CVE-2026-124194: Outlook-spoofing utnyttes – oppdater og kontroller Office-versjonen

Microsoft publiserte sikkerhetsoppdateringer for CVE-2026-124194 10. november 2026. Sårbarheten i Microsoft Office Outlook gjør det mulig for en uautentisert angriper å utføre spoofing over nettverket dersom det skjer en brukerinteraksjon. Microsoft 365 Apps for Enterprise samt Microsoft Office LTSC 2021 og 2024 er berørt. NVD vurderer sårbarheten til CVSS 3.1: 6.5 (middels); Microsoft angir at utnyttelse er oppdaget, og CISA la den til i KEV-katalogen 10. november 2026. Oppdateringer er tilgjengelige.

Det viktigste kort oppsummert

Berørte versjoner og oppdateringer

For Microsoft 365 Apps for Enterprise oppgir Microsoft blant annet følgende builds 10. november 2026: Current Channel 20527.20196, Monthly Enterprise Channel 20527.20194, 20430.20264 og 20326.20320 samt Semi-Annual Enterprise Channel 20527.20192, 20430.20262 og 20326.20318. Hvilket buildnummer som gjelder for en enhet, avhenger av oppdateringskanalen. Utgivelsesnotatene for Office-sikkerhetsoppdateringer knytter CVE-2026-124194 til Outlook.

Hva som er kjent om utnyttelsen

Microsoft oppfører CVE-2026-124194 i sikkerhetsoppdateringene fra 10. november 2026 som et tilfelle med oppdaget utnyttelse. CISA vurderer sårbarheten som aktivt utnyttet og la den til i KEV-katalogen samme dag. De åpne oppføringene fra Microsoft, NVD og CISA inneholder ingen opplysninger om angripere, målorganisasjoner, angrepskampanjer eller den tekniske fremgangsmåten for utnyttelsen.

CISA angir bruken i ransomware-kampanjer som «Unknown». CISA krever ingen forensisk triage i henhold til BOD 26-04 for denne KEV-oppføringen.

Umiddelbare tiltak

1. Kartlegg Office-versjoner: Fastslå oppdateringskanalen og installert buildnummer for Microsoft 365 Apps for Enterprise. Kontroller versjonen for Office LTSC 2021 og 2024 mot de korrigerte buildene i tabellen.

2. Installer sikkerhetsoppdateringer: Oppdater Microsoft 365 Apps for Enterprise til sikkerhetsnivået fra 10. november 2026. Oppdater Office LTSC 2021 til minst build 14334.21048 og Office LTSC 2024 til minst build 17932.21140.

3. Dokumenter oppdateringsstatus: Registrer produkt, arkitektur, oppdateringskanal, eksisterende buildnummer og tidspunktet for oppdateringen for hver enhet. Dette gjør det mulig å spore statusen for de berørte Office-installasjonene.

4. Håndter installasjoner som ikke kan oppdateres: CISA krever at amerikanske føderale myndigheter gjennomfører produsentens tiltak innen 24. november 2026, eller stanser bruken dersom ingen tiltak er tilgjengelige. For alle organisasjoner er dette en grunn til å erstatte eller ta Office-installasjoner som ikke kan oppdateres, ut av drift raskt.

De åpne produsent- og myndighetskildene nevner ingen teknisk midlertidig løsning, konfigurasjonsendring eller begrensning av et Outlook-administrasjonsgrensesnitt. Tiltaket mot denne sårbarheten er derfor å oppdatere den berørte Office-installasjonen.

Kontroll for kompromittering

Microsoft, NVD og CISA publiserer ingen Indicators of Compromise, filnavn, IP-adresser eller loggsignaturer for CVE-2026-124194 i de åpne kildene. Et kildebasert IOC-søk kan derfor ikke angis per 11. november 2026.

Kontroller likevel oppdateringsstatusen for alle berørte Office-installasjoner, og oppbevar eksisterende Endpoint- og e-postsikkerhetslogger i henhold til deres oppbevaringsregel. De tilgjengelige kildene beskriver ingen bakdør og ingen oppryddingstrinn etter vellykket utnyttelse. En oppdatering utbedrer sårbarheten, men gir ikke bevis på om en bestemt hendelse allerede er blitt misbrukt.

Vurdering

Organisasjoner og enkeltpersoner som bruker Outlook i Microsoft 365 Apps for Enterprise eller Office LTSC 2021 eller 2024, er berørt. Ifølge CVSS-vektoren krever sårbarheten brukerinteraksjon, men ingen rettigheter, og den kan utnyttes over nettverket. Oppføringen i CISA-KEV-katalogen viser at utnyttelse er kjent, og at oppdatering har prioritet.