Microsoft hat eine Korrektur für eine aktiv ausgenutzte Outlook-Schwachstelle veröffentlicht, über die beim Öffnen einer bösartigen Datei Authentifizierungsinformationen offengelegt werden können. Laut der Warnmeldung vom 10. November könnten Angreifer diese Informationen nutzen, um sich als Benutzer auszugeben. Deshalb sollten Organisationen mit betroffenen Outlook-Versionen das Update priorisieren.
Die Schwachstelle CVE-2026-124194 ist mit dem Schweregrad „Moderate“ eingestuft und hat im Common Vulnerability Scoring System einen Basiswert von 6,5 von 10. Für eine Ausnutzung sind sowohl eine Netzwerkverbindung als auch das Öffnen der Datei durch einen Benutzer erforderlich. Microsoft erklärt ausdrücklich, dass der Outlook-Vorschaubereich kein Angriffsvektor ist.
Die Korrektur gehört zu einem umfangreichen Sicherheitsrelease im November. Die Versionshinweise vom 11. November führen 1.094 Microsoft-CVEs auf – Kennungen, die Schwachstellen zugewiesen werden – sowie 165 erneut veröffentlichte CVEs, die nicht von Microsoft stammen. Zusammen ergeben sie die 1.259 Einträge, die The Hacker News meldete. Das Portal beschrieb den November als zweiten Monat in Folge mit mehr als 1.000 Einträgen.
So funktioniert der Outlook-Angriff
Ein Angreifer benötigt weder ein Konto noch bestehenden Zugriff, um eine speziell präparierte Nachrichtendatei zu versenden und jemanden dazu zu bewegen, sie in einer verwundbaren Outlook-Installation zu öffnen. Beim Öffnen könnte Outlook eine Verbindung zu einem vom Angreifer kontrollierten Netzwerkziel herstellen, ohne die übliche Warnung zu externen Inhalten anzuzeigen.
Microsoft zufolge kann diese Verbindung den NTLMv2-Hash des Benutzers offenlegen. Dabei handelt es sich um eine Authentifizierungsinformation, mit der sich ein Angreifer als Opfer authentifizieren könnte. Das praktische Risiko geht daher über die Anzeige irreführender Inhalte hinaus: Das Öffnen der Datei könnte Informationen offenlegen, die sich zur Identitätsvortäuschung nutzen lassen.
Microsoft hat die Schwachstelle bei der ursprünglichen Veröffentlichung am 10. November als ausgenutzt und zuvor nicht öffentlich bekannt gemacht eingestuft. Das Unternehmen nennt nono und Benoît Sevens als Melder; dabei haben sie Claude von Anthropic verwendet.
Die US-Cybersicherheitsbehörde CISA (Cybersecurity and Infrastructure Security Agency) hat die Outlook-Lücke am 10. November in ihren Katalog Known Exploited Vulnerabilities aufgenommen und verweist dabei auf Belege für aktive Ausnutzung. Laut The Hacker News gilt für Bundesbehörden eine Frist zur Behebung bis zum 24. November 2026. Diese Vorgabe betrifft die zivilen Behörden der US-Bundesexekutive (Federal Civilian Executive Branch) und nicht Organisationen allgemein.
In der Warnmeldung der CISA heißt es, die Binding Operational Directive 26-04 verpflichte diese Behörden, hochriskante Schwachstellen aus dem Katalog auf öffentlich erreichbaren Systemen vorrangig zu behandeln, deren Ausnutzung vollständige Kontrolle gewährt. Schwachstellen mit geringerem Risiko werden dagegen zurückgestellt. Zudem werden Erwartungen formuliert, vor dem Patchen zu prüfen, ob Angreifer Systeme bereits kompromittiert haben. Andere Organisationen ermutigt die CISA, katalogisierte Schwachstellen im Rahmen eines risikobasierten Schwachstellenmanagements zu priorisieren.
Kritische Lücken betreffen auch die Serververarbeitung
Mehrere weitere Korrekturen aus dem November schließen Lücken für Remote Code Execution, also die Ausführung von Code auf einem verwundbaren System durch einen Angreifer aus der Ferne. Drei Microsoft-Warnmeldungen zeigen, warum Administratoren den betroffenen Dienst und die Voraussetzungen für Angriffe zusammen mit den Schweregradwerten berücksichtigen sollten.
Windows Search: CVE-2026-116928. Microsoft stuft diese Schwachstelle als kritisch mit einem Basiswert von 9,8 ein. Laut der Warnmeldung handelt es sich um einen Out-of-Bounds-Write, also einen Speicherzugriff außerhalb des vorgesehenen Bereichs, in der Windows-Search-Komponente, die Microsoft Exchange Server verwendet.
Ein nicht authentifizierter Angreifer könnte eine E-Mail mit einem speziell präparierten Anhang senden. Exchange verarbeitet den Anhang automatisch zur Indizierung, sodass der Empfänger weder die E-Mail noch den Anhang öffnen müsste. Eine erfolgreiche Ausnutzung könnte Code mit den Berechtigungen des verarbeitenden Dienstes ausführen. Zum Zeitpunkt der Veröffentlichung verzeichnete Microsoft weder eine Ausnutzung noch eine vorherige öffentliche Bekanntgabe und hielt eine Ausnutzung für weniger wahrscheinlich.
Windows LDAP: CVE-2026-119958. Auch diese kritische Schwachstelle hat einen Basiswert von 9,8. LDAP (Lightweight Directory Access Protocol) dient dem Zugriff auf Verzeichnisinformationen. In der Warnmeldung von Microsoft wird ein weiterer Out-of-Bounds-Write beschrieben: Ein nicht authentifizierter Angreifer könnte speziell präparierte LDAP-Aufrufe senden und Code im Sicherheitskontext des LDAP-Dienstes ausführen. Eine Benutzerinteraktion ist nicht erforderlich. Zum Zeitpunkt der Veröffentlichung verzeichnete Microsoft weder eine Ausnutzung noch eine vorherige öffentliche Bekanntgabe und hielt eine Ausnutzung für weniger wahrscheinlich.
Windows Schannel: CVE-2026-119952. Microsoft stuft diese Schwachstelle als kritisch mit einem Basiswert von 8,1 ein und hielt eine Ausnutzung für wahrscheinlicher, obwohl zum Zeitpunkt der Veröffentlichung weder eine Ausnutzung noch eine vorherige öffentliche Bekanntgabe verzeichnet war. Die Warnmeldung beschreibt eine beobachtbare Zeitabweichung (Timing Discrepancy). Ein nicht authentifizierter Angreifer könnte demnach ein speziell präpariertes Netzwerkpaket an einen betroffenen Dienst senden, um ohne Benutzerinteraktion Code auszuführen.
Für die Ausnutzung von Schannel gilt eine zusätzliche Bedingung: Bestimmte Protokolleinstellungen oder Konfigurationen müssen vorhanden sein. Microsoft zufolge verringern diese Voraussetzungen die Wahrscheinlichkeit weitverbreiteter oder opportunistischer Angriffe.
The Hacker News hob außerdem Korrekturen für Remote Code Execution in der Windows Virtual Filtering Platform (CVE-2026-95962) und im Windows Xbox Live Networking Service (CVE-2026-112967) hervor sowie eine Lücke zur Rechteausweitung in Azure OpenAI (CVE-2026-119990). Bei einer Rechteausweitung erhält ein Angreifer weitergehende Berechtigungen.
Worauf Administratoren zuerst achten sollten
Die Produktfamilien-Zahlen von Microsoft umfassen 726 Windows-Schwachstellen, 174 in Office, 59 in SQL Server, 53 in Developer Tools, 27 in SharePoint Server, 20 in Azure, neun in Exchange Server, eine in Defender und 25, die als „Other“ kategorisiert sind. Laut The Hacker News betreffen mehr als 500 Schwachstellen die Rechteausweitung, gefolgt von Remote Code Execution und Informationsoffenlegung. Das Portal zitiert Tenable-Forscher Satnam Narang mit der Aussage, Microsoft habe in diesem Jahr mehr als 5.100 CVEs behoben.
Für die Priorisierung sagte Jake Knott, Leiter der Threat Intelligence bei watchTowr, gegenüber The Hacker News, Teams sollten zuerst mit aus dem Internet erreichbaren Systemen beginnen, danach mit bereits ausgenutzten Schwachstellen. Dabei sollten sie prüfen, ob sie die verwundbare Komponente verwenden und deren Voraussetzungen für eine Ausnutzung erfüllen.
Administratoren sollten den Outlook-Patch sowie die für ihre eingesetzten Produkte relevanten November-Updates installieren. Microsoft betont, dass Updates für Windows 10 und Windows 11 kumulativ sind und frühere Sicherheitskorrekturen sowie Nicht-Sicherheitsänderungen enthalten. Außerdem hebt das Unternehmen die Installation des neuesten Servicing Stack Update hervor, das die Installation von Windows-Updates unterstützt. Kunden mit Windows Server 2008 und 2008 R2 benötigen Extended Security Updates, um weiterhin Sicherheitsupdates zu erhalten.
Prüfen Sie vor der Bereitstellung die von Microsoft aufgeführten bekannten Probleme für SQL Server 2025 CU10 und 2022 CU27, Windows Server 2025 einschließlich Hotpatch-Bereitstellungen, Windows Server 2022, 2019 und 2016, Windows 10 in den Versionen 1809, 21H2, 22H2 und 1607 sowie die Updates für .NET 9.0 und 8.0. Details finden Sie laut Microsoft im Reiter „Deployments“ des Security Update Guide und in der Spalte „Known Issues“.
