Microsoft behebt Zero-Day im Outlook mit NTLM-Hash-Leak

Microsoft veröffentlichte am Dienstag (10.) das Sicherheitspaket für November mit einer einzigen ausgenutzten Schwachstelle: der CVE-2026-124194, einem Spoofing-Bug im Outlook, der dem Angreifer den NTLM-Hash des Kontos des Opfers liefert. Microsoft selbst stuft die Schwachstelle als "moderat" ein, und genau diese Bewertung fordern Forscher von den Sicherheits-Teams, zu ignorieren.

Laut der Analyse von Rapid7 reicht es aus, eine präparierte Nachricht zu öffnen, damit Outlook sich stillschweigend mit einem kontrollierten Server verbindet und den NTLMv2-Hash des Benutzers offenlegt. Dustin Childs von der Zero Day Initiative beschreibt dasselbe Verhalten und hebt ein operatives Detail hervor: Die Verbindung erfolgt ohne die Benachrichtigung über externen Inhalt, die normalerweise den Benutzer warnt. Für Childs ist es ein Fehler, die Priorität des Patches aufgrund der niedrigen Bewertung herabzustufen.

Warum ein Hash mehr wert ist als die Bewertung vermuten lässt

Ein NTLMv2-Hash ist kein Passwort, funktioniert jedoch als Schlüssel in Windows-Umgebungen, die das Protokoll noch akzeptieren. Damit kann der Angreifer versuchen, das Passwort offline zu knacken oder die Authentifizierung für andere Dienste im Netzwerk weiterzuleiten, eine Technik, die als Relay bekannt ist. Rapid7 behauptet, dass die offizielle Bewertung den Wert der Schwachstelle sowohl für gewöhnliche Kriminelle als auch für gezielte Operationen unterschätzt.

Der Standard hat eine Vorgeschichte. Die CVE-2023-23397, eine andere Schwachstelle im Outlook, die NTLM-Anmeldeinformationen preisgab, wurde seit mindestens April 2022 als Zero-Day ausgenutzt, fast ein Jahr bevor der Patch verfügbar war. Der Unterschied besteht jetzt darin, dass das Opfer die Datei öffnen muss; 2023 genügte es, die Nachricht zu erhalten. Die Notwendigkeit zur Interaktion reduziert den Umfang eines Massenausfalls, spielt jedoch bei einer Kampagne, die sich auf wenige Postfächer von Führungskräften konzentriert, eine geringe Rolle.

Das Volumen, das die Patch-Teams unter Druck setzt

Die Größe des Pakets selbst wurde zur Nachricht. Tenable zählt 1.093 behobene Schwachstellen, 63 davon als kritisch eingestuft. BleepingComputer berichtet von 1.235 Schwachstellen, wobei diese Zahl laut der Veröffentlichung eine andere Zählmethode verfolgt. Andere Erhebungen kommen auf 1.094. Egal wie man zählt, es ist ein Volumen, das kein Patch-Team vorher testen kann, bevor es angewendet wird.

Unter den kritischen Schwachstellen benötigen drei sofortige Aufmerksamkeit von den Infrastrukturverwaltern. Die CVE-2026-119952 ermöglicht die Remote-Code-Ausführung im Schannel, dem Windows-Komponenten, das TLS implementiert, und erhielt eine CVSS-Bewertung von 8,1 laut Cisco Talos, bei hoher Angriffscomplexität. Im Update-Leitfaden von Microsoft wird die Schwachstelle mit maximaler Schwere als kritisch gekennzeichnet, ein Etikett, das auch Tenable in seiner Prioritätenliste verwendet. Die Zero Day Initiative klassifiziert zwei weitere als Zero-Click: die CVE-2026-116928 im Windows Search und die CVE-2026-119958 im Windows LDAP. Zero-Click-Schwachstellen erfordern keine Benutzeraktion, was sie zu natürlichen Kandidaten für Massenangriffe macht, sobald ein öffentlicher Proof of Concept verfügbar ist.

Zum Zeitpunkt der Fertigstellung dieses Artikels verzeichneten die konsultierten Analysen keine aktiven Ausnutzungen der kritischen Schwachstellen, nur der CVE-2026-124194 im Outlook.

Wo das Risiko in der Operation sinkt

Die Prioritätsreihenfolge, die sich in den Analysen von Rapid7, Tenable und Splashtop wiederholt, ist dieselbe: Outlook zuerst, dann Domänencontroller und Authentifizierungsserver. Splashtop empfiehlt, die Korrekturen für Active Directory und Schannel innerhalb von 72 Stunden auf den Servern anzuwenden, die Benutzer authentifizieren.

Der Druck dieses Kalenders verteilt sich nicht gleichmäßig. In den Vereinigten Staaten und Europa lagern viele große Unternehmen das Patchfenster an Managed Service Provider aus, viele davon mit Lieferzentren in Indien, die die Aktualisierungsfenster vertraglich festlegen. Ein als "moderat" eingestuftes Zero-Day-Risiko besteht die Gefahr, in die reguläre Warteschlange dieser Prozesse zu rutschen, es sei denn, der Kunde klassifiziert die Schwachstelle manuell neu. In Brasilien, wo Banken und Versicherungen nach den Auflagen für Cybersicherheitsregeln der Zentralbank und der Susep arbeiten, hat das Erfordernis, ausgenutzte Schwachstellen vorrangig zu behandeln, dem CISO eine formelle Basis gegeben, um den Patch zu beschleunigen, doch die gleiche Abhängigkeit von externen Anbietern zeigt sich.

Der gemeinsame Punkt zwischen diesen Märkten ist vertraglich, nicht technisch. Verträge über Managed Services, die die Frist für die Behebung an die vom Hersteller angegebene Schwere koppeln, lassen eine Lücke entstehen, jedes Mal, wenn Microsoft eine geringe Bewertung einer bereits ausgenutzten Schwachstelle zuweist. Das November-Paket ist ein guter Test, um herauszufinden, ob die von dem Unternehmen geschlossenen Vereinbarungen die aktive Ausnutzung oder lediglich die Kennzeichnung des Herstellers als Auslöser verwenden.