Eine Nachrichtendatei, die jemand in Outlook öffnet, genügt in diesem Fall, damit der Rechner Anmeldedaten an einen fremden Netzwerkort schickt.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Was der Eintrag von Microsoft festhält

Das Microsoft Security Response Center führt die Lücke als „Microsoft Outlook Spoofing Vulnerability“. Spoofing heißt hier: sich als eine andere Person ausgeben. Veröffentlicht wurde der Eintrag am 10. November 2026, die Ausnutzung ist laut Microsoft erkannt („Exploitation Detected“), vorab öffentlich bekannt war die Lücke nach dem Eintrag nicht. Eine Kundenmaßnahme ist erforderlich.

Auffällig ist die Kombination aus zwei Angaben. Microsoft stuft die Lücke als „Moderate“ ein und gibt einen CVSS-Basiswert von 6.5 an, vermerkt aber zugleich, dass sie schon ausgenutzt wird. Beides steht im Eintrag nebeneinander, und beides gehört zur Lage.

Die US-Behörde CISA hat die Lücke am 10. November 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Die dortige Frist für US-Bundesbehörden läuft bis zum 24. November 2026, sie gilt nur für diese Behörden.

Der Angriffsweg und was er verrät

Nach der Beschreibung von Microsoft braucht der Angreifer kein Konto. Er schickt eine präparierte Nachrichtendatei und muss den Empfänger überreden, sie in einem betroffenen Outlook zu öffnen. Outlook baut dann eine Verbindung zu einem Netzwerkort des Angreifers auf und zeigt dabei die übliche Warnung vor externen Inhalten nicht an. Angaben zur Anmeldung können so offengelegt werden. Es braucht eine Netzwerkverbindung und eine Handlung der Person.

Preisgegeben wird nach Microsoft der NTLMv2-Hash der Person. NTLM ist ein Windows-Anmeldeverfahren. Der Angreifer könne ihn nutzen, um sich als diese Person anzumelden. BleepingComputer ergänzt, der Hash lasse sich abfangen und möglicherweise offline knacken.

Das Vorschaufenster spielt bei dieser Lücke keine Rolle. Microsoft führt es nicht als Angriffsweg, und Security-Insider schreibt ausdrücklich, per Vorschau gelinge der Angriff nicht.

Wer angegriffen wurde und wie viele Betriebe oder Personen betroffen sind, nennt Microsoft nicht.

Betroffene Produkte und der Weg zum Update

Notebookcheck nennt nach dem Advisory drei Produkte: Microsoft 365 Apps for Enterprise, Office LTSC 2021 und Office LTSC 2024. Office 2016 und Office 2019 stehen nicht auf der Liste. Notebookcheck weist darauf hin, dass beide Versionen seit Oktober 2025 ohnehin keine Sicherheitsupdates mehr bekommen. Ob sie betroffen wären, sagt Notebookcheck nicht.

Zum Update schreibt Notebookcheck, Office aktualisiere sich in der Regel selbst. Von Hand lässt sich die Aktualisierung in Outlook über Datei, Office-Konto, Updateoptionen und „Jetzt aktualisieren“ anstoßen. Administratoren sollten laut Security-Insider die Office-Updates zuerst verteilen.

Eine Besonderheit am Rande: Laut Notebookcheck nennt der Eintrag einen Forscher, dessen Danksagung mit „using Claude with Anthropic“ endet. Wie weit das Werkzeug beim Finden der Lücke half, bleibt offen.

Die anderen Lücken desselben Patchdays

Der Outlook-Eintrag ist nur ein Teil eines sehr großen Patchdays. Security-Insider zählt fast 1.100 behobene Schwachstellen, über 60 davon kritisch. BleepingComputer kommt auf 1.235, darin sind 142 Lücken in Edge enthalten, die Zählweise unterscheidet sich also. Der Patchday im September ist ein eigenes Thema, nachzulesen in Microsofts Rekord-Patchday.

Security-Insider hebt zwei weitere Punkte hervor, die mit der ausgenutzten Lücke nicht zu verwechseln sind. Auf Exchange-Servern gibt es CVE-2026-116928 in Windows Search mit CVSS 9.8: Ohne Anmeldung genügt ein Anhang, ohne dass jemand die Nachricht öffnet. Den Fix liefert das Windows-Update auf dem Exchange-Server. Dazu kommen drei kritische Outlook-Lücken mit je CVSS 8.8, bei denen Code laut Security-Insider schon beim Anwählen im Vorschaufenster laufen könne. Angriffe darauf sind laut Security-Insider nicht bekannt. Mit dem Vorschaufenster hat die ausgenutzte Lücke CVE-2026-124194 nichts zu tun, die drei anderen Lücken schon.

Unsere Einschätzung

Eine Lücke mit mittlerer Einstufung und Ausnutzung im Einsatz sollte aus unserer Sicht schneller geprüft werden als eine mit hohem Wert und ohne bekannte Angriffe. Der CVSS-Wert sagt etwas über die Schwere im Allgemeinen, der Vermerk „Exploitation Detected“ sagt, dass jemand es gerade tut.

Für einen Betrieb ohne eigene IT ist das eine kleine Aufgabe mit klarem Ziel: nachsehen, welcher Office-Stand auf den Rechnern läuft, und das Update bei Bedarf von Hand anstoßen. Wir würden diesen Schritt nicht auf das nächste automatische Update verschieben, solange Microsoft die Ausnutzung als erkannt führt.

Der Angriffsweg verlangt, dass jemand eine Datei öffnet. Aus unserer Sicht heißt das: Ein Mitarbeiter, der eine unerwartete Nachrichtendatei öffnet, entspricht genau dem beschriebenen Ablauf. Der alte Hinweis, Anhänge von Unbekannten nicht zu öffnen, bekommt damit einen konkreten Anlass. Gerade weil Outlook die übliche Warnung vor externen Inhalten bei dieser Lücke nicht zeigt, fehlt dem Empfänger der Moment, in dem er stutzen könnte.

Wer einen eigenen Exchange-Server betreibt, prüft zusätzlich, ob das Windows-Update auf dem Server eingespielt ist, so die Empfehlung von Security-Insider.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 12. November 2026):

Häufige Fragen

Was ist CVE-2026-124194?

Microsoft führt die Lücke als „Microsoft Outlook Spoofing Vulnerability“, veröffentlicht am 10. November 2026. Die Einstufung lautet „Moderate“, der CVSS-Basiswert 6.5, und Microsoft vermerkt, dass eine Ausnutzung erkannt wurde. Eine Kundenmaßnahme ist erforderlich.

Wie läuft der Angriff ab?

Laut Microsoft schickt ein Angreifer ohne Konto eine präparierte Nachrichtendatei, und der Empfänger muss sie in einem betroffenen Outlook öffnen. Outlook verbindet sich dann ohne die übliche Warnung mit einem Netzwerkort des Angreifers, und der NTLMv2-Hash der Person kann offengelegt werden. Das Vorschaufenster ist bei dieser Lücke kein Angriffsweg.

Welche Produkte sind betroffen?

Notebookcheck nennt nach dem Advisory Microsoft 365 Apps for Enterprise, Office LTSC 2021 und Office LTSC 2024. Office 2016 und Office 2019 stehen nicht auf der Liste, bekommen laut Notebookcheck aber seit Oktober 2025 keine Sicherheitsupdates mehr.

Was sollte ein Betrieb jetzt regeln?

Aus unserer Sicht lohnt ein Blick auf den Office-Stand der Rechner. Laut Notebookcheck lässt sich das Update in Outlook über Datei, Office-Konto, Updateoptionen und „Jetzt aktualisieren“ anstoßen. Wer einen eigenen Exchange-Server betreibt, prüft laut Security-Insider zusätzlich das Windows-Update auf dem Server.

Wie lässt sich ein Team im Alltag auf unerwartete Dateien und Mails vorbereiten?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 12. November 2026. Stand der Recherche: 12. November 2026.