Microsoft schließt Outlook-Lücke, über die Angreifer Windows-Anmeldedaten stahlen

Mit dem November-Sicherheitsupdate vom 10. November schließt Microsoft eine Lücke in Outlook, die Angreifer schon vor dem Patch ausgenutzt haben. Eine präparierte Nachrichtendatei bringt Outlook dazu, sich unbemerkt mit einem Server des Angreifers zu verbinden, und Windows liefert dabei den NTLMv2-Hash des Benutzerkontos mit. Wer Outlook nutzt, sollte das Office-Update jetzt installieren. Insgesamt behebt die Veröffentlichung 1.093 Schwachstellen, so Tenable, oder 1.235, wenn man wie BleepingComputer die Korrekturen für Microsoft Edge mitzählt.

So funktioniert der Angriff über Outlook

Microsoft stuft CVE-2026-124194 als Spoofing-Lücke mit dem Schweregrad „Mittel“ ein, der CVSS-Wert liegt bei 6,5. Ein Angreifer braucht kein Konto: Er schickt eine speziell präparierte Nachrichtendatei. Öffnet das Opfer sie, verbindet sich Outlook mit einem Netzwerkpfad des Angreifers, ohne die übliche Warnung vor externen Inhalten anzuzeigen. Windows versucht dann womöglich, sich automatisch bei diesem Server anzumelden, und sendet den NTLMv2-Hash des Nutzers.

Den Hash kann ein Angreifer offline zu knacken versuchen, um das Passwort zu erhalten, oder ihn nutzen, um sich bei weiteren Angriffen als der Nutzer auszugeben. Dafür muss das Opfer die Datei öffnen und mit dem Netz verbunden sein. Laut Microsoft ist der Vorschaubereich kein Angriffsweg, ein Blick auf die Nachrichtenliste reicht also nicht.

Microsoft bestätigt, dass die Lücke bei echten Angriffen genutzt wurde, sagt aber nicht, wer dahintersteckt, wen es traf und in welchem Umfang. BleepingComputer erinnert daran, dass ähnliche Outlook-Lücken schon früher ausgenutzt wurden, meist über Phishing-Mails mit bösartigen Anhängen. Laut Tenable dankt das Advisory einem Forscher, der den Fehler mithilfe des Modells Claude von Anthropic gefunden hat.

Wer aktualisieren muss

Betroffen sind die 32- und 64-Bit-Versionen von Office LTSC 2021, Office LTSC 2024 und Microsoft 365 Apps for Enterprise. Die Korrektur kommt über die Office-Updates. Ist Windows Update nicht so eingestellt, dass es auch Updates für andere Microsoft-Produkte installiert, prüfen Sie Office separat: In Outlook auf „Datei“, dann „Office-Konto“, „Updateoptionen“ und „Jetzt aktualisieren“ klicken.

Unternehmen haben noch mehr Dringendes auf der Liste. Tenable hebt kritische Lücken zur Remotecodeausführung in den Active Directory Domain Services und in Exchange Server hervor, beide mit 8,8 Punkten und dem Vermerk „Ausnutzung wahrscheinlicher“, dazu eine ohne Anmeldung ausnutzbare Lücke in Schannel, der Windows-Komponente für verschlüsselte Verbindungen, mit 8,1 Punkten. Ein Fehler zur Rechteausweitung in SharePoint Server erreicht 9,9 Punkte, ist aber nur als „Wichtig“ eingestuft.

Woher die großen Zahlen kommen

Die Summe hängt davon ab, wer zählt. Tenable und Cyber Security News kommen auf 1.093 am Patch Tuesday veröffentlichte Schwachstellen. BleepingComputer rechnet 142 Einträge zu Edge hinzu und landet bei 1.235. Weitere 108 Korrekturen, die Microsoft früher im November veröffentlicht hat, vor allem für die eigene Linux-Distribution Mariner und für Edge, lässt das Portal weg. Etwa die Hälfte der Lücken betrifft Rechteausweitung: Sie geben einem Angreifer, der schon auf dem Rechner ist, mehr Kontrolle.

BleepingComputer nennt die November-Ausgabe einen Rekord, obwohl der Oktober nach eigener Zählung mit 1.411 Lücken größer war. So oder so gehen die monatlichen Updates inzwischen in die Tausende. Zu Jahresbeginn waren sie deutlich kleiner: 54 Korrekturen im Februar und 163 im April, laut Tenable. BleepingComputer führt den Anstieg darauf zurück, dass Microsoft Schwachstellen mit KI sucht und behebt.

Für Privatnutzer reichen zwei Dinge: die Updates für Windows und Office installieren und keine Nachrichtendateien oder Anhänge öffnen, mit denen Sie nicht gerechnet haben, auch wenn sie scheinbar von Bekannten kommen.