Outlook-Lücke wird ausgenutzt: Ein Forscher fand sie mit Claude

Microsoft hat am 10. November 2026 seine monatlichen Sicherheitsupdates für Windows, Office und weitere Produkte verteilt. Eine der geschlossenen Lücken steckt in Outlook und wird laut Microsoft bereits aktiv ausgenutzt. Sie trägt die Kennung CVE-2026-124194. Auffällig ist die Danksagung im Advisory. Microsoft nennt dort einen Forscher mit dem Kürzel „nono“ und Benoît Sevens, der beim Fund laut Eintrag Claude von Anthropic eingesetzt hat.

Eine präparierte Datei genügt für den Angriff

Microsoft stuft die Lücke als Spoofing ein, bewertet sie als „Moderat“ und vergibt einen CVSS-Wert von 6,5. Für einen Angriff schickt der Täter eine präparierte Nachrichtendatei und bringt das Opfer dazu, sie in Outlook zu öffnen, woraufhin sich Outlook mit einem Server des Angreifers verbindet, ohne die übliche Warnung vor externen Inhalten anzuzeigen. Auf diesem Weg landet der NTLMv2-Hash des Nutzers beim Angreifer, der sich damit laut Microsoft als das Opfer anmelden kann. Die Vorschau im Lesebereich löst die Lücke nicht aus. Details zu den Angriffen nennt Microsoft nicht.

Betroffen sind laut Advisory Microsoft 365 Apps for Enterprise sowie Office LTSC 2021 und Office LTSC 2024. Office 2016 und Office 2019 tauchen in der Liste nicht auf, allerdings bekommen beide Versionen seit Oktober 2025 ohnehin keine Sicherheitsupdates mehr.

Fast 1.100 Lücken in einem Monat

Die Outlook-Lücke steht auf einer sehr langen Liste. Tenable zählt im November 1.093 Microsoft-Lücken, 63 davon gelten als kritisch, SecurityWeek kommt auf 1.094. Microsofts eigener Update-Leitfaden führt noch mehr Einträge, weil er auch übernommene Lücken anderer Hersteller wie Chromium aufnimmt. Im Oktober waren es laut SecurityWeek sogar 1.413 Lücken, ein Rekord. Brian Krebs erinnert daran, dass Microsoft vor einem Jahr noch rund 100 Lücken pro Monat geschlossen hat. Nach seinen Angaben führt Microsoft die neue Menge auf Fortschritte der KI zurück, die beim Finden und Beheben hilft.

Wie gut KI-Modelle inzwischen Schwachstellen aufspüren, sagen die Anbieter auch selbst. OpenAI stuft sein Modell GPT-6 Cyber in der eigenen Risikobewertung als kritisch ein. Im Fall Outlook hat ein Forscher die KI eingesetzt, um eine bereits ausgenutzte Lücke an Microsoft zu melden. Ob er dabei auf einen laufenden Angriff gestoßen ist, geht aus dem Advisory nicht hervor.

So spielst du die Updates jetzt ein

Unter Windows 11 findest du die Updates in den Einstellungen unter Windows Update. Das Novemberupdate trägt die Nummer KB5132061, was es neben den Sicherheitskorrekturen mitbringt, steht in unserer Meldung zum Patchday. Ob dein Rechner auch 2027 noch versorgt wird, kannst du selbst prüfen. Office aktualisiert sich meist im Hintergrund. Wer nicht warten will, öffnet in Outlook Datei, Office-Konto, Updateoptionen und klickt auf Jetzt aktualisieren. Für Office LTSC 2024 enthält Build 16.0.17932.21140 die Korrektur, für Office LTSC 2021 Build 16.0.14334.21048.

Bis das Update installiert ist, öffnest du Nachrichtendateien und Office-Dokumente aus unerwarteten Mails am besten gar nicht, auch wenn der Absender bekannt wirkt. Krebs rät außerdem, vor größeren Updates wichtige Daten zu sichern.