Outlook-zero-day met score 6.5: medium is geen vrijgeleide

CVE-2026-124194 in Microsoft Outlook wordt al misbruikt. De score is 6.5, maar e-mail blijft de voornaamste ingang bij kmo's. Installeer de novemberupdates van Office nu.

In de novemberupdates van Microsoft staan meer dan duizend kwetsbaarheden. De meeste teams beginnen bovenaan, bij de negens en tienen. CVE-2026-124194 scoort 6.5: "matig", volgens Microsoft. Alleen is dit het lek waarvan Microsoft zelf zegt dat het al misbruikt wordt. En het zit in Outlook, het programma dat bij bijna elke kmo de hele dag openstaat.

Een medium score is geen vrijgeleide. Op 10 november zette CISA, de Amerikaanse cybersecuritydienst, het op de KEV-lijst: de catalogus van kwetsbaarheden waarvan actief misbruik is vastgesteld. De deadline voor Amerikaanse overheidsdiensten is 24 november. Belgische kmo's krijgen geen brief uit Washington. Ze krijgen wel dezelfde mails.

Wat er aan de hand is

Outlook waarschuwt de gebruiker niet voor een potentieel onveilige actie (CWE-356). Microsoft noemt het gevolg spoofing over het netwerk: een aanvaller zonder login kan zich voordoen als iets of iemand die je vertrouwt. Volgens Microsoft stuurt iemand een speciaal geprepareerd berichtbestand en overtuigt een medewerker om het in Outlook te openen. Bij het openen kan Outlook verbinding maken met een server van de aanvaller, zonder de gebruikelijke waarschuwing over externe inhoud. Daarbij kan inlogmateriaal lekken, een zogenaamde NTLM-hash. Dat is geen wachtwoord in leesbare tekst, maar wel genoeg om zich als die gebruiker voor te doen.

Belangrijk: volgens Microsoft is het voorbeeldvenster (Preview Pane) geen aanvalspad. De medewerker moet het bestand effectief openen. Het is dus geen automatische inbraak bij aankomst in de inbox. Het is wel een klassiek pad: een mail, een bijlage, één klik.

De patch zit in de novemberupdates van Office, op dezelfde Patch Tuesday, de maandelijkse updatedag van Microsoft. Getroffen zijn Microsoft 365 Apps for Enterprise en Office LTSC 2021 en 2024. Microsoft deelt geen details over de waargenomen aanvallen. CISA bevestigt het beeld in haar KEV-catalogus en in een alert van 10 november: actief misbruikt, ransomwaregebruik "onbekend". SecurityWeek noemt het een zero-day: het lek was nog niet openbaar toen de patch verscheen, en werd toen al misbruikt.

Waarom dit in de directiekamer thuishoort

E-mail is nog altijd de voornaamste ingang bij kmo's. Bijna elke factuur, leveranciersvraag en "even snel" van de CEO loopt via Outlook. Een lek dat die stroom stiller maakt, hoort niet onderaan de patchlijst omdat de score "maar" medium is.

Onder NIS2 moeten bestuurders aantonen dat ze dit soort risico's beheersen. Een gekend, actief misbruikt lek in de mailbox van het hele bedrijf laten openstaan is moeilijk uit te leggen. Vorige week schreven we hetzelfde over het SonicWall-VPN-lek: de score was geen tien, de KEV-lijst wel. Zelfs 6.5 hoort bovenaan zodra het al gebruikt wordt.

Daar komt een kloof bij waar organisaties zichzelf misleiden: "de patch is uit" is niet hetzelfde als "elke laptop heeft ze". Verkoop buitenshuis, een toestel dat een week offline was, een updatekanaal dat achterloopt: de aanvaller heeft geen haast. Hij heeft een inbox.

Door de ogen van de aanvaller

Bij XPOSE denken we zoals de tegenpartij. Wat volgt zijn scenario's, geen reconstructie van een aanval en zeker geen handleiding.

Ze zoeken wat iedereen uitstelt. In een lijst van meer dan duizend updates kijkt een druk IT-team eerst naar wat rood staat. Een 6.5 verdwijnt in het midden. Precies daarom is een medium lek aantrekkelijk: de patch bestaat, de aandacht ontbreekt.

De ontbrekende waarschuwing is het wapen. Phishing werkt beter als het scherm niet protesteert. Veel medewerkers zijn getraind om bij een pop-up over externe inhoud te twijfelen. Valt die weg, dan voelt de klik veilig. De mail lijkt van een collega of een leverancier te komen. Dat is het begin van business email compromise: fraude waarbij iemand zich voordoet als een vertrouwde partij, vaak om een betaling te verkrijgen.

Eén echte identiteit is meer waard dan een valse. Als Outlook inlogmateriaal lekt, hoeft de aanvaller de CEO niet na te bootsen met een bijna-identiek adres. Hij kan proberen te handelen als de gebruiker zelf. Intern vertrouwen we die afzender al.

De laptop die nog niet bij was, is het doelwit. De patch verscheen op 10 november. Daarna begint het werk: elk toestel, elk updatekanaal, elke medewerker die denkt dat Microsoft 365 de client vanzelf bijwerkt. Het lek zit in Outlook op de machine.

Wat je vandaag nog doet

1. Installeer de novemberupdates van Office nu, op elke machine met Outlook. Wacht niet tot de volgende onderhoudavond.
2. Controleer of Microsoft 365 Apps automatisch updaten. Kijk naar het updatekanaal, naar toestellen die lang offline waren, en of "Nu bijwerken" effectief gebeurd is.
3. Ga niet uit van "we zitten in de cloud, dus we zijn binnen". De mailbox kan in Microsoft 365 staan; de kwetsbare client staat op de laptop.
4. Waarschuw medewerkers kort en concreet: open geen onverwachte berichtbestanden of bijlagen, ook niet als ze van een bekende naam lijken te komen. De gebruikelijke waarschuwing over externe inhoud kan hier ontbreken.
5. Vraag je MSP schriftelijk: wanneer zijn de novemberupdates van Office uitgerold, op welk updatekanaal zitten we, en welke toestellen lopen nog achter.
6. Laat controleren wat er van jouw omgeving publiek zichtbaar is, en of het patchbeleid op papier ook op de laptops klopt.

Tot slot

Een medium score meet de technische ernst op een schaal. Ze meet niet hoe snel iemand hem overslaat, en ook niet of de aanval al loopt. CVE-2026-124194 zit in Outlook, wordt al misbruikt, en de patch is er. Het enige dat nog telt, is of ze ook op elke laptop staat.

XPOSE Security test je omgeving zoals echte APT-aanvallers het zouden doen: van de mailbox die de voordeur blijft tot de laptop die de update nog niet had. Liever dat wij het vinden dan zij. Neem contact op en laat je cybersecurity in België structureel versterken met onze CISO-as-a-service.