Outlook und Chrome, zwei bereits ausgenutzte Lücken: die November-Updates jetzt installieren

Zwischen dem 9. und 10. November 2026 haben Google und Microsoft zwei Sicherheitslücken geschlossen, die laut den Herstellern selbst bereits in realen Angriffen ausgenutzt wurden: eine in Microsoft Outlook (CVE-2026-124194) und eine in Google Chrome (CVE-2026-125350). Am 10. November hat die US-Behörde CISA beide in ihren Katalog ausgenutzter Schwachstellen aufgenommen.

Outlook und ein Browser laufen auf den Rechnern fast jedes Büros. Für ein Tessiner KMU ist die Botschaft praktisch: Diese zwei Updates sollten nicht auf den nächsten zufälligen Neustart warten, sondern diese Woche installiert und geprüft werden.

Outlook: eine Nachrichtendatei, die Zugangsdaten preisgibt

Laut der Meldung von Microsoft kann ein Angreifer eine präparierte Nachrichtendatei senden und den Benutzer dazu bringen, sie in Outlook zu öffnen. Beim Öffnen kann sich Outlook mit einer vom Angreifer kontrollierten Netzwerkressource verbinden, ohne die übliche Warnung zu externen Inhalten anzuzeigen. Dabei kann der NTLMv2-Hash des Benutzers offengelegt werden, also ein Abdruck seiner Windows-Zugangsdaten, mit dem man sich an seiner Stelle anmelden kann.

• Offizielle Einstufung: CVSS 3.1 von 6.5, für Microsoft «mittel». Der Wert ist begrenzt, weil eine Aktion des Benutzers nötig ist, aber die Lücke wird bereits ausgenutzt und Microsoft gibt an, dass Kunden handeln müssen.
• Lesebereich: Laut Microsoft ist er kein Angriffsweg; die Datei muss geöffnet werden.
• Betroffene Produkte: Microsoft 365 Apps for Enterprise, Office LTSC 2021 und Office LTSC 2024.

Von Microsoft genannte korrigierte Versionen:

Chrome: eine Webseite, und der Browser ist kompromittiert

Am 9. November hat Google Chrome 157.0.8103.50/.51 für Windows und Mac sowie 157.0.8103.50 für Linux veröffentlicht, mit neun Sicherheitskorrekturen. Google weiss nach eigenen Angaben von einem Exploit für CVE-2026-125350, der im Umlauf ist. Es handelt sich um einen Fehler in der Speicherverwaltung der XML-Komponente: Laut offizieller Beschreibung kann eine präparierte HTML-Seite Code in der Sandbox des Browsers ausführen. Die NVD nennt einen CVSS-Wert von 8.8.

Betroffen sind auch andere Chromium-basierte Browser. Für Microsoft Edge geben die Sicherheits-Versionshinweise von Microsoft zum Zeitpunkt der Veröffentlichung an, dass eine Korrektur in Vorbereitung ist: Sie sollte installiert werden, sobald sie verfügbar ist.

Und die Windows-Server?

Das November-Update von Microsoft enthält Korrekturen für mehr als tausend Schwachstellen. Ausser Outlook gilt keine als ausgenutzt, einige haben aber sehr hohe Werte: zum Beispiel CVE-2026-119958 im LDAP-Dienst von Windows (CVSS 9.8, ohne Zugangsdaten), relevant für Domänencontroller. Microsoft stuft eine Ausnutzung als «weniger wahrscheinlich» ein. Wer im Büro einen Windows-Server betreibt, sollte die November-Updates trotzdem zeitnah einplanen.

Was diese Woche zu tun ist

1. Office auf allen Rechnern mit Outlook aktualisieren. In Outlook: Datei, Office-Konto, Updateoptionen, Jetzt aktualisieren. Danach die Buildnummer mit der Tabelle oben vergleichen oder beim IT-Dienstleister nachfragen.
2. Chrome aktualisieren und neu starten. Menü Hilfe, Über Google Chrome, dann Neu starten. Ein Browser, der tagelang offen bleibt, übernimmt das Update nicht.
3. Edge im Auge behalten sowie andere Chromium-Browser (Brave, Opera, Vivaldi) und die Korrektur installieren, sobald sie erscheint.
4. Mitarbeitende informieren. Keine unerwarteten Nachrichtendateien oder Office-Anhänge öffnen, auch wenn der Absender bekannt wirkt. Phishing bleibt der häufigste Einstieg, wie wir bei den gefälschten Hotelbuchungen gesehen haben.
5. Beim IT-Dienstleister nachfragen, ob SMB-Verkehr ins Internet an der Firewall blockiert ist: eine allgemeine Schutzmassnahme gegen das Abfliessen von NTLM-Zugangsdaten.
6. Zugänge stärken. Werden Zugangsdaten offengelegt, begrenzt die Mehrfaktor-Authentifizierung den Schaden: siehe die fünf Stufen sicherer Anmeldung.

Wir veröffentlichen keine Details zur Ausnutzung dieser Lücken: Ziel ist, zu aktualisieren und zu prüfen. Zu den ausgenutzten Lücken des Vormonats siehe auch unsere Übersicht von Ende Oktober.

Wenn ein Konto kompromittiert wurde: Meldungen

• Sofort das Passwort ändern für das betroffene Konto und Anmeldungen sowie Weiterleitungsregeln des Postfachs prüfen.
• Datenschutz (revDSG). Wurden Personendaten offengelegt und führt die Verletzung voraussichtlich zu einem hohen Risiko für die betroffenen Personen, verlangt Artikel 24 des Datenschutzgesetzes eine Meldung an den EDÖB so rasch als möglich. Der Leitfaden des EDÖB hilft bei der Beurteilung.
• BACS. Für die meisten KMU ist die Meldung an das BACS freiwillig, aber sinnvoll. Für Betreiberinnen kritischer Infrastrukturen gilt dagegen eine Meldepflicht für Cyberangriffe innert 24 Stunden nach der Entdeckung.

Häufige Fragen

Wir nutzen Outlook im Web oder auf dem Telefon: Sind wir betroffen?

Die Meldung von Microsoft nennt nur die Office-Desktopanwendungen (Microsoft 365 Apps, Office LTSC 2021 und 2024). Wer zusätzlich Outlook unter Windows nutzt, muss es aktualisieren.

Microsoft 365 aktualisiert sich selbst: Reicht es zu warten?

In der Regel ja, aber es hängt vom Updatekanal ab und davon, ob die Anwendung geschlossen und wieder geöffnet wird. Es lohnt sich, die Buildnummer zumindest auf den exponiertesten Rechnern zu prüfen, etwa in der Buchhaltung oder der Geschäftsleitung.

Chrome meldet, aktuell zu sein, aber die Version ist alt: Warum?

Google verteilt Updates schrittweise. Beim Öffnen der Seite Über Google Chrome sucht der Browser sofort nach dem Update; danach muss er neu gestartet werden.

Unser Ansatz

ElaraTeq Sagl unterstützt KMU und Praxen im Tessin bei der Verwaltung von Updates, der sicheren Konfiguration von E-Mail und Arbeitsplätzen und der Sensibilisierung der Mitarbeitenden (Beratung, Hosting in der Schweiz). Für eine Prüfung Ihrer Situation können Sie uns kontaktieren.

Quellen

• Microsoft, CVE-2026-124194, Microsoft Outlook Spoofing Vulnerability, 10. November 2026
• Microsoft, Release notes for Microsoft 365 Apps security updates
• NIST NVD, CVE-2026-124194 und CVE-2026-125350
• CISA, Known Exploited Vulnerabilities Catalog (Aufnahmen vom 10. November 2026)
• Google, Stable Channel Update for Desktop, 9. November 2026
• Microsoft, Release notes for Microsoft Edge Security Updates
• Microsoft, CVE-2026-119958, Windows LDAP Remote Code Execution Vulnerability
• BACS, Meldepflicht für Cyberangriffe auf kritische Infrastrukturen
• EDÖB, Leitfaden DataBreach