Kwetsbaarheid in Microsoft Office Outlook maakt spoofing mogelijk; misbruikt in het wild

Wat is er gebeurd

Microsoft heeft een spoofing-kwetsbaarheid in Outlook openbaar gemaakt, onderdeel van Microsoft Office. Het probleem ontstaat doordat de Outlook-interface gebruikers niet waarschuwt wanneer zij een mogelijk onveilige handeling gaan uitvoeren. Een aanvaller op afstand zonder geldige inloggegevens kan deze tekortkoming gebruiken om via een netwerk spoofing uit te voeren. De kwetsbaarheid is geclassificeerd als CWE-356.

Microsoft volgt het probleem in advisory CVE-2026-124194, getiteld Microsoft Outlook Spoofing Vulnerability, en meldt dat de kwetsbaarheid is misbruikt. CISA heeft de kwetsbaarheid op 2026-11-10 toegevoegd aan de catalogus Known Exploited Vulnerabilities, dezelfde dag waarop de CVE werd gepubliceerd. Details over wie achter de aanvallen zit of hoeveel organisaties zijn getroffen, maken geen deel uit van de gegevens die ons ter beschikking staan.

Wie is getroffen

De kwetsbaarheid treft Microsoft Office Outlook zoals geleverd in de volgende Microsoft-producten, zowel in x64- als in x86-edities: Microsoft 365 Apps for enterprise, Office 2021 LTSC en Office 2024 LTSC.

Specifieke build- of versienummers van getroffen software staan niet in de gegevens die ons ter beschikking staan. Beheerders moeten de Microsoft-advisory raadplegen om vast te stellen welke installaties de update nodig hebben.

Hoe ernstig is het

De kwetsbaarheid heeft een CVSS 3.1-basisscore van 6.5, wat in het middensegment valt. Microsoft beoordeelt de kwetsbaarheid in een eigen advisory eveneens als medium. Volgens de score kan de kwetsbaarheid via een netwerk worden aangevallen met lage complexiteit en zonder privileges, maar is interactie van een gebruiker vereist. De voornaamste impact betreft de vertrouwelijkheid, die als hoog wordt beoordeeld, terwijl integriteit en beschikbaarheid niet worden aangetast.

De gematigde score onderschat het praktische risico enigszins, omdat de kwetsbaarheid actief wordt misbruikt en is opgenomen in de CISA KEV-catalogus. In onze gegevens is geen EPSS-schatting van de kans op misbruik beschikbaar. Of ransomware-operators de kwetsbaarheid gebruiken, is niet bekend.

Wat moet u doen

1. 1Installeer de Microsoft-beveiligingsupdate die wordt beschreven in advisory CVE-2026-124194 op alle getroffen installaties van Microsoft 365 Apps, Office 2021 LTSC en Office 2024 LTSC.
2. 2Geef patchen prioriteit, aangezien de kwetsbaarheid actief wordt misbruikt.
3. 3Amerikaanse federale instanties moeten de oplossing voltooien vóór de CISA-deadline van 2026-11-24, in overeenstemming met de richtlijnen van CISA.
4. 4Als de mitigerende maatregelen van de leverancier niet kunnen worden toegepast, volg dan de richtlijnen van CISA, waaronder het stopzetten van het gebruik van het product.
5. 5Houd de Microsoft-advisory in de gaten voor eventuele updates.

Kerngegevens