Microsoft-Patchday soll helfen: Outlook-Lücke wird bereits angegriffen

Microsoft hat beim Patchday Sicherheitsupdates für Windows, Office und weitere Produkte veröffentlicht. Dem Bericht von "heise" zufolge wurden dabei knapp 1100 Sicherheitslücken geschlossen. Besonders dringlich ist eine Schwachstelle in Outlook: Sie wird bereits von Angreifer:innen ausgenutzt. Microsoft hat außerdem Lücken in Windows, Excel und weiteren Diensten behoben.

Die Outlook-Lücke trägt die Kennung CVE-2026-124194. Für einen Angriff schicken Täter:innen eine E-Mail mit einer präparierten Office-Datei. Öffnen Empfänger:innen die Nachricht, kann Outlook eine Verbindung zu einem vom Angreifer kontrollierten Netzwerkstandort aufbauen – ohne die sonst übliche Warnung vor externen Inhalten. Microsoft stuft die Schwachstelle als "mittel" ein; Angreifer:innen müssen sich vor dem Angriff nicht anmelden.

Outlook-Lücke wird aktiv ausgenutzt

Die Schwachstelle kann Angreifenden ermöglichen, einen NTLMv2-Hash mit Authentifizierungsinformationen abzugreifen. Damit können sie sich laut dem Bericht im Namen des Opfers authentifizieren. Wichtig: Das Problem soll nicht ausgelöst werden, wenn die E-Mail nur in der Vorschau angezeigt wird. Das Öffnen einer Nachricht mit einer präparierten Datei kann den Angriff jedoch ermöglichen.

Der Bericht von "heise" empfiehlt IT-Admins, sicherzustellen, dass Windows Update aktiv ist und die aktuellen Sicherheitspatches installiert sind. Das gilt angesichts der Vielzahl an geschlossenen Lücken für die betroffenen Microsoft-Produkte. Welche Updates im Einzelfall gebraucht werden, hängt davon ab, welche Programme und Dienste in einer Organisation eingesetzt werden.

Auch in den News:

• Schwarz-Rot verschiebt Zuckersteuer

• Weitere Affäre? Möglicher Chefwechsel lässt Nvidia-Aktie fallen

• Erstickungsgefahr: Tonies ruft Helene-Fischer-Figur zurück

Auch Windows-Suche und Excel betroffen

Neben Outlook gibt es weitere schwerwiegende Sicherheitslücken. Eine Schwachstelle in der Windows-Suchkomponente wird von Microsoft als "kritisch" eingestuft. Angreifer:innen können dabei Exchange Server als Einfallstor nutzen und eine manipulierte E-Mail an betroffene Systeme schicken. Der Suchindexer verarbeitet den präparierten Anhang automatisch; Empfänger:innen müssen die Nachricht nicht einmal öffnen. Ein Speicherfehler kann dazu führen, dass Schadcode mit den Rechten des Indexierungsdienstes ausgeführt wird.

Zudem nennt der Bericht zahlreiche Lücken in Excel. Eine davon, CVE-2026-118701, bewertet Microsoft mit "hoch". Angreifer:innen können darüber ebenfalls Schadcode ausführen und Systeme kompromittieren. Weitere Sicherheitsupdates betreffen Azure, ActiveX, Hyper-V, .NET und verschiedene Windows-Komponenten. Eine vollständige Übersicht der behobenen Fehler stellt Microsoft im "Security Update Guide" bereit.