CVE-2026-124194: Outlook-Spoofing wird ausgenutzt - Update und Prüfung der Office-Version

Microsoft hat am 10. November 2026 Sicherheitsupdates für CVE-2026-124194 veröffentlicht. Die Schwachstelle in Microsoft Office Outlook ermöglicht einem nicht angemeldeten Angreifer über das Netzwerk Spoofing, wenn eine Benutzerinteraktion erfolgt. Betroffen sind Microsoft 365 Apps for Enterprise sowie Microsoft Office LTSC 2021 und 2024. NVD bewertet die Lücke mit CVSS 3.1: 6.5 (Mittel); Microsoft kennzeichnet die Ausnutzung als erkannt, und CISA nahm sie am 10. November 2026 in den KEV-Katalog auf. Updates sind verfügbar.

Das Wichtigste in Kürze

Betroffene Versionen und Updates

Für Microsoft 365 Apps for Enterprise führt Microsoft am 10. November 2026 unter anderem diese Builds auf: Current Channel 20527.20196, Monthly Enterprise Channel 20527.20194, 20430.20264 und 20326.20320 sowie Semi-Annual Enterprise Channel 20527.20192, 20430.20262 und 20326.20318. Welche Buildnummer für ein Gerät gilt, richtet sich nach dessen Updatekanal. Die Office-Sicherheitsrelease-Notes ordnen CVE-2026-124194 Outlook zu.

Was über die Ausnutzung bekannt ist

Microsoft führt CVE-2026-124194 in den Sicherheitsupdates vom 10. November 2026 als Fall mit erkannter Ausnutzung. CISA bewertet die Schwachstelle als aktiv ausgenutzt und nahm sie am selben Tag in den KEV-Katalog auf. Die geöffneten Einträge von Microsoft, NVD und CISA enthalten keine Angaben zu Angreifern, Zielorganisationen, Angriffskampagnen oder zum technischen Ablauf der Ausnutzung.

CISA kennzeichnet den Einsatz in Ransomware-Kampagnen mit «Unknown». Eine forensische Triage nach BOD 26-04 verlangt CISA für diesen KEV-Eintrag nicht.

Sofortmassnahmen

1. Office-Versionen erfassen: Ermitteln Sie bei Microsoft 365 Apps for Enterprise den Updatekanal und die installierte Buildnummer. Prüfen Sie bei Office LTSC 2021 und 2024 die Version gegen die Fix-Builds in der Tabelle.

2. Sicherheitsupdates installieren: Stellen Sie Microsoft 365 Apps for Enterprise auf den Sicherheitsstand vom 10. November 2026. Aktualisieren Sie Office LTSC 2021 mindestens auf Build 14334.21048 und Office LTSC 2024 mindestens auf Build 17932.21140.

3. Update-Status dokumentieren: Halten Sie pro Gerät Produkt, Architektur, Updatekanal, vorhandene Buildnummer und Zeitpunkt der Aktualisierung fest. Damit lässt sich der Stand für die betroffenen Office-Installationen nachvollziehen.

4. Nicht aktualisierbare Installationen behandeln: CISA verlangt für US-Bundesbehörden die Umsetzung der Hersteller-Massnahmen bis zum 24. November 2026 oder die Einstellung der Nutzung, falls keine Massnahmen verfügbar sind. Für alle Organisationen ist dies ein Anlass, nicht aktualisierbare Office-Installationen zeitnah zu ersetzen oder ausser Betrieb zu nehmen.

Einen technischen Workaround, eine Konfigurationsänderung oder eine Einschränkung einer Outlook-Verwaltungsoberfläche nennen die geöffneten Hersteller- und Behördenquellen nicht. Die Massnahme gegen diese Schwachstelle ist deshalb das Update der betroffenen Office-Installation.

Prüfung auf Kompromittierung

Microsoft, NVD und CISA veröffentlichen für CVE-2026-124194 in den geöffneten Quellen keine Indicators of Compromise, keine Dateinamen, keine IP-Adressen und keine Logsignaturen. Eine quellengestützte IOC-Suche lässt sich daher mit Stand vom 11. November 2026 nicht vorgeben.

Prüfen Sie dennoch den Update-Status aller betroffenen Office-Installationen und bewahren Sie vorhandene Endpoint- und E-Mail-Sicherheitsprotokolle gemäss Ihrer Aufbewahrungsregel auf. Die verfügbaren Quellen beschreiben keine Hintertür und keine Bereinigungsschritte nach einer erfolgreichen Ausnutzung. Ein Update behebt die Schwachstelle, liefert jedoch keinen Nachweis darüber, ob ein bestimmter Vorgang bereits missbraucht wurde.

Einordnung

Betroffen sind Organisationen und Einzelpersonen, die Outlook innerhalb von Microsoft 365 Apps for Enterprise oder Office LTSC 2021 beziehungsweise 2024 einsetzen. Die Schwachstelle erfordert laut CVSS-Vektor Benutzerinteraktion, hat jedoch keine Voraussetzung für Berechtigungen und kann über das Netzwerk ausgenutzt werden. Die Aufnahme in den CISA-KEV-Katalog zeigt, dass Ausnutzung bekannt ist und die Aktualisierung Priorität hat.