Microsoft dicht actief misbruikt Outlook-lek en kritieke Windows-kwetsbaarheden

Microsoft heeft tijdens zijn maandelijkse Patch Tuesday meerdere beveiligingslekken gedicht in onder meer Outlook, Windows en Excel. Een van de kwetsbaarheden in Outlook wordt al actief misbruikt, terwijl andere lekken aanvallers in staat stellen om op afstand kwaadaardige code uit te voeren.

In een beveiligingswaarschuwing meldt Microsoft dat het momenteel actief misbruikte beveiligingslek (CVE-2026-124194) in Outlook is geclassificeerd met het risiconiveau ‘gemiddeld’. Om het lek uit te buiten, moeten aanvallers een e-mail met een speciaal geprepareerd Office-bestand naar kwetsbare systemen sturen. Wanneer slachtoffers zo’n bericht openen, maakt Outlook verbinding met een netwerklocatie die onder controle staat van de aanvaller, zonder de gebruikelijke waarschuwing voor externe inhoud weer te geven.

Hierdoor kunnen aanvallers authenticatiegegevens in de vorm van een NTLMv2-hash onderscheppen en zich daarmee voordoen als het slachtoffer. Aanvallers hoeven niet geauthenticeerd te zijn om een dergelijke aanval uit te voeren. Het weergeven van het bericht in het voorbeeldvenster zou het lek niet activeren.

Microsoft classificeert tal van andere kwetsbaarheden als ‘kritiek’. Zo kunnen aanvallers zonder authenticatie misbruik maken van een kwetsbaarheid (CVE-2026-116928) in de zoekcomponent van Windows, waarbij Exchange Server als toegangspoort kan dienen.

Volgens de beschrijving van de kwetsbaarheid hoeven aanvallers daarvoor alleen een gemanipuleerde e-mail naar getroffen systemen te sturen. De zoekindexeringsdienst verwerkt de geprepareerde bijlage automatisch, zonder dat de ontvanger de e-mail hoeft te openen. Daarbij treedt een geheugenfout op, waardoor kwaadaardige code kan worden uitgevoerd met de rechten van de indexeringsdienst.

Ook via talrijke kwetsbaarheden in Microsoft Excel, waaronder CVE-2026-118701 met risiconiveau ‘hoog’, kunnen aanvallers kwaadaardige code uitvoeren en systemen compromitteren. Daarnaast zijn belangrijke beveiligingsupdates verschenen voor onder meer Azure, ActiveX, Hyper-V, .NET en verschillende Windows-componenten.

De kwetsbaarheden onderstrepen het belang van het tijdig installeren van de nieuwste beveiligingsupdates voor Microsoft-producten. Een volledig overzicht van alle kwetsbaarheden die tijdens deze Patch Tuesday zijn verholpen, is te vinden in Microsofts Security Update Guide.