Een Outlook-bestand kan je Windows-inloggegevens lekken — en dit wordt al misbruikt

Stel dat je een bestand opent in Outlook. Er verschijnt geen verdacht inlogscherm en misschien gebeurt er zichtbaar helemaal niets. Toch kan je computer op dat moment authenticatiegegevens prijsgeven aan een server die een aanvaller beheert.

Dat is het risico achter CVE-2026-124194, een beveiligingslek in Microsoft Outlook waarvoor op 10 november 2026 een update verscheen. Microsoft bevestigt dat de kwetsbaarheid al vóór de update werd misbruikt. Voor bedrijven die dagelijks Outlook gebruiken, is dat belangrijker dan een abstract cijfer in een lijst met kwetsbaarheden.

Een bestand openen, zonder de gebruikelijke waarschuwing

De aanval begint volgens Microsoft met een speciaal geprepareerd berichtbestand. De aanvaller moet iemand overtuigen dat bestand in een kwetsbare Outlook-versie te openen. Daardoor kan Outlook verbinding maken met een netwerklocatie onder controle van de aanvaller, zonder de gebruikelijke waarschuwing voor externe inhoud.

Windows kan bij een verbinding met een netwerkbron automatisch proberen een gebruiker te authenticeren. Daarbij kan een NTLMv2-hash worden uitgewisseld. Dat is niet het leesbare wachtwoord, maar cryptografisch afgeleide authenticatie-informatie.

Een onderschepte hash is niet automatisch een bruikbaar wachtwoord. Afhankelijk van de netwerkinrichting kan een aanvaller hem echter proberen te misbruiken voor bijvoorbeeld een NTLM-relay-aanval of om een wachtwoord offline te achterhalen. Zo kan een bestand dat ogenschijnlijk niets doet een opstap naar verdere toegang worden.

De voorwaarden zijn belangrijk. Volgens Microsoft is gebruikersinteractie nodig: het slachtoffer moet het geprepareerde bestand openen. Alleen een e-mail ontvangen is niet voldoende. Ook is netwerkconnectiviteit vereist. Het gaat dus niet om een automatische overname van iedere Outlook-inbox.

Waarom een score van 6,5 toch urgent kan zijn

Microsoft classificeert de kwetsbaarheid als *spoofing*, met de ernst Moderate en een CVSS-score van 6,5. Dat klinkt minder alarmerend dan een lek met score 9,8.

Maar die vergelijking mist een belangrijk gegeven: wordt het probleem al in echte aanvallen gebruikt?

Voor CVE-2026-124194 zegt Microsoft van wel. De Amerikaanse cyberautoriteit CISA heeft de kwetsbaarheid bovendien opgenomen in haar lijst van *Known Exploited Vulnerabilities* (KEV). Dat is geen lijst van de hoogste theoretische risico's, maar van fouten waarbij misbruik daadwerkelijk bekend is.

Voor een IT-team telt dus niet alleen de CVSS-score. Ook het gebruik van de getroffen software, de blootstelling van systemen, het mogelijke effect en vastgesteld misbruik bepalen hoe snel een update aandacht verdient.

Wat betekent dit voor een bedrijf met twintig medewerkers?

Bij veel kleinere organisaties regelt een externe IT-partner de Microsoft 365-omgeving. Medewerkers werken gewoon door en gaan ervan uit dat beveiligingsupdates automatisch worden uitgevoerd.

Daar zit een praktische valkuil: een bijgewerkte Windows-installatie betekent niet dat Outlook automatisch de juiste beveiligingsupdate heeft. Microsoft 365 Apps en Office LTSC kennen verschillende versies en updatekanalen. De precieze patch hangt af van wat er daadwerkelijk is geïnstalleerd.

Een ondernemer hoeft die technische details niet zelf te onderzoeken. De IT-partner zou wel moeten kunnen aantonen op welke apparaten de kwetsbare applicatie draait en welke systemen inmiddels de gecorrigeerde versie gebruiken.

Laptops die weinig online zijn, afwijkende update-instellingen en oudere Office-installaties kunnen de uitrol bemoeilijken. Dat zijn algemene beheerrisico's; er zijn geen openbare aanwijzingen dat juist deze omstandigheden de gemelde aanvallen verklaren.

Vier controles die nu verschil maken

1. Controleer de Office-update, niet alleen Windows Update. Vraag om een overzicht van de Outlook- en Office-versies en een controleerbare bevestiging dat de beveiligingsupdate van 10 november is geïnstalleerd. De juiste build verschilt per product en updatekanaal.

2. Onderzoek verdachte activiteit als er aanleiding voor is. Heeft een medewerker een onverwacht berichtbestand geopend, of zijn er ongebruikelijke authenticatiepogingen? Bewaar relevante e-mail-, endpoint- en netwerklogs. Een patch bewijst niet dat het apparaat eerder onaangetast was.

3. Beperk onnodige externe authenticatie. Laat beoordelen of werkstations uitgaand SMB- of NTLM-verkeer naar niet-vertrouwde internetlocaties nodig hebben. Netwerkregels en NTLM-beperkingen kunnen het risico beperken, maar vereisen tests: sommige oude applicaties en gedeelde mappen gebruiken deze protocollen nog.

4. Maak duidelijk wie achterblijvers opvolgt. Vraag niet alleen of automatische updates aanstaan, maar ook wie controleert of apparaten werkelijk zijn bijgewerkt, welke uitzonderingen bestaan en wanneer de laatste systemen worden afgehandeld.

CISA noemt 24 november 2026 als deadline voor de toepasselijke Amerikaanse federale verplichting. Dat is geen algemene wettelijke deadline voor Nederlandse mkb-bedrijven. Omdat Microsoft al misbruik meldt, is er wel een duidelijke reden om sneller te handelen dan bij gewoon gepland onderhoud.

Een verrassende rol voor AI

Aan de melding zit een opvallend detail. Volgens Tenable vermeldt Microsoft in de erkenning van het onderzoek dat Anthropic's Claude is gebruikt bij het ontdekken van de kwetsbaarheid.

Dat bewijst niet dat een AI-model zelfstandig het volledige beveiligingsonderzoek heeft uitgevoerd. Het laat wel zien dat AI kan meespelen bij het onderzoeken van complexe software. Voor beveiligingsteams is de volgende stap minstens zo belangrijk: bevindingen beoordelen, patches testen en controleren of gebruikers de veilige versie werkelijk hebben gekregen.

De les van deze Patch Tuesday is daarom niet dat elk bedrijf onmiddellijk achter duizenden CVE's aan moet. Kijk naar wat daadwerkelijk wordt misbruikt, welke producten jouw organisatie heeft en of de oplossing aantoonbaar op de apparaten staat.

Een Outlook-bestand dat stilletjes naar buiten verbindt, valt een medewerker misschien niet op. Een ontbrekende beveiligingsupdate zou voor de IT-afdeling geen verrassing mogen zijn.

Bronnen: Microsoft · CISA · Qualys · Tenable · BleepingComputer