// HEISE ONLINE — CYBERSECURITY
Microsoft-Patchday: Attacken auf Outlook beobachtet
Aus Microsofts Security Update Guide geht hervor, dass die Entwickler knapp 1100 Sicherheitslücken in Office, Windows & Co. geschlossen haben.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Angreifer können an zahlreichen Schwachstellen unter anderem in Microsoft Office und Windows ansetzen, um Schadcode auszuführen und Systeme zu kompromittieren. Eine Lücke in Outlook wird bereits aktiv ausgenutzt.
Admins sollten sicherstellen, dass Windows Update aktiv ist und die aktuellen Sicherheitspatches installiert sind. Ist das nicht der Fall, sind vielfältige Attacken auf verschiedene Microsoft-Produkte möglich.
In einer Warnmeldung steht, dass die derzeit ausgenutzte Sicherheitslücke (CVE-2026-124194) in Outlook mit dem Bedrohungsgrad „mittel“ eingestuft ist. Für eine Attacke müssen Angreifer Mails mit einer präparierten Office-Datei an verwundbare Systeme schicken. Öffnen Opfer eine solche Nachricht, stellt Outlook eine Verbindung zu einem vom Angreifer kontrollierten Netzwerkstandort her, ohne die übliche Warnung vor externen Inhalten anzuzeigen.
Im Zuge dessen können Angreifer Authentifizierungsinformationen in Form eines NTLMv2-Hash abgreifen und sich so im Namen des Opfers authentifizieren. Zum Einleiten einer solchen Attacke müssen Angreifer nicht authentifiziert sein. Die Anzeige in der Vorschauansicht soll den Fehler nicht auslösen.
Zahlreiche Lücken stuft Microsoft als „kritisch“ ein. Angreifer können etwa ohne Authentifizierung an einer Lücke (CVE-2026-116928) in der Windows-Suchkomponente ansetzen und dabei Exchange Server als Einfallstor nutzen. Dafür müssen sie der Beschreibung der Schwachstelle zufolge eine manipulierte Mail an betroffene Systeme schicken. Der Suchindexer verarbeitet den präparierten Anhang automatisch, Empfänger müssen die Mail nicht einmal öffnen. Dabei kommt es zu einem Speicherfehler, und Schadcode läuft mit den Rechten des Indexierungsdienstes.
Durch viele Office-Excel-Lücken (etwa CVE-2026-118701 „hoch“) können Angreifer ebenfalls Schadcode ausführen und Systeme kompromittieren. Weitere wichtige Sicherheitsupdates sind unter anderem für Azure, ActiveX, Hyper-V, .NET und verschiedene Windows-Komponenten erschienen.
Weiterführende Informationen zu allen an diesem Patchday geschlossenen Sicherheitslücken listet Microsoft im Security Update Guide auf.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security