CVE-2026-124194: Microsoft Outlook Zero-Day ausgenutzt, um NTLM-Hashes zu stehlen

Microsoft hat CVE-2026-124194 gepatcht, eine aktiv ausgenutzte Zero-Day-Schwachstelle in Microsoft Outlook, die die NTLMv2-Authentifizierungsinformationen eines Benutzers preisgeben kann, wenn eine speziell gestaltete Nachrichten-Datei geöffnet wird. Microsoft klassifiziert das Problem als eine Spoofing-Schwachstelle und bewertet es mit einem moderaten CVSS 3.1-Score von 6.5.

Die Schwachstelle ermöglicht einem nicht authentifizierten externen Angreifer, eine schädliche Nachrichten-Datei zu senden und ein Opfer zu überzeugen, sie in einer betroffenen Outlook-Version zu öffnen. Outlook kann dann eine Verbindung zu einem angreiferkontrollierten Netzwerkort herstellen, ohne die externe Inhaltswarnung anzuzeigen, die Benutzer normalerweise erwarten würden. Während dieser Verbindung kann Windows NTLMv2-Authentifizierungsinformationen offenlegen, die möglicherweise missbraucht werden können, um das Opfer zu imitieren.

Kontakt Vertrieb

Microsoft bestätigte, dass CVE-2026-124194 bereits in Angriffen ausgenutzt wurde. Das Unternehmen hat jedoch keine Angaben zu den beteiligten Bedrohungsakteuren, zum Umfang der Kampagne, zu betroffenen Organisationen, zur Verteilungsinfrastruktur oder dazu gemacht, ob das gestohlene Authentifizierungsmaterial für anschließende laterale Bewegungen oder Kontoübernahmen genutzt wurde.

Der Fehler wurde im Rahmen von Microsofts Patch Tuesday für November 2026 am 10. November behoben. Betroffene Produkte umfassen Microsoft 365 Apps für Unternehmen, Microsoft Office LTSC 2021 und Microsoft Office LTSC 2024 auf beiden 32-Bit- und x64-Systemen.

CISA fügte die Schwachstelle am 10. November seinem Katalog der bekannten ausgenutzten Schwachstellen hinzu, bestätigte Beweise für aktive Ausnutzung und setzte den 24. November 2026 als Frist für die Behebung durch betroffene US-Bundesbehörden fest.

Sicherheitsteams können die KI-nativen Erkennungsintelligenz-Plattform von SOC Prime nutzen, um Bedrohungsinformationen zu operationalisieren, verdächtige Outlook- und NTLM-Aktivitäten zu identifizieren und die Erkennungsentwicklung und Bedrohungsjagd in SIEM-, EDR-, XDR- und Data-Lake-Umgebungen zu beschleunigen.

Erkennen Sie CVE-2026-124194, indem Sie Outlook-Aktivitäten mit unerwarteten ausgehenden SMB-Verbindungen, NTLM-Authentifizierungsversuchen zu externen Systemen, verdächtigen Nachrichten-Dateiausführungen und nachfolgendem Missbrauch von Anmeldedaten oder Identitäten in Beziehung setzen.

Erkennungsinhalte sind möglicherweise nicht für jedes CVE verfügbar. Überprüfen Sie die SOC Prime-Plattform auf aktuelle Abdeckung. Wenn relevante Erkennungen noch nicht verfügbar sind, überprüfen Sie erneut, da kontinuierlich neue Bedrohungsinformationen und Erkennungsinhalte hinzugefügt werden.

CVE-2026-124194-Analyse

CVE-2026-124194 betrifft Microsoft 365 Apps für Unternehmen, Microsoft Office LTSC 2021 und Microsoft Office LTSC 2024. Microsoft weist der Schwachstelle einen CVSS 3.1-Score von 6.5 mit dem Vektor AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N zu, was auf die ferne Erreichbarkeit, die geringe Angriffs-Komplexität, die nicht erforderlichen Angreiferprivilegien, die notwendige Benutzerinteraktion und den hohen Vertraulichkeitsauswirkungen hinweist.

Die Schwachstelle wird unter CWE-356, Produkt-UI warnt den Benutzer nicht vor unsicheren Aktionen, klassifiziert. In praktischen Anwendungen zeigt Outlook nicht die Warnung an, die normalerweise einen Benutzer alarmieren sollte, bevor die Anwendung potenziell gefährliche externe Inhalte aufruft.

Die Ausnutzung beginnt mit einer speziell gestalteten Outlook-Nachrichten-Datei, die dem Ziel zugestellt wird. Der Angreifer benötigt kein Konto im System des Opfers oder im Microsoft 365-Mandanten, aber das Opfer muss die bösartige Datei öffnen. Microsoft gibt an, dass das Vorschaubild keine Angriffsvektor ist, was bedeutet, dass das bloße Anzeigen der Nachricht in der Outlook-Vorschau nicht ausreicht.

Sobald die Datei geöffnet wird, kann Outlook eine Verbindung zu einem vom Angreifer kontrollierten Netzwerkort herstellen, ohne die übliche Warnung vor externen Inhalten anzuzeigen.

Dies ist bedeutsam, da Windows-Umgebungen automatisch versuchen können, eine NTLM-Authentifizierung durchzuführen, wenn sie auf Remote-Ressourcen zugreifen. Der resultierende Herausforderung-Antwort-Austausch kann den NTLMv2-Authentifizierungshash des Benutzers an den entfernten Server offenlegen.

Ein NTLMv2-Hash ist nicht das Klartextpasswort des Benutzers. Der Besitz von Authentifizierungsmaterial kann jedoch je nach Umgebung und den Fähigkeiten des Angreifers mehrere Folgerisiken schaffen. BleepingComputer stellt fest, dass erfasste Hashes möglicherweise einem Offline-Passwort-Cracking unterzogen werden können, während Microsofts Warnung darauf hinweist, dass die geleakten Authentifizierungsinformationen möglicherweise verwendet werden können, um sich als das Opfer zu authentifizieren.

Dies macht die Schwachstelle besonders relevant für Unternehmensumgebungen, die immer noch stark auf NTLM für Dateifreigaben, Legacy-Anwendungen, Remote-Ressourcen oder interne Authentifizierungsabläufe angewiesen sind.

Der CVSS-Score von 6.5 mag für einen aktiv ausgenutzten Zero-Day auf den ersten Blick relativ moderat erscheinen. Der Score spiegelt die Tatsache wider, dass für die Ausnutzung eine Benutzerinteraktion erforderlich ist und hauptsächlich die Vertraulichkeit betrifft, anstatt direkt eine Codeausführung, Integritätsverlust oder Dienstunterbrechung zu liefern.

Das operative Risiko ist jedoch erheblich höher, da Microsoft bereits eine Ausnutzung beobachtet hat und CISA die Schwachstelle unabhängig von KEV hinzugefügt hat. Sicherheitsteams sollten daher den Ausnutzungsstatus über den CVSS alleine priorisieren, wenn sie die Dringlichkeit der Behebung bestimmen.

Der CVE-Eintrag identifiziert die folgenden betroffenen und behobenen Versionen:

Sowohl 32-Bit- als auch x64-Installationen sind betroffen. Organisationen, die Microsoft 365 Apps verwenden, sollten sich auf die Informationen zu Microsofts Office-Sicherheits-Releases stützen, da sich die Build-Nummern über die Servicekanäle hinweg unterscheiden.

Microsoft veröffentlichte CVE-2026-124194 am 10. November 2026 und stellte die entsprechenden Sicherheitsupdates über den Patch Tuesday bereit. Die Schwachstelle wurde nicht öffentlich bekannt, bevor ein Fix verfügbar war.

Microsoft dankt einem Forscher mit dem Pseudonym „nono“ und dem Sicherheitsforscher Benoît Sevens für das Entdecken oder Melden des Problems. SecurityWeek stellt fest, dass Microsofts Anerkennung für Sevens auf die Verwendung des Claude AI-Modells von Anthropic während der Forschung verweist. Die verfügbaren Quellen geben nicht das genaue Datum an, an dem die Schwachstelle privat entdeckt oder ursprünglich Microsoft gemeldet wurde.

Der PoC-Landschaft zu CVE-2026-124194 bleibt weniger wichtig als der bestätigte Ausnutzungsstatus. Microsoft und die beiden bereitgestellten Berichte bieten keinen öffentlichen Exploit-Code oder detaillierte Reproduktionsanweisungen. Einige Drittexploit-Aggregatoren haben widersprüchliche Signale bezüglich neu veröffentlichter Proof-of-Concept-Materialien geliefert, daher sollten Verteidiger sich nicht auf die Verfügbarkeit öffentlicher PoCs verlassen, wenn sie das Risiko einschätzen. Eine aktive Ausnutzung wurde bereits unabhängig von Microsoft und CISA festgestellt.

Zur Erkennung von CVE-2026-124194 sollten Verteidiger Endpunkt- und Netzwerkaktivitäten zusammen überwachen. Ein besonders wertvolles Signal ist, wenn OUTLOOK.EXE SMB-Verkehr zu einem externen oder vorher unsichtbaren Ziel kurz nach dem Öffnen einer Outlook-Nachrichten-Datei initiiert.

Ausgehender TCP-Port-445-Verkehr verdient besondere Aufmerksamkeit. Microsoft empfiehlt, ausgehenden SMB-Verkehr ins Internet als allgemeines Abwehr-in-der-Tiefe-Kontrolle zu blockieren, da dies verhindern kann, dass interne Geräte SMB-Daten direkt an externe Hosts senden.

Sicherheitsteams können auch Microsofts NTLM-Operationsprotokoll unter Anwendungen und Dienste / Microsoft / Windows / NTLM überprüfen und ausgehende NTLM-Authentifizierung prüfen. Microsoft bietet eine Policy, die speziell dafür vorgesehen ist, ausgehenden NTLM-Verkehr zu entfernten Servern zu prüfen oder zu verweigern.

Nützliche Verhaltens-jagd-Drehpunkte umfassen:

• Unerwartete externe SMB-Verbindungen von Outlook initiiert.
• NTLM-Authentifizierungsversuche zu Internetzielen.
• Erfolgreiche Authentifizierung bei internen Diensten kurz nach verdächtigen Outlook-Aktivitäten.
• Nachrichten-Datei-Aktivität, die mit ungewöhnlichen externen Netzwerkverbindungen verbunden ist.
• Wiederholte Authentifizierungsversuche mit derselben kompromittierten Identität.
• Neue Anmeldungen von Systemen oder IP-Adressen, die nicht mit der normalen Aktivität des Benutzers übereinstimmen.

Verteidiger sollten vermeiden, jede ausgehende SMB- oder NTLM-Verbindung als Ausbeutungsbeweis zu behandeln. Beide Technologien können in Unternehmensumgebungen immer noch legitimerweise existieren. Die stärksten Erkennungen korrelieren Outlook-Aktivität, Ziel-Reputation, Benutzerinteraktion, NTLM-Telemetrie und nachfolgendes Authentifizierungsverhalten.

Microsoft hat keine kampagnespezifischen CVE-2026-124194-IOCs wie bösartige IP-Adressen, Domains, Anhangs-Hashes, Absenderadressen oder Dateienamen veröffentlicht, die mit den beobachteten Angriffen verbunden sind. Die Identität der Angreifer und deren Zielsetzung bleiben unklar.

Das bedeutet, dass Organisationen derzeit verhaltensbasierte Jagd anstatt statischer IOC-Matching priorisieren müssen.

CVE-2026-124194-Abschwächung

Die hauptsächliche Maßnahme zur Behebung besteht darin, die Microsoft Office-Sicherheitsupdates vom November 2026 sofort zu installieren.

Office LTSC 2021-Installationen sollten auf Build 16.0.14334.21048 oder höher aktualisiert werden, während Office LTSC 2024-Installationen auf Build 16.0.17932.21140 oder höher laufen sollten. Benutzer von Microsoft 365 Apps für Unternehmen sollten überprüfen, ob ihr Servicekanal das entsprechende aktuelle Sicherheitsupdate erhalten hat.

Da die Ausbeutung bereits stattfindet, sollten Organisationen den erfolgreichen Einsatz überprüfen, anstatt davon auszugehen, dass automatisierte Office-Updates jedes Gerät erreicht haben.

Administratoren sollten folgende Maßnahmen ergreifen:

1. Inventarisierung von Microsoft Outlook-Installationen über verwaltete Endpunkte hinweg.
2. Identifizieren Sie Microsoft 365 Apps, Office LTSC 2021 und Office LTSC 2024-Systeme, die das November-Sicherheitsupdate nicht erhalten haben.
3. Stellen Sie die korrigierten Builds sofort bereit und überprüfen Sie die Installation.
4. Überprüfen Sie Endpunkte, die während der aktiven Ausnutzung verwundbar blieben.
5. Blockieren Sie unnötigen ausgehenden SMB-Verkehr ins Internet.
6. Prüfen Sie ausgehende NTLM-Authentifizierungen und reduzieren Sie die NTLM-Nutzung, wo immer es operativ möglich ist.
7. Untersuchen Sie ungewöhnliche Outlook-zu-Netzwerk-Aktivitäten und unerwartete Authentifizierungsversuche.
8. Schulen Sie Benutzer, keine unerwünschten Outlook-Nachrichten-Dateien oder Anhänge von unzuverlässigen Quellen zu öffnen.

Das Blockieren von ausgehendem SMB auf TCP-Port 445 bietet eine wichtige zusätzliche Schutzschicht. Microsoft empfiehlt ausdrücklich, zu verhindern, dass SMB-Daten das Unternehmensnetzwerk verlassen, es sei denn, es gibt einen spezifischen operativen Bedarf an internetbasierten SMB-Diensten.

Organisationen sollten auch in Erwägung ziehen, NTLM einzuschränken. Windows bietet die Netzwerksicherheit: NTLM einschränken: Ausgehender NTLM-Verkehr zu entfernten Servern Policy, die zunächst im Prüfmodus konfiguriert werden kann, um Abhängigkeiten zu identifizieren, bevor Administratoren beginnen, die Authentifizierung zu blockieren.

Abruptes Deaktivieren von NTLM in einem Unternehmen kann Legacy-Anwendungen und Workflows unterbrechen. Organisationen sollten daher die Nutzung prüfen, legitime Abhängigkeiten identifizieren, erforderliche Ausnahmen implementieren und die Authentifizierung schrittweise zu Kerberos oder anderen stärkeren Mechanismen bewegen.

Wenn verdächtige Ausnutzung identifiziert wird, reicht das bloße Installieren des Updates nicht aus, um den Vorfall abzuschließen.

Sicherheitsteams sollten die betroffene Identität identifizieren und die Authentifizierungsaktivität überprüfen, die nach dem vermeintlichen Öffnen der Nachrichten-Datei erfolgt. Suchen Sie nach ungewöhnlichen SMB-Verbindungen, Remote-Anmeldungen, lateralen Bewegungen, Zugriffen auf Dateifreigaben, VPN-Authentifizierungen, Cloud-Anmeldungen und anderen Diensten, die die betroffenen Anmeldeinformationen akzeptieren.

Wenn Beweise darauf hindeuten, dass Authentifizierungsinformationen offengelegt oder erfolgreich missbraucht wurden, setzen Sie das relevante Passwort zurück und widerrufen Sie aktive Sitzungen gemäß den Identitätsreaktionspraktiken der Organisation. Zusätzliche privilegierte Anmeldeinformationen, die für das betroffene Konto zugänglich sind, sollten ebenfalls untersucht werden.

Endpunkte, Proxies, Firewalls, E-Mails, EDR- und Identitätslogs sollten vor der Behebung aufbewahrt werden, wenn ein Kompromiss vermutet wird. Die Korrelation dieser Quellen kann helfen, die Sequenz von der Phishing-Zustellung über die NTLM-Offenlegung bis zur möglicherweise anschließenden Authentifizierung zu rekonstruieren.

CISA fügte die Schwachstelle am 10. November KEV hinzu und fordert anwendbare Bundesbehörden auf, sie bis zum 24. November 2026 zu beheben. CISA nennt bekannte Ransomware-Kampagnennutzung als unbekannt.