Microsoft Office Outlook: Spoofing durch fehlende Warnung vor unsicheren Aktionen

Zusammenfassung

Eine Spoofing-Schwachstelle in Microsoft Office Outlook, dem E-Mail-Client von Microsoft 365 Apps und Office LTSC, erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Inhalte zu fälschen. Die Benutzeroberfläche warnt Benutzer nicht vor potenziell unsicheren Aktionen. Gemäss Sekundärberichten kann Outlook beim Öffnen einer präparierten Nachrichtendatei eine Verbindung zu einem vom Angreifer kontrollierten Ziel aufbauen und den NTLMv2-Hash des Benutzers preisgeben. Microsoft und CISA melden eine aktive Ausnutzung, und CISA führt die Schwachstelle im KEV-Katalog.

Betroffen

• Microsoft 365 Apps for Enterprise: ab 16.0.1 (korrigierter Build nicht bestätigt)
• Office LTSC 2021 (32- und 64-Bit): ab 16.0.1 bis, aber ohne, 16.0.14334.21048
• Office LTSC 2024 (32- und 64-Bit): ab 16.0.0 bis, aber ohne, 16.0.17932.21140

Behoben in

• Sicherheitsupdates vom 10. November 2026 (Patch Tuesday)
• Den installierten Build mit dem MSRC Security Update Guide abgleichen, da der korrigierte Build für Microsoft 365 Apps in den Quellen nicht bestätigt ist.

Umgehung

• Dem Hersteller ist keine bestätigte Workaround-Massnahme bekannt.
• Bis zur Behebung den ausgehenden NTLM- und SMB-Verkehr zum Internet an der Firewall einschränken (eigene Empfehlung, nicht vom Hersteller).

Ausnutzung

• In freier Wildbahn ausgenutzt. CISA hat die Schwachstelle am 10.11.2026 in den KEV-Katalog aufgenommen, mit einer Frist für die Behebung in Bundesbehörden bis zum 24.11.2026.
• Bekannter Einsatz in Ransomware-Kampagnen: Unbekannt.
• Öffentlicher Proof of Concept: keiner bekannt.

Unsere Empfehlung

• Die Office- und Outlook-Updates vom 10. November 2026 umgehend auf allen Microsoft-365- und Office-LTSC-Clients installieren.
• Den installierten Build mit der MSRC-Tabelle überprüfen.
• Ausgehenden NTLM- und SMB-Verkehr einschränken und die NTLM-Nutzung überprüfen.
• Outlook- und NTLM-Protokolle auf unerwartete ausgehende Verbindungen prüfen.
• Benutzer sensibilisieren, unerwartete Nachrichtendateien mit Vorsicht zu behandeln.
• Trotz des mittleren CVSS-Werts (6.5) als hohe Priorität behandeln.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (3 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  AmesianX/CVE-2026-124194-poc · Ghost-Bx1/cve-2026-124194-outlook-ntlm-hash-leak · aminaljabre77-collab/outlook-ntlm-leak-investigation

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-124194 msrc.microsoft.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• Rescana: Microsoft Patch Tuesday November 2026 www.rescana.com
• Zero Day Initiative: November 2026 Security Update Review www.zerodayinitiative.com
• Tenable: Microsoft November 2026 Patch Tuesday www.tenable.com
• OffSeq Radar: CVE-2026-124194 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:14.