Outlook Update jetzt einspielen: Angreifer nutzen Lücke CVE-2026-124194 für den Diebstahl von Anmeldedaten

• Microsoft hat mit den Office-Sicherheitsupdates vom 10. November 2026 die Outlook-Lücke CVE-2026-124194 geschlossen.
• Nach übereinstimmenden Berichten mehrerer IT-Fachmedien wird die Lücke bereits aktiv ausgenutzt, um NTLMv2-Hashes von Benutzern abzugreifen.
• Sicher sind unter anderem Current Channel Version 2610 ab Build 20527.20196, Office LTSC 2024 ab Build 17932.21140 und Office LTSC 2021 ab Build 14334.21048.
• Zusätzlich schützt es, NTLM-Anmeldungen an fremde Server zu unterbinden, etwa durch die NTLM-Blockierung des SMB-Clients ab Windows 11 Version 24H2.

Microsoft hat am Patchday vom 10. November 2026 ein Outlook Update veröffentlicht, das unter anderem die Schwachstelle CVE-2026-124194 schließt. Laut Microsoft-Dokumentation ist die Lücke Teil der Office-Sicherheitsupdates vom 10. November 2026 und dort unter Outlook aufgeführt. Insgesamt nennt Microsoft für diesen Tag 20 Outlook-Schwachstellen.

Nach übereinstimmenden Berichten mehrerer IT-Fachmedien stuft Microsoft CVE-2026-124194 als bereits aktiv ausgenutzt ein. Den Berichten zufolge funktioniert der Angriff so:

• Ein Angreifer schickt eine präparierte Nachrichtendatei, ein eigenes Konto braucht er dafür nicht.
• Öffnet der Empfänger die Datei, verbindet sich Outlook ohne die übliche Warnung vor externen Inhalten mit einem Netzwerkziel des Angreifers.
• Dabei übermittelt Outlook den NTLMv2-Hash des Benutzers. Damit kann sich der Angreifer als dieser Benutzer anmelden.
• Die Vorschau im Lesebereich löst den Angriff laut den Berichten nicht aus.

Microsoft bewertet die Lücke den Berichten zufolge mit einem CVSS-Wert von 6,5 nur als mittelschwer. Weil sie aber bereits angegriffen wird und Outlook in fast jedem Unternehmen läuft, sollten Sie das Update nicht bis zum nächsten Wartungsfenster aufschieben. Betroffen sind laut den Berichten Microsoft 365 Apps for Enterprise, Office LTSC 2021 und Office LTSC 2024.

Laut Microsoft-Dokumentation enthalten diese Builds die Sicherheitsupdates vom 10. November 2026:

• Current Channel: Version 2610 (Build 20527.20196)
• Monthly Enterprise Channel: Version 2610 (Build 20527.20194), Version 2609 (Build 20430.20264) und Version 2608 (Build 20326.20320)
• Semi-Annual Enterprise Channel: Version 2610 (Build 20527.20192), Version 2609 (Build 20430.20262) und Version 2608 (Build 20326.20318)
• Office 2024 und Office 2021 (Einzelhandel): Version 2610 (Build 20527.20196)
• Office LTSC 2024 (Volumenlizenz): Version 2408 (Build 17932.21140)
• Office LTSC 2021 (Volumenlizenz): Version 2108 (Build 14334.21048)

Den installierten Build sehen Sie in Outlook unter Datei > Office-Konto > Info zu Outlook. In verwalteten Umgebungen prüfen Sie den Stand zentral über Ihr Update-Management, zum Beispiel in Microsoft Intune oder mit Windows Autopatch, das auch die Microsoft 365 Apps gestaffelt aktualisiert.

Der Angriff zielt darauf, dass Windows NTLM-Anmeldedaten an einen fremden Server schickt. Dagegen helfen Maßnahmen, die über das Outlook Update hinaus wirken:

1. NTLM für SMB-Verbindungen blockieren: Ab Windows 11 Version 24H2 und Windows Server 2025 kann der SMB-Client NTLM bei ausgehenden Verbindungen blockieren. Laut Microsoft-Dokumentation verhindert das, dass Angreifer Clients dazu bringen, NTLM-Anfragen an bösartige Server zu senden. Die Einstellung finden Sie in der Gruppenrichtlinie unter Computerkonfiguration > Administrative Vorlagen > Netzwerk > Lanman-Arbeitsstation > Block NTLM, Ausnahmen lassen sich für einzelne Server festlegen.
2. Ausgehende SMB-Verbindungen ins Internet sperren: Interne Clients brauchen in aller Regel keine SMB-Verbindung zu Servern im Internet. Eine entsprechende Regel auf Ihrer Firewall, zum Beispiel auf einem UniFi Gateway, verringert die Angriffsfläche.
3. NTLM-Signierung vorbereiten: Seit dem Patchday im November bieten Windows-Clients standardmäßig NTLM-Signierung an, ab Mai 2027 verlangen Windows Server sie. Was Sie dafür prüfen sollten, lesen Sie in unserer News zur NTLM Signierung.
4. Anmeldungen überwachen: Ungewöhnliche Anmeldungen mit den Konten Ihrer Mitarbeitenden erkennen Sie am schnellsten mit einer zentralen Lösung wie Microsoft Defender XDR.

• Prüfen Sie, ob alle Outlook-Installationen mindestens die oben genannten Builds haben.
• Verteilen Sie das Update vorrangig an Mitarbeitende mit viel externem Mailverkehr, etwa Vertrieb, Einkauf und Geschäftsführung.
• Sensibilisieren Sie Ihre Mitarbeitenden, unerwartete Nachrichtendateien aus externen Mails nicht zu öffnen.
• Planen Sie die NTLM-Blockierung und die Firewall-Regel für ausgehendes SMB als dauerhafte Maßnahmen ein.

Die InSys AG^® ist Microsoft Solutions Partner für Security und betreut als Microsoft Direct CSP mehr als 80.000 Microsoft 365 Lizenzen bei Kunden. Wir prüfen mit Ihnen den Update-Stand Ihrer Microsoft 365 Apps, richten automatische Updates ein und härten die NTLM-Einstellungen in Ihrem Netzwerk. Als Ubiquiti Enterprise Partner setzen wir auch die passenden Firewall-Regeln auf Ihren UniFi Gateways um. Mehr zu unseren Leistungen finden Sie unter Microsoft 365 Security für Unternehmen und auf unserer Seite als Microsoft 365 Partner für Security und Lizenzen.