungen, die NTLM brauchen, können dann allerdings scheitern. Außerdem ausgehendes SMB über TCP-Port 445 an der Perimeter-Firewall, in der lokalen Firewall und in den VPN-Einstellungen sperren, damit keine NTLM-Anmeldungen an fremde Dateifreigaben gehen. Welches Protokoll Outlook bei der neuen Lücke nutzt, schreibt Microsoft nicht. Die Port-Sperre deckt nur SMB ab.

NTLM überwachen. Die Gruppenrichtlinie Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers auf „Audit all“ protokolliert jede ausgehende NTLM-Anmeldung. So siehst du, welche Server NTLM-Anfragen deiner Rechner erhalten. Wie du Verbindungen ohne NTLM-Signatur findest, beschreibt Microsoft in KB5135557 anhand der Ereignisse 4022 und 4023 im Protokoll Microsoft-Windows-NTLM/Operational.

Quellen

Bildnachweis