Microsoft-Patchday: Die Outlook-Lücke solltet ihr nicht liegen lassen

Hallo, hier ist wieder Kora. Patchday-Meldungen gehören bei uns im Blog fast schon zum Monatsrhythmus – aber diesmal lohnt sich ein genauerer Blick, denn eine der geschlossenen Lücken wird laut Microsoft bereits aktiv angegriffen.

Eine Mail reicht – und zwar wirklich nur eine

Im Zentrum steht eine Outlook-Schwachstelle (CVE-2026-124194). Das Angriffsmuster ist unangenehm simpel: Es kommt eine Mail mit einer präparierten Office-Datei herein. Wird die Nachricht geöffnet, baut Outlook im Hintergrund eine Verbindung zu einem Server der Angreifer auf – und zwar ohne die sonst übliche Rückfrage, ob externe Inhalte geladen werden dürfen. Dabei wandert der NTLMv2-Hash des Nutzers nach draußen, also ein Zugangsnachweis, mit dem sich Angreifer anschließend im Namen des Opfers anmelden können.

Microsoft stuft den Bedrohungsgrad offiziell nur als „mittel“ ein. Ich würde mich davon nicht beruhigen lassen: Wenn eine Lücke bereits in freier Wildbahn ausgenutzt wird, ist die CVSS-Einordnung zweitrangig. Immerhin gibt es eine kleine Entwarnung – wer Mails ausschließlich in der Vorschau anzeigt, löst den Fehler laut Microsoft nicht aus. Als Schutzstrategie taugt das aber bestenfalls als Übergangslösung bis zum Patch.

Noch unangenehmer: die Windows-Suchkomponente

Fast noch spannender finde ich CVE-2026-116928 in der Windows-Suchkomponente, von Microsoft als kritisch eingestuft. Hier braucht es keinerlei Authentifizierung und auch keine Interaktion des Empfängers. Eine manipulierte Mail an ein betroffenes System genügt, Exchange Server kann dabei als Einfallstor dienen. Der Suchindexer verarbeitet den präparierten Anhang automatisch, es kommt zu einem Speicherfehler, und Schadcode läuft mit den Rechten des Indexierungsdiensts. Von dort ist der Weg zu nachgeladener Spyware kurz.

Das ist genau die Sorte Lücke, die uns in Rechenzentrums- und Hosting-Umgebungen nervös macht: kein Klick, kein Nutzerfehler, einfach eine Mail, die auf dem Server landet. Wer Exchange noch selbst betreibt, sollte diesen Patch ganz oben auf die Liste setzen.

Und sonst so?

Der Rest des Patchdays ist der übliche breite Strauß. Mehrere Excel-Lücken – darunter CVE-2026-118701 mit dem Grad „hoch“ – erlauben ebenfalls das Ausführen von Schadcode und damit potenziell die Übernahme eines Systems. Dazu kommen Updates für Azure, ActiveX, Hyper-V, .NET und diverse Windows-Komponenten. Die komplette Liste führt Microsoft wie immer im Security Update Guide.

Was wir euch empfehlen

• Nicht aufschieben: Bei aktiv ausgenutzten Lücken ist „nächstes Wartungsfenster in drei Wochen“ keine gute Antwort. Wenn ihr ein Notfall-Patchverfahren habt, ist jetzt der Moment dafür.
• Exchange-Server zuerst: Systeme, die Mails automatisiert verarbeiten, sind bei CVE-2026-116928 die primäre Angriffsfläche.
• NTLM nach draußen blockieren: Ausgehende SMB-Verbindungen ins Internet (Port 445) gehören ohnehin an der Firewall dicht. Das nimmt Hash-Leak-Angriffen wie bei der Outlook-Lücke viel von ihrer Wirkung.
• Windows Update nicht deaktivieren: Klingt banal, ist aber in der Praxis immer noch einer der häufigsten Gründe, warum Systeme Monate hinterherhinken.
• Inventar prüfen: Wisst ihr, welche Clients und Server bei euch Office-Dateien verarbeiten? Wenn nicht, ist der Patchday ein guter Anlass, das einmal sauber zu erfassen.

Unterm Strich: Der Monat bringt nichts, was die IT-Welt aus den Angeln hebt – aber mit einer bereits ausgenutzten Outlook-Lücke und einer Zero-Click-Schwachstelle im Suchindexer sind zwei Kandidaten dabei, die ich persönlich nicht liegen lassen würde.

Bleibt gepatcht, eure Kora

Quelle: t3n