„Mittel“: Der Nutzer muss mitwirken, betroffen ist nur die Vertraulichkeit. [1]
Sicherheitslücke · aktiv ausgenutzt
Outlook-Zero-Day CVE-2026-124194Eine geöffnete Datei genügt, und Windows-Anmeldedaten gehen an Angreifer
Microsoft hat am 10. November 2026 eine Lücke im klassischen Outlook für Windows geschlossen, die bereits für Angriffe genutzt wird. Öffnet ein Nutzer eine präparierte Nachrichtendatei, verbindet sich Outlook ohne die übliche Warnung mit einem Server der Angreifer und gibt dabei den NTLMv2-Hash des Kontos preis. Die US-Behörde CISA hat die Lücke noch am selben Tag in ihren Katalog ausgenutzter Schwachstellen aufgenommen. Der CVSS-Wert von 6,5 klingt harmlos, die Lage ist es nicht.
- CVSS 6,5 · ausgenutzt
- CISA-KEV seit 10.11.2026
- Frist für US-Behörden: 24.11.2026
- Fix im Office-Update vom November
Auf einen Blick
Was passiert ist und was das für Sie heißt
Am Patchday im November hat Microsoft mehr als tausend Schwachstellen geschlossen. Nur eine davon wird nach Microsofts Angaben bereits ausgenutzt: CVE-2026-124194 im klassischen Outlook für Windows. Sie verschafft Angreifern keinen Zugriff auf den Rechner, aber etwas, das in vielen Netzen fast genauso viel wert ist: verwertbare Anmeldeinformationen des Nutzers. [1][2][9]
- Der Angriff braucht einen Klick. Angreifer schicken eine präparierte Nachrichtendatei und bringen den Nutzer dazu, sie in Outlook zu öffnen. Das Vorschaufenster ist laut Microsoft kein Angriffsweg.
- Outlook warnt nicht. Beim Öffnen verbindet sich Outlook mit einem Netzwerkziel der Angreifer, ohne den sonst üblichen Hinweis auf externe Inhalte anzuzeigen.
- Der Hash ist die Beute. Dabei geht der NTLMv2-Hash des Nutzers an die Angreifer. Sie können ihn offline knacken oder an andere Dienste weiterreichen und sich so als der Nutzer ausgeben.
- Behörden stufen die Lücke als dringend ein. Die CISA führt sie seit dem 10. November im Katalog bekannter ausgenutzter Schwachstellen; US-Bundesbehörden müssen bis zum 24. November handeln.
- Der Patch ist ein Office-Update. Windows Update allein reicht nicht. Entscheidend ist der installierte Outlook-Build, nicht der Verteilstatus in der Konsole.
Was bekannt ist
- Microsoft bestätigt die Ausnutzung („Exploitation Detected“); vor dem Patch war die Lücke nicht öffentlich bekannt.
- Betroffen sind Microsoft 365 Apps for Enterprise sowie Office LTSC 2021 und 2024, jeweils 32 und 64 Bit.
- Das neue Outlook, Outlook im Web, Outlook für Mac und die Mobil-Apps führt Microsoft nicht als betroffen.
- Es ist die einzige ausgenutzte Lücke im Novemberupdate.
- Als Finder nennt Microsoft „nono“ und Benoit Sevens, Letzteren mit dem Zusatz „using Claude with Anthropic“.
Was offen ist
- Wer die Lücke ausnutzt und gegen wen: Microsoft nennt weder Akteure noch Ziele.
- Wie viele Angriffe es gab und seit wann.
- Indikatoren für eine Kompromittierung (IOCs) sind bisher nicht veröffentlicht.
- Welches Dateiformat die Angreifer nutzen und über welches Protokoll Outlook sich verbindet.
- Ob die auf GitHub aufgetauchten Proof-of-Concept-Codes funktionieren; geprüft ist keiner.
Angriffskette
So wird aus einer Datei ein gestohlenes Konto
Die ersten drei Schritte beschreibt Microsoft selbst. Die Schritte vier und fünf zeigen, wie Angreifer erbeutete NTLMv2-Hashes erfahrungsgemäß einsetzen. Das ist unsere Einordnung, keine Angabe zu den aktuellen Angriffen.
- Laut Microsoft
Köder
Eine präparierte Nachrichtendatei kommt per E-Mail-Anhang, Download-Link oder Dateifreigabe. Der Absender gibt sich meist als bekannter Kontakt aus.
- Laut Microsoft
Öffnen
Der Nutzer öffnet die Datei in Outlook. Erst dieser Schritt löst den Angriff aus, ein bloßes Markieren im Vorschaufenster nicht.
- Laut Microsoft
Verbindung ohne Warnung
Outlook verbindet sich mit einem Server der Angreifer, ohne vor externen Inhalten zu warnen. Windows meldet sich dort automatisch an.
- Einordnung VamiSec
Hash abgegriffen
Die Anmeldung überträgt eine NTLMv2-Challenge-Response. Der Server der Angreifer zeichnet sie auf, der Nutzer merkt nichts.
- Einordnung VamiSec
Missbrauch
Schwache Passwörter lassen sich offline knacken. Oder die Anmeldung wird sofort an interne Dienste weitergereicht (NTLM-Relay), etwa an Exchange, Dateiserver oder die Zertifikatsdienste.
Was die Lücke nicht ist
- Kein Zero-Click: Ohne Öffnen der Datei passiert nichts. Das unterscheidet sie von CVE-2023-23397, die schon beim Eingang einer Nachricht auslöste.
- Keine Codeausführung: Angreifer übernehmen nicht direkt den Rechner, sie erbeuten Anmeldedaten.
- Kein Angriff über das Vorschaufenster.
Warum ein Hash so wertvoll ist
- Mit dem geknackten Passwort melden sich Angreifer überall an, wo das Konto gilt, auch bei VPN und Cloud, wenn dort kein zweiter Faktor greift.
- Per Relay brauchen sie das Passwort gar nicht: Sie leiten die Anmeldung weiter, solange Dienste NTLM ohne Signierung oder Kanalbindung annehmen.
- Trifft es ein Administratorkonto, steht im schlimmsten Fall die ganze Windows-Domäne offen.
- Mehrfaktor-Anmeldung schützt Cloud-Dienste, aber weder vor dem Knacken des Hashes noch vor jedem internen Relay-Weg.
Chronik
Outlook, NTLM und die Vorgeschichte
Die aktuelle Lücke steht in einer Reihe von Angriffen, die Windows-Anmeldungen über Outlook und den Explorer abgreifen.
- Ausnutzung
- Hersteller
- Ausnutzung
- Ausnutzung
- Hersteller
Microsoft kündigt das Ende von NTLM an
NTLM soll mit den nächsten großen Windows-Versionen standardmäßig abgeschaltet werden. Heutige Versionen unterstützen es weiter, die Härtung bleibt Aufgabe der Unternehmen. [12]
- Ausnutzung
- Frist
Frist im KEV-Katalog
Bis dahin müssen US-Bundesbehörden die Updates installiert haben. Für Unternehmen ist das ein guter Maßstab. [4]
Betroffene Versionen
Welche Outlook-Installationen das Update brauchen
Betroffen ist das klassische Outlook für Windows aus diesen Office-Paketen. Maßgeblich ist der installierte Build: Ab den genannten Builds ist die Lücke geschlossen, spätere Builds enthalten den Fix ebenfalls.
| Produkt | Kanal oder Ausgabe | Version | Build mit Fix |
|---|---|---|---|
| Microsoft 365 Apps for Enterprise | Current Channel | 2610 | 20527.20196 |
| Microsoft 365 Apps for Enterprise | Monthly Enterprise Channel | 261026092608 | 20527.2019420430.2026420326.20320 |
| Microsoft 365 Apps for Enterprise | Semi-Annual Enterprise Channel | 261026092608 | 20527.2019220430.2026220326.20318 |
| Office LTSC (Volumenlizenz) | Office LTSC 2024 | 2408 | 16.0.17932.21140 |
| Office LTSC (Volumenlizenz) | Office LTSC 2021 | 2108 | 16.0.14334.21048 |
Für Microsoft 365 Apps nennt Microsoft im CVE-Eintrag keine feste Build-Nummer, sondern verweist auf die Release Notes der Office-Sicherheitsupdates; daraus stammen diese Werte. Der Semi-Annual Enterprise Channel erhält inzwischen die Builds des Monthly Enterprise Channel.
Build-Check
Kanal wählen, Build eintragen, Ergebnis sehen. Den Build finden Sie in Outlook unter Datei › Office-Konto › Info zu Outlook.
Die Prüfung läuft nur in Ihrem Browser, es wird nichts übertragen.
Noch kein Build eingegeben
Das Ergebnis erscheint, sobald Sie eine Build-Nummer eintragen.
- Fix ab Build
- 2610
20527.20196
Nicht als betroffen gelistet
- Neues Outlook für Windows
- Outlook im Web
- Outlook für Mac
- Outlook für iOS und Android
Office 2016 und Office 2019 führt Microsoft für diese Lücke nicht auf. Nicht gelistet heißt nicht geprüft sicher: Wer ältere Versionen betreibt, sollte die NTLM-Härtung besonders konsequent umsetzen.
Für viele Rechner: Build per PowerShell auslesen
Bei Click-to-Run-Installationen steht der Build in der Registry. Für die ganze Flotte eignen sich Intune, Defender Vulnerability Management oder das Microsoft 365 Apps Admin Center.
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Office\ClickToRun\Configuration' |
Select-Object VersionToReport, UpdateChannel, CDNBaseUrlUpdate auf einem Rechner sofort anstoßen
Dieser Befehl startet die Aktualisierung; Outlook muss danach neu starten.
& "$env:CommonProgramFiles\Microsoft Shared\ClickToRun\OfficeC2RClient.exe" /update userSelbsttest
Wie gut sind Sie gegen NTLM-Diebstahl über Outlook geschützt?
Acht Fragen, ehrlich beantwortet. „Ja“ ist jeweils die sichere Antwort. Die Auswertung bleibt in Ihrem Browser.
Ihr Ergebnis
0 von 8 Fragen beantwortet
Der Selbsttest ersetzt keine Prüfung Ihrer Umgebung.
Maßnahmenplan
Was jetzt zu tun ist
Drei Etappen: heute die Lücke schließen, bis zur KEV-Frist die Abwehr verbreitern, danach NTLM Schritt für Schritt abbauen. [12][13][18][19]
Lücke schließen
- Office-Update vom 10. November auf allen Rechnern mit klassischem Outlook verteilen und erzwingen.
- Den installierten Build prüfen, nicht nur den Verteilstatus.
- Ausgehendes TCP 445 ins Internet sperren, auch auf Laptops außerhalb des Firmennetzes.
- Mitarbeitende warnen: keine unerwarteten Nachrichtendateien öffnen.
- Mit den Abfragen unten nach Outlook-Verbindungen zu externen Servern suchen.
Abwehr verbreitern
- Privilegierte Konten in die Gruppe „Geschützte Benutzer“ aufnehmen.
- Ausgehendes NTLM zu fremden Servern protokollieren, dann mit Ausnahmeliste blockieren.
- SMB- und LDAP-Signierung, Kanalbindung und Extended Protection aktivieren.
- Den WebClient-Dienst auf Rechnern abschalten, die kein WebDAV brauchen.
- Externe Nachrichtendateien am Mail-Gateway prüfen oder zurückhalten.
NTLM abbauen
- Die erweiterte NTLM-Protokollierung einschalten und einige Wochen auswerten (Windows 11 ab 24H2, Windows Server 2025).
- Anwendungen von festem NTLM auf Negotiate umstellen, damit Kerberos greift.
- Anmeldungen über IP-Adressen abschaffen und fehlende SPNs registrieren.
- NTLM in Ringen sperren, beginnend mit besonders schützenswerten Konten.
- Verbleibende Ausnahmen dokumentieren und befristen.
Für IT-Betrieb und SOC
- Die Patch-Abdeckung bis zur Frist täglich berichten.
- Erkennungsregeln für SMB- und WebDAV-Verbindungen aus Outlook aktivieren.
- NTLM-Anmeldungen aus ungewöhnlichen Quellen an den Domänencontrollern überwachen.
Für Geschäftsführung und ISB
- Den 24. November als internes Ziel setzen und den Fortschritt einfordern.
- Ressourcen für den NTLM-Abbau einplanen: Microsoft schaltet NTLM erst in künftigen Versionen ab.
- Klären, ob ein Verdachtsfall nach NIS2 oder DORA meldepflichtig ist.
Verdacht auf abgeflossene Anmeldedaten?
Vorfall melden csirt@vamisec.comDas Passwort des Kontos zurücksetzen, Sitzungen und Tokens widerrufen, nach Zertifikaten suchen, die auf das Konto ausgestellt wurden, und die Gegenstelle sperren. Unser CSIRT unterstützt Sie rund um die Uhr.
Erkennung
Nach Spuren suchen
Microsoft hat keine Indikatoren veröffentlicht. Diese Abfragen helfen, auffällige Verbindungen und Anmeldungen zu finden. Es sind Beispiele für Microsoft Defender XDR, Microsoft Sentinel und Windows-Ereignisse; testen Sie sie vor dem Einsatz in Ihrer Umgebung.
Outlook spricht SMB mit dem Internet
Verbindungen von outlook.exe über Port 139 oder 445 zu öffentlichen Adressen in den letzten 30 Tagen.
DeviceNetworkEvents
| where Timestamp > ago(30d)
| where InitiatingProcessFileName =~ "outlook.exe"
| where RemotePort in (139, 445)
| where RemoteIPType == "Public"
| summarize Connections = count(), FirstSeen = min(Timestamp),
LastSeen = max(Timestamp) by DeviceName, RemoteIP, RemotePortWebDAV als Ausweichweg
Ist Port 445 gesperrt, kann Windows auf WebDAV über HTTP ausweichen. Typisch ist dann rundll32 mit davclnt.dll.
DeviceProcessEvents
| where Timestamp > ago(30d)
| where FileName =~ "rundll32.exe"
| where ProcessCommandLine has_all ("davclnt.dll", "DavSetCookie")
| project Timestamp, DeviceName, AccountName, ProcessCommandLine,
InitiatingProcessFileNameAusgehendes NTLM im Windows-Protokoll
Steht die NTLM-Richtlinie auf Überwachen, protokolliert Windows ausgehende Anmeldungen als Ereignis 8001 samt Zielserver.
Get-WinEvent -LogName 'Microsoft-Windows-NTLM/Operational' -MaxEvents 500 |
Where-Object Id -eq 8001 |
Select-Object TimeCreated, MessageAuffällige NTLM-Anmeldungen
Netzwerkanmeldungen per NTLM (Ereignis 4624, Anmeldetyp 3) aus Quellen, die für ein Konto neu sind, können auf Relay oder geknackte Passwörter hindeuten.
SecurityEvent
| where TimeGenerated > ago(14d)
| where EventID == 4624 and LogonType == 3
| where AuthenticationPackageName == "NTLM"
| summarize Logons = count(), Sources = make_set(IpAddress, 20)
by TargetUserName, Computer
| order by Logons descTreffer sind Hinweise, keine Beweise. Behandeln Sie ein Konto bei Funden als kompromittiert, bis das Gegenteil feststeht.
NIS2 und DORA
Was die Regulierung dazu sagt
Die Lücke allein ist kein Meldefall. Meldepflichtig werden kann, was Angreifer mit erbeuteten Anmeldedaten anrichten.
- Schwachstellen behandeln ist Pflicht
NIS2 verlangt von wichtigen und besonders wichtigen Einrichtungen ein Risikomanagement, zu dem der Umgang mit Schwachstellen gehört. Wer eine ausgenutzte Lücke wochenlang offen lässt, muss das im Zweifel begründen.
- Meldefristen im Ernstfall
Führt der Diebstahl von Anmeldedaten zu einem erheblichen Sicherheitsvorfall, gilt in Deutschland: Frühwarnung an das BSI binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht nach einem Monat.
- Finanzsektor: DORA
Banken, Versicherer und andere Finanzunternehmen klassifizieren IKT-Vorfälle nach DORA und melden schwerwiegende an ihre Aufsicht. Kompromittierte Konten gehören in diese Bewertung.
- Nachweis statt Bauchgefühl
Prüfer fragen nach Belegen: Wann war das Update verteilt, welche Rechner fehlten, welche Ausnahmen gab es? Wer das dokumentiert, ist auf Audits und Rückfragen vorbereitet.
VertiefenNIS2 mit VamiSec umsetzen DORA mit VamiSec umsetzen Incident-Management nach ISO/IEC 27035
So unterstützt VamiSec
Prüfen, härten, nachweisen
Von der kurzfristigen Betroffenheitsprüfung bis zum geordneten Abschied von NTLM.
Akut
CSIRT und Compromise Assessment
Bei Verdacht klären wir, ob Anmeldedaten abgeflossen und genutzt wurden, über Endpunkte, Protokolle, Identitäten und Infrastruktur hinweg.
Compromise AssessmentPrüfen
Pentest mit Fokus auf NTLM-Relay
Wir prüfen Ihr Active Directory auf Relay-Pfade, fehlende Signierung und Konten, über die ein erbeuteter Hash weit tragen würde.
PenetrationstestsErkennen
Managed Detection & Response
Wir überwachen Endpunkte und Identitäten und reagieren, wenn Outlook ungewöhnliche Verbindungen aufbaut oder Konten auffällig werden.
MDR bei VamiSecVorbeugen
Zero-Day-Monitoring
Neu bekannte und ausgenutzte Schwachstellen rund um die Uhr mit Ihrer Angriffsfläche abgleichen, bevor Patchzyklen greifen.
Zero-Day-MonitoringMensch
Security Awareness mit KnowBe4
Phishing-Simulationen mit Anhängen und kurze Trainings, damit verdächtige Dateien gemeldet statt geöffnet werden.
Security AwarenessProzess
Schwachstellenmanagement
Ein Prozess, der KEV-Einträge zuerst behandelt, Fristen setzt und Ausnahmen begründet, statt nur nach CVSS zu sortieren.
Schwachstellenmanagement
Agentische GRC-PlattformVamiGRC: ausgenutzte Lücken erkennen, Fristen steuern, Nachweise führen
VamiGRC gleicht CISA KEV, NVD und EPSS mit Ihren Assets ab. Taucht eine ausgenutzte Lücke wie CVE-2026-124194 auf, sehen Sie, welche erfassten Assets betroffen sind, und steuern Maßnahmen und Fristen bis zum Nachweis.
- CISA KEV, NVD und EPSS werden mit Ihren Assets, Produkten und SBOMs abgeglichen.
- Nachweise aus angebundenen Systemen aktualisieren sich mit ihrer Quelle statt zum Auditzeitpunkt.
- Mit der Erfassung eines Vorfalls startet ein Fristen-Timer für NIS2; VamiAI erstellt Meldeentwürfe, Ihr Team prüft und reicht ein.
- Ein Control, mehrere Regelwerke: einmal umgesetzt, auf NIS2, ISO 27001 und weitere Standards abgebildet.
- KI-Agenten erledigen die Routine nach Ihren Freigaberegeln, Ihr Team entscheidet.
Gespräch vereinbaren
Lassen Sie uns über Ihre Outlook- und NTLM-Lage sprechen
Ob Betroffenheitsprüfung, NTLM-Härtung oder Nachweise für NIS2: Valeri Milke und das VamiSec-Team helfen Ihnen, aus diesem Lagebild konkrete nächste Schritte abzuleiten.
„IT-Sicherheit und Compliance ohne KI ist eine Schwachstelle.“
Valeri MilkeGründer & Geschäftsführer · VamiSec GmbHISO/IEC 27001 & ISO/IEC 42001 Lead Auditor
FAQ
Häufige Fragen zum Outlook-Zero-Day
Was ist CVE-2026-124194?
Eine Spoofing-Lücke im klassischen Outlook für Windows, die Microsoft am 10. November 2026 geschlossen hat. Öffnet ein Nutzer eine präparierte Nachrichtendatei, verbindet sich Outlook ohne die übliche Warnung mit einem Netzwerkziel der Angreifer und gibt dabei den NTLMv2-Hash des Nutzers preis. Microsoft bewertet die Lücke mit CVSS 6,5 („Mittel“) und bestätigt, dass sie ausgenutzt wird.
Ist das ein Zero-Click-Angriff?
Nein. Der Nutzer muss die Datei öffnen, das Vorschaufenster ist laut Microsoft kein Angriffsweg. Anders war es 2023 bei CVE-2023-23397, die schon beim Eingang einer Nachricht auslöste.
Welche Outlook-Versionen sind betroffen?
Das klassische Outlook für Windows in Microsoft 365 Apps for Enterprise sowie in Office LTSC 2021 und Office LTSC 2024, jeweils 32 und 64 Bit. Den Fix enthalten Office LTSC 2021 ab Build 16.0.14334.21048, Office LTSC 2024 ab 16.0.17932.21140 und Microsoft 365 Apps ab den Novemberbuilds des jeweiligen Kanals, etwa 20527.20196 im Current Channel. Das neue Outlook, Outlook im Web, für Mac und die Mobil-Apps führt Microsoft nicht als betroffen.
Reicht Windows Update?
Nein. Die Lücke steckt in Office. Maßgeblich ist das Office-Sicherheitsupdate vom November 2026, das bei Microsoft 365 Apps über den jeweiligen Update-Kanal kommt. Prüfen Sie den installierten Build in Outlook unter Datei › Office-Konto › Info zu Outlook oder zentral per Intune oder Defender Vulnerability Management.
Warum ist eine Lücke mit CVSS 6,5 so dringend?
Weil sie ausgenutzt wird. CVSS beschreibt die technische Schwere, nicht die Bedrohungslage. Die CISA hat die Lücke in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen und US-Bundesbehörden eine Frist bis 24. November 2026 gesetzt. Frühere NTLM-Lecks mit derselben Bewertung wurden ebenfalls aktiv angegriffen.
Was können Angreifer mit einem NTLMv2-Hash anfangen?
Sie können versuchen, das Passwort offline zu knacken, was bei schwachen Passwörtern schnell gelingt. Oder sie leiten die Anmeldung direkt an andere Dienste weiter (NTLM-Relay), etwa an Exchange, Dateiserver oder die Zertifikatsdienste des Active Directory, und handeln dort im Namen des Nutzers. Ist das Konto privilegiert, kann das die ganze Domäne gefährden.
Wer nutzt die Lücke aus?
Das ist nicht bekannt. Microsoft und die CISA nennen weder Akteure noch Ziele, Indikatoren wurden nicht veröffentlicht. Frühere Outlook-Lücken mit NTLM-Diebstahl hat unter anderem die russische Gruppe Forest Blizzard (APT28) ausgenutzt; Rückschlüsse auf den aktuellen Fall lassen sich daraus nicht ziehen.
Was hat Claude mit dem Fund zu tun?
Microsoft dankt Benoit Sevens mit dem Zusatz „using Claude with Anthropic“, außerdem einem Forschenden mit dem Namen „nono“. Wie genau das KI-Modell beteiligt war, ist nicht veröffentlicht. Der Fall zeigt, wie KI die Schwachstellenforschung beschleunigt, bei Verteidigern wie bei Angreifern.
Gibt es öffentlichen Exploit-Code?
Auf GitHub sind mindestens zwei Repositories aufgetaucht, die einen Proof of Concept versprechen; eines ist ausdrücklich ungetestet. Laden Sie solchen Code nicht ungeprüft herunter: Angebliche Exploits sind regelmäßig selbst Schadsoftware.
Wie unterstützt VamiSec?
Wir prüfen kurzfristig, ob Ihre Outlook-Installationen gepatcht sind und wie weit ein erbeuteter Hash in Ihrem Netz tragen würde, härten NTLM, bauen Erkennungsregeln und klären Verdachtsfälle mit einem Compromise Assessment und unserem CSIRT. Mit VamiGRC steuern Sie ausgenutzte Lücken, Fristen und Nachweise für NIS2.
Quellen
Quellen und weiterführende Informationen
Die Angaben beruhen auf Veröffentlichungen von Microsoft, CISA, NIST und Sicherheitsforschern bis zum 13. November 2026. Einordnungen von VamiSec sind als solche gekennzeichnet.
- [1]Microsoft Security Response Center: CVE-2026-124194 – Microsoft Outlook Spoofing Vulnerability,
- [2]Microsoft Security Response Center: November 2026 Security Updates – Release Notes,
- [3]Microsoft Learn: Release notes for Microsoft Office security updates,
- [4]CISA: Known Exploited Vulnerabilities Catalog,
- [5]NIST National Vulnerability Database: CVE-2026-124194 Detail,
- [6]CVE Program: CVE Record CVE-2026-124194,
- [7]Cyber Security News: CISA Confirms Active Exploitation of Outlook User Interaction 0-Day Vulnerability,
- [8]Cyber Security News: Microsoft Confirms Hackers Are Exploiting Outlook 0-Day to Steal Windows Authentication Hashes,
- [9]SecurityWeek: Exploited Outlook Zero-Day Among 1,094 Flaws Patched by Microsoft,
- [10]Notebookcheck: Exploited Outlook zero-day was found by a researcher using Claude,
- [11]TheHackerWire: CVE-2026-124194: Vulnerability Details,
- [12]Microsoft Windows IT Pro Blog: Retiring NTLM: Frequently asked questions,
- [13]Microsoft Security Blog: Guidance for investigating attacks using CVE-2023-23397,
- [14]Check Point Research: The Risks of the #MonikerLink Bug in Microsoft Outlook and the Big Picture,
- [15]NIST National Vulnerability Database: CVE-2024-43451 Detail,
- [16]SecurityWeek: Windows Zero-Day Exploited by Russia Triggered With File Drag-and-Drop, Delete Actions,
- [17]Check Point Research: CVE-2025-24054, NTLM Exploit in the Wild,
- [18]Microsoft Learn: Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers
- [19]Microsoft Learn: Protected Users Security Group
- [20]NIST National Vulnerability Database: CVE-2025-24054 Detail,
- [21]FIRST: Exploit Prediction Scoring System (EPSS): CVE-2026-124194,
Dieses Lagebild ersetzt keine Rechtsberatung und keine Prüfung Ihrer Umgebung.
Jetzt handelnPatchen ist Pflicht.
Patchen ist Pflicht.
NTLM abzubauen schützt vor der nächsten Lücke.
Vereinbaren Sie ein unverbindliches Erstgespräch: Wir klären mit Ihnen Patchstand, Härtung und die nächsten Schritte.