Et sikkerhetshull i Outlook kan avsløre informasjon som brukes til å bekrefte en ansatts identitet. Microsoft sier at angripere allerede utnytter svakheten, og publiserte en retting 10. november 2026. Norske virksomheter som bruker berørte Office-produkter, bør be IT-avdelingen eller IT-leverandøren undersøke hvilke maskiner som trenger oppdateringen, og bekrefte at den faktisk er installert.
Sikkerhetshullet har betegnelsen CVE-2026-124194. Microsoft gir det alvorlighetsgraden moderat og en score på 6,5 av 10. Tallet bør ikke alene avgjøre prioriteringen: Microsoft har også registrert at svakheten blir utnyttet. Et sikkerhetshull med lavere score kan kreve rask handling når angripere bruker det og programvaren er viktig for bedriften.
Dette kan skje, ifølge Microsoft
I Microsofts sikkerhetsvarsel beskrives et angrep der noen sender en spesiallaget meldingsfil og forsøker å overtale mottakeren til å åpne den i en berørt Outlook-versjon. Når filen åpnes, kan Outlook koble seg til en nettverksadresse angriperen kontrollerer, uten å vise det vanlige varselet om eksternt innhold.
Microsoft sier at dette kan avsløre en såkalt NTLMv2-hash som brukes ved innlogging. Angriperen kan bruke informasjonen til å utgi seg for å være brukeren. En hash er ikke passordet i klartekst. At informasjonen er avslørt, beviser ikke i seg selv at noen har tatt over kontoen eller fått tilgang til alle brukerens tjenester. Hendelsen må likevel undersøkes fordi informasjonen kan hjelpe en angriper med å utgi seg for brukeren.
Ifølge varselet krever angrepet både nettverkstilkobling og at brukeren gjør noe. Microsoft sier også at forhåndsvisningen i Outlook ikke er en angrepsvei for akkurat dette sikkerhetshullet. Det er altså ikke dokumentert at en maskin blir rammet bare ved å motta en vanlig e-post, og Microsofts varsel oppgir ikke at norske virksomheter er rammet.
Microsoft takker to sikkerhetsforskere for funnet, deriblant en som brukte Claude. Det beskriver hvordan svakheten ble oppdaget, men viser ikke at angriperne brukte KI. Beslutningen for bedriften er uansett den samme: Finn de berørte installasjonene og sørg for riktig oppdatering.
Hvilke produkter bør undersøkes?
Per 11. november lister Microsofts varsel Microsoft 365 Apps for Enterprise og Office LTSC 2021 og LTSC 2024 for 32- og 64-biters Windows-maskiner. Den offisielle CVE-posten, som Microsoft står bak, oppgir at versjoner før disse byggnumrene er berørt:
- Office LTSC 2021: 16.0.14334.21048 er oppgitt som rettet versjon.
- Office LTSC 2024: 16.0.17932.21140 er oppgitt som rettet versjon.
- Microsoft 365 Apps for Enterprise: Finn riktig oppdateringskanal og byggnummer i Microsofts oversikt over sikkerhetsoppdateringer for Office.
Produktnavnene er viktige. Varselet viser ikke at alle Outlook-produkter eller Office-utgaver som ikke er nevnt, er berørt eller uberørt. Bruker bedriften en annen utgave, eldre programvare, en administrert maskin eller en tjeneste der dere ikke kjenner versjonen, bør dere be leverandøren eller Microsoft om å avklare status. En oppdatering for én oppdateringskanal er ikke nødvendigvis riktig for en annen.
Den offisielle CVE-posten viser også at amerikanske CISA har registrert aktiv utnyttelse. Frister som gjelder amerikanske føderale virksomheter, er ikke automatisk norske lovfrister. Registreringen er likevel et signal om at norske IT-ansvarlige bør følge opp varselet ut fra egne systemer og plikter.
Be om bekreftelse på at maskinene er oppdatert
Tenk deg et norsk ingeniørselskap. De fleste ansatte bruker Windows-maskiner som IT-leverandøren administrerer, men to ansatte hadde maskinene avslått da oppdateringene ble sendt ut. Bedriften bruker en ekstern IT-partner. Dette er et oppdiktet eksempel, ikke en beskrivelse av en kundehendelse.
Ledelsen bør be IT-partneren om å:
- Finne maskiner med berørte Office-produkter og oppdateringskanaler, også maskiner som ikke har vært tilkoblet i det siste.
- Installere riktig oppdatering og kontrollere byggnummeret. Et varsel om at oppdatering er tilgjengelig, eller en innstilling for automatisk oppdatering, er ikke bevis på at den er installert.
- Lage en oversikt over maskiner som ikke er kontrollert eller oppdatert, hvorfor de gjenstår, hvem som følger dem opp og når saken skal vurderes igjen.
- Avklare hvordan ansatte skal melde fra om en uventet meldingsfil eller mulig eksponering, og hvordan leverandøren vil undersøke saken.
Nasjonal sikkerhetsmyndighet anbefaler raske og i størst mulig grad automatiske sikkerhetsoppdateringer, blant annet for programvare som leser eksternt innhold. Et lite AS kan overlate den tekniske jobben til IT-leverandøren, men trenger fortsatt en navngitt kontaktperson og et tydelig svar på hvilke maskiner som gjenstår.
Hvis noen kan ha åpnet en mistenkelig fil
Be den ansatte melde fra raskt gjennom bedriftens avtalte kanal. Ta vare på meldingen og relevante opplysninger til dem som skal undersøke hendelsen. Involver IT-leverandøren eller en spesialist på hendelseshåndtering. De kan vurdere maskinen, kontoaktiviteten og tilgangen til interne tjenester, og om passord, nøkler eller innloggede økter må endres. Ikke konkluder med at en konto er overtatt bare fordi filen er mottatt.
Begrensninger i nettverk og innlogging kan redusere risikoen i noen miljøer. Virkningen avhenger av hvordan virksomhetens systemer er satt opp og hvordan sikkerhetshullet utnyttes. La fagfolk vurdere og teste tiltakene. De erstatter ikke oppdateringen, og endringer må ikke stanse viktige tjenester uten at det er vurdert på forhånd.
En beskjed til ansatte bør være enkel: Ikke åpne uventede meldingsfiler, meld fra om noe mistenkelig, og installer eller start maskinen på nytt når IT-avdelingen ber om det. Ansvaret for en trygg oppdateringsprosess ligger hos virksomheten, ikke bare hos den ansatte som mottar en mistenkelig fil.
En oppgave for ledelsen
Ledelsen har ansvar for oversikt, oppdatering og håndtering av hendelser. Hvis et viktig system ikke kan oppdateres, må ledelsen sammen med IT-leverandøren avgjøre hvordan risikoen skal begrenses og når unntaket skal vurderes på nytt. Styret trenger ikke å styre den enkelte Office-oppdateringen. Det bør forvente at ledelsen vet om viktige oppdateringer er installert og om alvorlige unntak blir fulgt opp.
Saken viser også hvorfor prioritering av sikkerhetsoppdateringer krever mer enn én score. Alvorlighetsgrad, faktisk utnyttelse og betydningen for virksomheten gir svar på ulike spørsmål. God oppfølging knytter varselet til maskinene folk faktisk bruker og gjør det synlig hva som fortsatt gjenstår.
Kilder kontrollert 11. november 2026. Ingeniørselskapet er et oppdiktet eksempel. Microsoft og CISA står bak de tekniske opplysningene som er sitert. Anbefalingene til ledelsen er forfatterens vurderinger. Illustrasjonen er KI-generert.