Ausgenutzte Outlook-Schwachstelle unter 1.094 von Microsoft gepatchten Fehlern

Laut SecurityWeek wurde die Zero-Day-Schwachstelle mit der Bezeichnung CVE-2026-124194 als Spoofing-Fehler klassifiziert und entsteht dadurch, dass Outlook Benutzer nicht warnt, bevor eine möglicherweise gefährliche Aktion stattfindet.[1] Das Medium berichtet, dass Microsoft ihr eine Schweregradbewertung von "mittel" und einen CVSS-Score von 6,5 gab.[1]Microsoft warnt, dass "ein nicht authentifizierter Angreifer eine speziell gefertigte Nachrichtendatei senden und einen Benutzer zum Öffnen überreden könnte",[2] wie BleepingComputer berichtet. BleepingComputer fügt hinzu, dass die Schwachstelle aktiv in Angriffen zur Diebstahl von NTLM-Kontohashes ausgenutzt wurde.[2]The Register berichtet, dass Microsoft nicht angab, wann die Angriffe begannen, wer diesen Bug ausnutzt und was diese mit dem Zugriff anstellen.[3] Splashtop sagt, dass der Fix nicht Teil des Windows-Kumulativupdates (KB5132061) ist, daher bleiben Organisationen, die nur Windows-Updates bereitstellen, bis zur Installation des Office-Updates gefährdet.[4] Nach Angaben von Splashtop fügte CISA CVE-2026-124194 am 10. November 2026 zu seinem Katalog bekannter ausgenutzte Schwachstellen hinzu, mit einem Abhilfedatum vom 24. November.[4] The Register berichtet von zwei Zero-Click-Bedrohungen in diesem Monat im Patch-Paket: CVE-2026-116928 und CVE-2026-119958.[3] BleepingComputer gibt die Anzahl mit einem Rekord von 1.235 Fehlern[2] an, während SecurityWeek sagt, dass die November-Veröffentlichung kleiner ist als die des Oktober, als Microsoft einen Rekord von 1.413 Schwachstellen patschte.[1] SecurityWeek berichtet auch, dass die Updates dieses Monats auch die letzten für die Enterprise- und Education-Editionen von Windows 11 Version 23H2 sind.[1]