Security Alert · Schwachstelle

Microsoft schließt aktiv ausgenutzte Outlook-Lücke (CVE-2026-124194)

Risikostufe

Hoch

Kategorie

Schwachstelle

Betroffene Systeme

Microsoft 365 Apps for Enterprise (32 und 64 Bit) ohne das November-2026-Sicherheitsupdate
Office LTSC 2021 vor Build 16.0.14334.21048
Office LTSC 2024 vor Build 16.0.17932.21140

Abhilfe verfügbar

November-Sicherheitsupdates für Microsoft 365 Apps bzw. Office LTSC 2021/2024 einspielen und den Stand prüfen

Quelle

CISA, CISA Known Exploited Vulnerabilities Catalog (JSON, Microsoft, CVE-Datensatz CVE-2026-124194 (CNA Microsoft), Microsoft Learn

Was ist passiert?

Microsoft hat am 10.11.2026 Sicherheitsupdates für Microsoft 365 Apps und Office veröffentlicht und dabei unter anderem die Outlook-Lücke CVE-2026-124194 geschlossen (CVSS 6,5, von Microsoft als „Moderate“ eingestuft). Microsoft kennzeichnet die Lücke als bereits ausgenutzt („Exploitation Detected“). Die US-Behörde CISA hat sie am selben Tag in ihren Katalog bekannt ausgenutzter Schwachstellen (KEV) aufgenommen.

Laut Microsoft warnt die Oberfläche nicht vor einer unsicheren Aktion. Ein Angreifer kann eine speziell präparierte Nachrichtendatei senden. Öffnet ein Nutzer sie in einer betroffenen Outlook-Version, kann Outlook ohne die übliche Warnung vor externen Inhalten eine Verbindung zu einem vom Angreifer kontrollierten Server aufbauen. Dabei kann ein NTLMv2-Hash des Nutzers abfließen; dieser kann unter passenden Bedingungen für weitere Angriffe missbraucht werden. Es sind eine Netzverbindung und das Öffnen der Datei nötig. Die Vorschauleiste ist nach Angaben von Microsoft kein Angriffsvektor.

Für CVE-2026-124194 ist das Office- bzw. Microsoft-365-Update maßgeblich, nicht ein Windows-Update. In den offiziellen Release Notes ist diese Outlook-Lücke der einzige als „Exploitation Detected“ hervorgehobene Eintrag.

Wer ist betroffen?

Unternehmen, Praxen, Kanzleien, Vereine und Verwaltungen mit Microsoft 365 Apps for Enterprise sowie Office LTSC 2021 oder Office LTSC 2024 (jeweils 32 und 64 Bit), die die November-Updates noch nicht eingespielt haben. Office 2019 ist in der Affected-Liste dieser CVE nicht genannt.

Wie hoch ist das Risiko?

Hoch. Die Lücke wird nach Angaben von Microsoft und der CISA bereits ausgenutzt. Der CVSS-Wert 6,5 beschreibt die technische Schwere als mittel; entscheidend ist die bestätigte Ausnutzung und der mögliche Abfluss von Anmeldedaten.

So schützen Sie sich

1. Die November-Sicherheitsupdates für Microsoft 365 Apps for Enterprise bzw. Office LTSC 2021 (Build 16.0.14334.21048) und Office LTSC 2024 (Build 16.0.17932.21140) zeitnah auf allen Rechnern einspielen und den Installationsstand prüfen.
2. Mitarbeitende sensibilisieren: unerwartete Nachrichtendateien und sonstige Office-Dateien nicht öffnen, verdächtige Mails melden. Die Vorschauleiste ist laut Microsoft kein Angriffsvektor dieser Lücke; das Öffnen der Datei ist nötig.

Quellen

• CISA: Six Known Exploited Vulnerabilities added to the KEV Catalog, 10.11.2026
• CISA Known Exploited Vulnerabilities Catalog (JSON, Katalogversion 2026.11.10), 10.11.2026
• Microsoft: November 2026 Security Updates (CVRF), 10.11.2026
• CVE-Datensatz CVE-2026-124194 (CNA Microsoft), 10.11.2026
• Microsoft Learn: Release notes for Microsoft Office security updates, 10.11.2026, 10.11.2026

Mehr zum Thema

• IT-Sicherheit
• Microsoft 365 absichern
• Alle Security Alerts

Stand: 11.11.2026