Microsoft behebt aktiv ausgenutzte Outlook Zero-Day-Lücke, die NTLM-Hashes offenlegt

Microsoft hat CVE-2026-124194 gepatcht, eine aktiv ausgenutzte Zero-Day-Schwachstelle in Microsoft Outlook, die die NTLMv2-Authentifizierungsinformationen eines Benutzers offenlegen kann, wenn eine speziell angefertigte Nachrichtendatei geöffnet wird. Microsoft stuft das Problem als Spoofing-Schwachstelle ein und bewertet es als moderat mit einer CVSS 3.1-Bewertung von 6,5.

Die Schwachstelle

Die Schwachstelle ermöglicht es einem nicht authentifizierten Remote-Angriff, eine bösartige Nachrichtendatei zu senden und ein Opfer dazu zu bringen, sie in einer betroffenen Outlook-Version zu öffnen. Outlook kann sich dann mit einem vom Angreifer kontrollierten Netzwerkstandort verbinden, ohne die externen Inhalte-Warnung anzuzeigen, die Benutzer normalerweise erwarten würden. Während dieser Verbindung kann Windows NTLMv2-Authentifizierungsinformationen offenlegen, die potenziell missbraucht werden können, um sich als das Opfer auszugeben.

Microsoft hat bestätigt, dass CVE-2026-124194 bereits in Angriffen ausgenutzt wurde. Das Unternehmen hat jedoch die beteiligten Threat-Aktoren, den Umfang der Kampagne, die betroffenen Organisationen, die Lieferinfrastruktur oder die Frage, ob die gestohlenen Authentifizierungsmaterialien für nachfolgende laterale Bewegung oder Kontokompromittierung verwendet wurden, nicht offengelegt.

Der Fehler wurde im Rahmen der November-2026-Patch-Tuesday-Veröffentlichung von Microsoft am 10. November behoben. Zu den betroffenen Produkten gehören Microsoft 365 Apps for Enterprise, Microsoft Office LTSC 2021 und Microsoft Office LTSC 2024 auf sowohl 32-Bit- als auch x64-Systemen.

CISA hat die Schwachstelle am 10. November in seinen Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) aufgenommen, bestätigte Hinweise auf aktive Ausnutzung und legte den 24. November 2026 als Behebungsfrist für anwendbare US-Bundesbehörden fest.

Betroffene Versionen und Fixes

Der CVE-Eintrag identifiziert die folgenden betroffenen und behobenen Versionen:

Sowohl 32-Bit- als auch x64-Installationen sind betroffen. Organisationen, die Microsoft 365 Apps verwenden, sollten sich auf die Informationen zu Office Security Releases von Microsoft verlassen, da die Build-Nummern über die Wartungskanäle hinweg variieren.

Microsoft dankt einem Forscher unter dem Pseudonym "nono" und dem Sicherheitsforscher Benoît Sevens für die Entdeckung oder Meldung des Problems. SecurityWeek merkt an, dass die Anerkennung von Microsoft für Sevens die Verwendung des Claude KI-Modells von Anthropic während der Forschung erwähnt. Die verfügbaren Quellen geben nicht das genaue Datum an, an dem die Schwachstelle privat entdeckt oder Microsoft ursprünglich gemeldet wurde.

Abhilfe

Die primäre Behebung besteht darin, die Office-Sicherheitsupdates von Microsoft für November 2026 sofort zu installieren. Office LTSC 2021-Installationen sollten auf Build 16.0.14334.21048 oder höher aktualisiert werden, während Office LTSC 2024-Installationen 16.0.17932.21140 oder höher ausführen sollten. Benutzer von Microsoft 365 Apps for Enterprise sollten überprüfen, ob ihr Wartungskanal die entsprechende aktuelle Sicherheitsveröffentlichung erhalten hat.

Da die Ausnutzung bereits stattfindet, sollten Organisationen die erfolgreiche Bereitstellung überprüfen, anstatt davon auszugehen, dass automatisierte Office-Updates jedes Gerät erreicht haben.

Administratoren sollten die folgenden Maßnahmen ergreifen:

• Inventarisieren Sie Microsoft Outlook-Installationen über verwaltete Endpunkte.
• Identifizieren Sie Microsoft 365 Apps-, Office LTSC 2021- und Office LTSC 2024-Systeme, die das November-Sicherheitsupdate nicht erhalten haben.
• Stellen Sie die korrigierten Builds sofort bereit und überprüfen Sie die Installation.
• Überprüfen Sie Endpunkte, die während der aktiven Ausnutzung verwundbar blieben.
• Blockieren Sie unnötigen ausgehenden SMB-Traffic ins Internet.
• Prüfen Sie ausgehende NTLM-Authentifizierung und reduzieren Sie die NTLM-Nutzung, wo immer es betrieblich möglich ist.
• Untersuchen Sie ungewöhnliche Outlook-zu-Netzwerk-Aktivitäten und unerwartete Authentifizierungsversuche.
• Bilden Sie Benutzer darin aus, keine unerbetenen Outlook-Nachrichtendateien oder Anhänge von nicht vertrauenswürdigen Quellen zu öffnen.

Das Blockieren von ausgehendem SMB auf TCP-Port 445 bietet eine wichtige zusätzliche Schutzschicht. Microsoft empfiehlt ausdrücklich, SMB-Traffic daran zu hindern, das Unternehmensnetzwerk zu verlassen, es sei denn, es besteht eine spezifische betriebliche Anforderung für im Internet gehostete SMB-Dienste.

Organisationen sollten auch in Erwägung ziehen, NTLM einzuschränken. Windows bietet die Richtlinie "Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers", die zunächst im Audit-Modus konfiguriert werden kann, um Abhängigkeiten zu identifizieren, bevor Administratoren mit dem Blockieren der Authentifizierung beginnen.

Das abrupte Deaktivieren von NTLM in einem gesamten Unternehmen kann Legacy-Anwendungen und Workflows unterbrechen. Organisationen sollten daher die Nutzung prüfen, legitime Abhängigkeiten identifizieren, erforderliche Ausnahmen implementieren und die Authentifizierung schrittweise zu Kerberos oder anderen stärkeren Mechanismen verschieben.

Wenn eine verdächtige Ausnutzung identifiziert wird, reicht die Installation des Updates allein nicht aus, um den Vorfall zu schließen. Sicherheitsteams sollten das betroffene Identitätssystem identifizieren und die Authentifizierungsaktivitäten überprüfen, die nach dem Öffnen der verdächtigen Nachrichtendatei stattgefunden haben. Suchen Sie nach ungewöhnlichen SMB-Verbindungen, Remote-Logins, lateraler Bewegung, Zugriff auf Dateifreigaben, VPN-Authentifizierung, Cloud-Logins und anderen Diensten, die die betroffenen Anmeldeinformationen akzeptieren.

Wo Hinweise darauf vorliegen, dass Authentifizierungsinformationen offengelegt oder erfolgreich missbraucht wurden, sollten das relevante Passwort zurückgesetzt und aktive Sitzungen gemäß den Identitäts-Antwortverfahren der Organisation widerrufen werden. Auch auf zusätzliche privilegierte Anmeldeinformationen, die dem betroffenen Konto zugänglich sind, sollte untersucht werden.

Endpunkt-, Proxy-, Firewall-, E-Mail-, EDR- und Identitätsprotokolle sollten vor der Behebung gesichert werden, wenn eine Kompromittierung vermutet wird. Die Korrelation dieser Quellen kann helfen, die Sequenz von der Phishing-Lieferung über die NTLM-Offenlegung und mögliche nachfolgende Authentifizierung zu rekonstruieren.

Warum es wichtig ist

CISA hat die Schwachstelle am 10. November in KEV aufgenommen und verlangt von anwendbaren Bundesbehörden, sie bis zum 24. November 2026 zu beheben. CISA listet die bekannte Nutzung durch Ransomware-Kampagnen als unbekannt auf. Microsoft hat keine kampagnenspezifischen IOCs für CVE-2026-124194 veröffentlicht, wie bösartige IP-Adressen, Domains, Anhänge-Hashes, Absenderadressen oder Dateinamen, die mit den beobachteten Angriffen verbunden sind. Die Identität der Angreifer und ihre Zielsetzung bleiben unoffengelegt. Das bedeutet, dass Organisationen derzeit verhaltensbasiertes Hunting priorisieren müssen, anstatt statisches IOC-Matching zu verwenden.

Quellen (auf Englisch)

• socprime.com: CVE-2026-124194: Outlook Zero-Day Exposes NTLM Hashes
• techrepublic.com: Microsoft Patches 1,235 Security Flaws: Outlook Zero-Day Already Under Attack
• gbhackers.com: Microsoft Outlook Zero-Day Vulnerability Actively Exploited to Steal NTLM Authentication Hashes
• cyberpress.org: Hackers Exploit Microsoft Outlook Zero-Day to Steal NTLM Credentials in Active Attacks

KI-Übersetzung des englischen Originalartikels, automatisch geprüft, damit sie dasselbe aussagt wie das Original. Die Quellen wurden auf Englisch geprüft.