Outlook-Zero-Day CVE-2026-124194: Nur „moderat“ eingestuft, aber bereits im Angriff

Beitrag veröffentlicht am von Frank Meurer

Stand: 12. November 2026 · Zuletzt aktualisiert: 12. November 2026 · Lesezeit ca. 5 Minuten
Von Frank Meurer, Inhaber von Meurologic in Bonn

Kurz gesagt: CVE-2026-124194 ist eine Sicherheitslücke in Microsoft Outlook, die Angreifer bereits ausnutzen. Öffnet jemand eine präparierte Nachrichtendatei, können Anmeldedaten seines Windows-Kontos abfließen. Microsoft hat die Lücke am 10. November 2026 geschlossen. Das Update kommt über die Office-Updates, nicht über Windows Update. Danach folgen Exchange, SharePoint und die Domain Controller.

Sie wissen nicht, ob Ihre Geräte aktuell sind? Wir prüfen das gerne für Sie: Kontakt aufnehmen.

Eine Warnung mit „Moderat“ und 6,5 von 10 Punkten landet in vielen Betrieben auf dem Stapel für später. Bei dieser Meldung ist das der falsche Schluss. Der Wert (CVSS) beschreibt die technische Schwere einer Lücke, nicht, ob sie gerade angegriffen wird. Microsoft bestätigt die Ausnutzung, und die US-Behörde CISA hat die Lücke in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen. Der Score ist mittel, das Zeitfenster kurz.

Die Fakten auf einen Blick

Stand 12.11.2026
Schwachstelle CVE-2026-124194, Outlook-Spoofing (CWE-356: fehlende Warnung vor unsicheren Aktionen)
Bewertung Microsoft: „Moderat“, CVSS 6,5
Aber Ausnutzung bestätigt, seit 10.11.2026 im CISA-KEV-Katalog
Betroffen Microsoft 365 Apps for Enterprise, Office LTSC 2021, Office LTSC 2024
Abgesichert ab LTSC 2021: 16.0.14334.21048 · LTSC 2024: 16.0.17932.21140 · Microsoft 365 Apps: je nach Update-Kanal (siehe MSRC-Eintrag)
Auslöser Eine präparierte Nachrichtendatei muss geöffnet werden
Patch Office-Sicherheitsupdates, nicht Windows Update
Workaround Von Microsoft nicht veröffentlicht
Frist 24.11. CISA-Pflicht für US-Bundesbehörden, nicht für deutsche Betriebe. Brauchbarer Taktgeber, keine gesetzliche Deadline.

Was passiert, kurz erklärt

Normalerweise warnt Outlook, bevor es Inhalte von fremden Servern lädt. Bei dieser Lücke bleibt die Warnung aus. Öffnet jemand eine präparierte Nachrichtendatei, verbindet sich Outlook unbemerkt mit dem Server des Angreifers. Dabei kann der NTLMv2-Hash abfließen, ein aus den Windows-Anmeldedaten abgeleiteter Wert. Damit lässt sich das Passwort errechnen, oder die Anmeldung wird an interne Dienste weitergereicht (NTLM-Relay).

Die Vorschauansicht löst diese Lücke laut Microsoft nicht aus, die Datei muss geöffnet werden. Das ist keine Entwarnung für Outlook insgesamt: Im selben Patchday stecken weitere kritische Office-Lücken, bei denen die Vorschau ein Angriffsweg ist. Spielen Sie deshalb das gesamte Update ein.

Für die Entscheidung im Betrieb genügt eine Frage: Ist das bei uns im Einsatz, und ist das Office-Update installiert?

So prüfen Sie Ihre Outlook-Version

In Outlook: Datei → Office-Konto. Dort steht unter „Info zu Outlook“ die Versionsnummer. Das Update stoßen Sie über Updateoptionen → Jetzt aktualisieren an. Vergleichen Sie den Build mit der Tabelle und dem MSRC-Eintrag. In verwalteten Umgebungen verteilt Ihr IT-Betreuer das Update zentral. Unsere Partner in Bonn betreuen wir hier in den meisten Fällen selbst.

Was Betriebe jetzt tun sollten

  1. Office auf allen Geräten aktualisieren. Beginnen Sie bei Rechnern, die Dateien von außen erhalten, etwa Buchhaltung und Kundenservice. Denken Sie auch an Außenstelle, Homeoffice und den Rechner „nur noch für die alte Buchhaltung“. Ein Termin mitten in der Nacht ist nicht nötig, er sollte aber nicht erst im nächsten Monat liegen. Prüfen Sie danach stichprobenartig, ob die neuen Builds wirklich angekommen sind, denn Verteilungen scheitern oft leise.
  2. Exchange Server prüfen. Die Lücke CVE-2026-118207 (CVSS 8,8, kritisch) erlaubt einem angemeldeten Konto mit niedrigen Rechten, Code auf dem Server auszuführen. Das Update KB5133453 gibt es nur für Exchange Server Subscription Edition. Es gehört auch auf Rechner mit den Exchange-Verwaltungswerkzeugen. Für Exchange 2016 und 2019 gibt es kein Update mehr, der Support ist beendet. Wer sie noch betreibt, sollte die Migration jetzt planen. Das Update braucht ein eigenes Wartungsfenster mit Rückfallplan. Danach Server neu starten und Dienste prüfen.
  3. SharePoint Server separat behandeln. Für die Subscription Edition gibt es KB5002945 mit mehreren als kritisch eingestuften Lücken. Auch dafür ein eigenes Wartungsfenster einplanen, nicht nebenbei mit den Arbeitsplatz-PCs. Builds und KB-Nummern vor der Freigabe im aktuellen Microsoft Update Guide gegenlesen.
  4. Windows-Updates: Domain Controller zuerst. Der Patchday schließt unter anderem eine kritische Lücke in den Active Directory Domain Services. Danach folgen die übrigen Server, zuletzt die Arbeitsplatz-PCs. Liegt ein Domain Controller seit Monaten zurück, ist das die eigentliche Baustelle.
  5. Den Abfluss von Anmeldedaten erschweren. Sperren Sie ausgehende SMB-Verbindungen (Port 445) ins Internet an der Firewall. Prüfen Sie SMB-Signing und den erweiterten Authentifizierungsschutz (EPA) für interne Dienste. Testen Sie außerdem einmal wirklich eine Datenwiederherstellung, statt sich auf ein grünes Backup zu verlassen. Mehr zum Ernstfall: Ransomware, erste 24 Stunden.

MFA gehört überall hin, wo sie möglich ist. Sie schützt vor allem Cloud-Anmeldungen, nicht automatisch die Weiterleitung an interne Dateifreigaben, und ersetzt das Update nicht. Einstieg: Passkeys statt nur Passwort.

Für Geschäftsführer: eine Frage an Ihre IT

Sie müssen nichts selbst installieren, aber Sie sollten wissen, ob es geschehen ist. Leiten Sie diese Frage an Ihre interne IT oder Ihren Dienstleister weiter:

„Sind alle Office-Installationen (Microsoft 365 Apps, LTSC 2021/2024) auf dem Stand zu CVE-2026-124194? Ist Exchange SE auf KB5133453, und wann sind SharePoint und die Domain Controller dran? Bitte um kurze Rückmeldung mit Datum.“

Kommt keine klare Antwort, ist das die eigentliche Information.

Für Administratoren

  • Prüfen Sie, ob Outlook in den letzten 30 Tagen ausgehende SMB-Verbindungen zu externen Adressen aufgebaut hat. Das ist ein möglicher Hinweis, keine gesicherte Signatur.
  • Bei Verdacht auf Missbrauch sollten Sie die Passwörter der betroffenen Konten zurücksetzen.
  • Verdächtige Mails und Links prüft unser Mail-Link-Checker. Der Überblick zu glaubwürdigen Phishing-Mails hilft bei der Einordnung. Updates kommen aus dem Programm oder vom Hersteller, nie aus einer „dringenden Sicherheits-Mail“.

Für Privatanwender

Microsoft nennt in diesem Advisory Enterprise- und LTSC-Versionen. Ob auch Heim-Versionen betroffen sind, prüfen Sie im MSRC-Eintrag. Installieren Sie die aktuellen Office-Updates in jedem Fall. Klicken Sie nie auf „Update“-Links in E-Mails.

Rückblick: Netlogon (Mai 2026)

Die kritische Netlogon-Lücke CVE-2026-41089 (CVSS 9,8) betraf Domain Controller und wurde im Mai geschlossen. Die belgische Behörde CCB meldete später Ausnutzung, Microsoft bestätigte das damals nicht. Die Frage bleibt: Ist das Mai-Update wirklich auf jedem Domain Controller angekommen? Bei Erstgesprächen in der Region finden wir an genau dieser Stelle häufiger Lücken als bei den ganz aktuellen CVEs.

Grenzen dieser Einschätzung

  • Microsoft nennt als wirksame Maßnahme das Einspielen des Updates. Einen Ersatz-Workaround gibt es nicht.
  • Patchen senkt das Risiko dieser einen Meldung. Es ist keine Garantie für allgemeine Sicherheit.
  • Dieser Beitrag ist keine Rechts- oder Forensikberatung. Wer einen Missbrauch vermutet, sollte das Vorgehen mit einem Fachmann abstimmen.
  • Builds und Einstufungen können nachgezogen werden. Prüfen Sie vor der Freigabe den aktuellen MSRC-Eintrag.

Häufige Fragen

Reicht die Vorschauansicht?
Für diese Lücke ist die Vorschau laut Microsoft kein Angriffsweg. Andere kritische Office-Lücken desselben Patchdays schon, daher gilt: Update einspielen.

Müssen wir bis zum 24. November fertig sein?
Nein, das ist die Pflichtfrist für US-Bundesbehörden. Für Betriebe gilt: zeitnah, in der genannten Reihenfolge.

Ersetzt MFA das Update?
Nein. MFA schließt weder die Outlook-Lücke noch einen Relay gegen interne Dienste.

Warum nennen Medien unterschiedliche Zahlen zum Patchday?
Microsofts Release Notes zählen 1.094 CVEs. Manche Quellen kommen auf 1.235, weil sie 142 Edge-Lücken mitzählen. Maßgeblich sind die Release Notes.

Was Meurologic für Sie tun kann

Wir prüfen den Stand von Office, Exchange, SharePoint und Domain Controllern, melden Ihnen, was erledigt und was offen ist, und spielen die Updates im vereinbarten Wartungsfenster ein. Unsere Partner in Bonn betreuen wir in den meisten Fällen genau so. Mehr unter Leistungen – Sicherheit.

Gerne machen wir einen kurzen Patchcheck. Melden Sie sich unverbindlich über den Kontakt oder telefonisch unter 0228 823 403 10.

Weiterlesen: Ransomware, erste 24 Stunden · Phishing 2026

Über den Autor

Frank Meurer ist Inhaber von Meurologic in Bonn. Seit 2005 betreut er mittelständische Betriebe und Privathaushalte rund um Microsoft 365, Exchange, Windows Server, Firewalls und Notfallvorsorge. Hier schreibt er, was im Wartungsfenster entschieden wird, nicht die Schlagzeile des Tages.

Quellen

Outlook-Zero-Day CVE-2026-124194: Nur „moderat“ eingestuft, aber bereits im Angriff

Das könnte dir auch gefallen