Outlook-Lücke CVE-2026-124194: CISA setzt Frist bis 24. November

Microsoft hat im November-2026-Patch-Tuesday ein Rekord-Bündel an Sicherheitsaktualisierungen veröffentlicht. Die Zählungen der Sicherheitsbeobachter divergieren dabei: Rapid7 nennt 1.092 Schwachstellen in Microsoft-Produkten, darunter 745 in Windows.

Die offiziellen Release-Notes von Microsoft verzeichnen hingegen 1.094 CVEs, während einige Medien von 1.235 und das SANS Internet Storm Center von 1.260 Schwachstellen berichten.

Laut SANS finden sich unter den behobenen Fehlern 68 kritische Schwachstellen sowie 167 Chromium-Probleme im Browser Edge. Security Affairs meldete zudem 30 potenziell wurmfähige Lücken und wies darauf hin, dass die Gesamtzahl unter den rund 1.400 des Vormonats liege.

Verteilung der Schwachstellen und kritische Einstufungen

Die Verteilung der 1.094 CVEs aus den Release-Notes von Microsoft erstreckt sich auf Windows mit 726, Office mit 174, SQL Server mit 59 und Developer Tools mit 53 Schwachstellen. Auf SharePoint Server entfallen 27, auf Azure 20, auf Exchange Server 9 und auf Defender eine Schwachstelle.

Als kritisch stufte Microsoft unter anderem die Schwachstellen LDAP CVE-2026-119958 mit einem CVSS-Wert von 9.8, Windows Search CVE-2026-116928 (CVSS 9.8), SharePoint CVE-2026-120002 (CVSS 9.9), SQL Server CVE-2026-116945 (CVSS 9.8) und ASP.NET Core CVE-2026-114146 in SignalR (CVSS 9.0) ein.

Weitere kritische Einstufungen betreffen Exchange CVE-2026-118207 (CVSS 8.8), AD DS CVE-2026-118146 (CVSS 8.8), IIS CVE-2026-119961 (CVSS 8.1) sowie Schannel CVE-2026-119952 (CVSS 8.1).

Aktiv ausgenutzte Outlook-Lücke und behördliche Fristen

Die einzige als aktiv ausgenutzt markierte Lücke ist CVE-2026-124194, ein Outlook-Spoofing-Problem nach CWE-356 mit einem CVSS-Wert von 6.5 und der Microsoft-Einstufung Moderate.

Das Öffnen einer präparierten Nachrichtendatei veranlasst Windows-Outlook ohne die übliche Warnung dazu, eine Verbindung zu einem Server von Angreifern aufzubauen und den NTLMv2-Hash preiszugeben, was einen Identitätsdiebstahl ermöglicht.

Wer sich mit dem Thema Outlook-Sicherheit befasst, sollte auch die grundlegenden Einstellungen für eine effiziente und sichere Kommunikation kennen. Dieser kostenlose Ratgeber zeigt Ihnen, wie Sie das Programm optimal konfigurieren und typische Fehler vermeiden. Gratis Outlook-Spezialkurs jetzt sichern

Der Vorschaubereich stellt keinen Angriffsvektor dar. Betroffen sind Windows-Outlook in Microsoft 365 Apps for Enterprise, Office LTSC 2021 mit dem Update 16.0.14334.21048 und Office LTSC 2024 mit der Fehlerbehebung 16.0.17932.21140.

Die CISA nahm CVE-2026-124194 am 10.11.2026 in den KEV-Katalog auf und setzte US-Bundesbehörden eine Frist zur Umsetzung bis zum 24.11.2026. Microsoft nannte weder Angreifer noch das Ausmaß der Aktivität. Laut CISA ist eine Ransomware-Nutzung unbekannt, und ein offizieller Zusammenhang mit dem Ausfall von Microsoft 365 vom 12.11.2026 besteht nicht.

Installationsprobleme und außerplanmäßige Notfall-Updates

Für Windows-Clients veröffentlichte Microsoft die Pflicht-Updates KB5132061 für Windows 11 in den Versionen 26H2, 25H2 und 24H2 sowie KB5131087 für 23H2 und KB5131096 für Windows 10 ESU. Bei der Installation von KB5132061 traten die Fehlercodes 0x800f0993 und 0x800f0989 auf, für die ein automatischer Fix im Hintergrund verteilt wurde.

Ein Klick auf den falschen Link oder ein fehlerhaftes Update kann weitreichende Folgen haben – umso wichtiger ist ein optimal konfigurierter Basisschutz. Erfahren Sie in dieser Experten-Anleitung, wie Sie die bereits integrierten Sicherheitswerkzeuge Ihres PCs ohne Zusatzkosten richtig einstellen. Kostenlosen Sicherheits-Report herunterladen

Zudem veröffentlichte Microsoft fünf kumulative Notfall-Out-of-Band-Updates gegen Aktivierungs- und Lizenzierungsfehler mit dem Code 0x80041008, die vor allem automatisierte Aktivierungstools und SLMGR betrafen: KB5136489 für Windows Server 2025, KB5136487 für Server 2022, KB5136490 für Server 2019 und Windows 10 Enterprise LTSC 2019, KB5136483 für Windows 11 23H2 sowie KB5136493 für Windows 10 22H2 ESU und Enterprise LTSC 2021. Zu den weiteren bekannten Problemen zählten Druckfehler bei Bildern ohne Abmessungen, Störungen von Windhawk-Modifikationen sowie Inkompatibilitäten bei PowerShell-Skripten.

Hohes Update-Volumen im Jahresverlauf

Rapid7 stellte fest, dass die monatliche Patch-Summe den zweiten Monat in Folge über den Gesamtsummen aller Vorjahre lag. Microsofts Gesamtjahr 2026 umfasst mehr als 5.100 Sicherheitsfixes. Laut VulnCheck erreichte die weltweite CVE-Gesamtzahl für 2026 am 13.11.2026 den Stand von 100.222, wovon 1,4% (1.363) im KEV-Katalog verzeichnet waren.

Am 10.11.2026 endete zudem die Unterstützung für .NET 8 und .NET 9, während .NET 10 und .NET 11 bis zum 14.11.2028 gepflegt werden. Wegen der anstehenden Feiertage kündigte Microsoft an, in der zweiten Dezemberhälfte 2026 keine nicht-sicherheitsrelevanten Vorschau-Updates zu veröffentlichen.