De Outlook-zero-day (CVE-2026-124194) heeft maar een CVSS-score van 6,5, maar wordt al misbruikt. CVSS is een score van 0 tot 10 voor de technische ernst van een lek. Die score zegt niets over of aanvallers het lek nu al gebruiken. Actief misbruik weegt daarom zwaarder.
De aanval werkt zo: een medewerker opent een speciaal gemaakt bestand dat via e-mail binnenkomt. Klassieke Outlook maakt dan zonder de gebruikelijke waarschuwing verbinding met een server van de aanvaller. Daarbij lekt de NTLM-hash van de gebruiker. Dat is een versleutelde vorm van zijn Windows-inloggegevens.
Met die hash kan een aanvaller zich voordoen als de gebruiker of het wachtwoord offline proberen te kraken. Stel dat iemand op de financiële administratie een nepfactuur opent. Dan heeft de aanvaller meteen een voet tussen de deur van je netwerk.
Een lage CVSS-score betekent niet dat een lek minder urgent is. Een lek dat al wordt misbruikt, gaat altijd voor.
Er is ook goed nieuws. Het voorbeeldvenster is geen aanvalsroute voor dit lek, dus de gebruiker moet het bestand echt openen. Alle ondersteunde versies van klassieke Outlook krijgen een patch.
Let wel op: Outlook-updates komen niet altijd via Windows Update binnen. Microsoft 365 Apps volgen hun eigen updatekanaal. Wil je zeker weten dat elke werkplek de patch snel krijgt, dan moet je dat kanaal centraal regelen. In de training Microsoft 365 Endpoint Administrator (MD-102) leer je hoe je updates voor Windows en Office beheert met Microsoft Intune.
