Outlook-Lücke CVE-2026-124194: Angriff lief schon vor dem Patch
Eine präparierte Nachrichtendatei konnte Outlook ohne Warnung mit einem Angreifer-Server verbinden und Windows-Anmeldedaten abgreifen. Microsoft hat die Lücke geschlossen.
SUMO· das Zahlenrätsel
Dialo· Sprachen lernen durch Sprechen
ediviewer· EDI-Dateien wie Dokumente lesen
giftdetect· das passende Geschenk in MinutenEine präparierte Nachrichtendatei, in Outlook geöffnet, konnte still und ohne die übliche Warnung Windows-Anmeldedaten an einen Angreifer-Server schicken. Microsoft hat die Outlook-Sicherheitslücke CVE-2026-124194 nun geschlossen. Ausgenutzt wurde sie schon vor dem Patch.
Die Korrektur steckt im November-Update, das Microsoft am 10. November (US-Zeit) veröffentlicht hat. Laut einer Warnung der japanischen JPCERT/CC verbindet sich Outlook beim Öffnen so einer Datei ohne die normale Warnung mit einem Server des Angreifers. Abfließen können Daten, die Windows für die Netzwerkauthentifizierung nutzt. Wer sie hat, kann sich unter Umständen als das Opfer ausgeben.
Mit dem bekannten E-Mail-Spoofing, bei dem die Absenderadresse gefälscht wird, hat das nichts zu tun. Der Vorgang spielt sich im Rechner des Empfängers ab.
Welche Outlook-Versionen sind betroffen?
Betroffen sind ungepatchte Versionen des klassischen Outlook für Windows in Microsoft 365 Apps for Enterprise, Office LTSC 2021 und Office LTSC 2024.
Wie schützt man sich vor CVE-2026-124194?
Spielen Sie die neuesten Sicherheitsupdates für Office samt Outlook ein, über Windows Update oder Microsoft Update. Im klassischen Outlook geht es teils auch manuell über Datei, Office-Konto, Updateoptionen, Jetzt aktualisieren. Die japanische IPA warnt, der Schaden könne sich ausweiten, und mahnt zu zügigem Update. Wird Ihr Rechner von der Firma verwaltet, gilt die Anweisung der IT-Abteilung.
Warum so viele Patches?
Das November-Update schließt nach CVE-Nummern 1.093 Lücken, 63 davon als kritisch eingestuft. Im November 2021 waren es 55, und die Sicherheitsfirma Tenable zählte für das gesamte Jahr 2025 insgesamt 1.130.
Das britische NCSC erklärte im Mai 2026, KI beschleunige das Auffinden von Schwachstellen, und riet zur Vorbereitung auf Patch-Wellen. Die Zeit zwischen Bekanntwerden einer Lücke und ihrer Ausnutzung beträgt demnach schon heute nur noch Tage und dürfte durch KI weiter schrumpfen. Verteidiger müssen jedes Loch stopfen, Angreifern genügt eines.
Apps, die sich lohnen
SUMO: das ZahlenrätselTippe die richtigen Felder, addiere, triff das Ziel. Leicht zu lernen, schwer zu meistern. Kostenlos, für jedes Alter.
Dialo: Sprachen lernen durch SprechenSprich mit einem KI-Gesprächspartner; jeder Satz kommt korrigiert und in deiner Sprache erklärt zurück. 9 Sprachen, A1 bis C2.
ediviewer: EDI-Dateien wie Dokumente lesenEDIFACT- und X12-Nachrichten öffnen, jedes Segment verständlich erklärt, in JSON/XML umwandeln, als PDF und Excel exportieren. Läuft lokal, kein Upload.
giftdetect: das passende Geschenk in MinutenWähle, für wen es ist, den Anlass und die Persönlichkeit. Die Suchmaschine liest Produktbeschreibungen lokaler Shops und sortiert, was passt. Kostenlos, ohne Anmeldung.
Mehr von diesem Tag
Alle anzeigen →
AMD Adrenalin 26.11.1 stoppt unnötige SSD-Schreibzugriffe
Apple Support Community schließt nach 28 Jahren für immer
Nāpōwawāʻenakaulua: Quasar-Paar, das es so früh nicht geben dürfte
Linky-Zähler ablehnen? EuGH-Urteil und Starship-Flug 15
Mehr aus: Sicherheit
Alle anzeigen →
Cyber Security Cloud: GitHub-Zugang geleakt, Kundendaten womöglich betroffen
wfx-loot: Angriff auf 61.000 GitHub-Repos stahl Secrets
SignDrop: Windows-Zero-Day nutzt Defender für System-Rechte
