Outlook-Zero-Day unter 1.094 von Microsoft geschlossenen Sicherheitslücken

Was passiert ist

Die Mitteilung des Unternehmens enthält keine Informationen zu den beobachteten Angriffen. Außerdem stellte das Unternehmen klar: „Diese Schwachstelle gibt den NTLMv2-Hash eines Benutzers an den Angreifer preis, der diesen nutzen könnte, um sich als der Benutzer zu authentifizieren.“

Die Schwachstelle war vor der Verfügbarkeit des Fixes nicht öffentlich bekannt. CVE-2026-124194 (die öffentliche Katalognummer für eine bestimmte Softwareschwachstelle) ist der Outlook-Zero-Day (eine Schwachstelle, die bereits vor Verfügbarkeit eines Fixes in Angriffen genutzt wird), für den Microsoft nach eigenen Angaben von einer aktiven Ausnutzung weiß. Microsoft ist ein Software- und Softwareentwicklungsunternehmen mit Sitz in Redmond. Der Zero-Day, unter CVE-2026-124194 geführt, wurde als Spoofing-Schwachstelle eingestuft und geht darauf zurück, dass Outlook Nutzer nicht warnt, bevor eine potenziell gefährliche Aktion ausgeführt wird. Microsoft hat ihm den Schweregrad „moderat“ und einen CVSS-Wert von 6,5 zugewiesen. Damit ein Angriff funktioniert, muss das Opfer laut Microsoft dazu gebracht werden, eine schädliche Datei zu öffnen. Die Schwachstelle lässt sich laut Microsoft nicht über das Vorschaufenster auslösen. Betroffen sind Microsoft 365 Apps for Enterprise, Office LTSC 2021 und Office LTSC 2024. Die Entdeckung wird in Microsofts Mitteilung einem Forscher mit dem Pseudonym „nono“ und Benoît Sevens zugeschrieben.