Microsofts November-Update: 1.235 Schwachstellen und ein Outlook-Zero-Day
Veröffentlicht am: 13.11.2026 um 12:13 Uhr | Redaktion boerse-global.de
Microsoft hat am 10. November 2026 sein monatliches Sicherheitsupdate veröffentlicht und schließt damit nach der Zählweise von BleepingComputer 1.235 Schwachstellen. Unter den geschlossenen Lücken befinden sich 66 kritische Schwachstellen, 48 Schwachstellen mit der Möglichkeit zur Remote-Code-Ausführung (RCE), 15 Privilegienausweitungen sowie 3 Use-After-Free-Fehler im Browser Microsoft Edge.
Besondere Dringlichkeit erhält das Paket durch eine als Zero-Day eingestufte Schwachstelle in Microsoft Outlook mit der Bezeichnung CVE-2026-124194, die bereits aktiv für Angriffe ausgenutzt wird.
Aktiv ausgenutzter Spoofing-Fehler in Outlook
Die Schwachstelle CVE-2026-124194 ist als Spoofing-Problem der Kategorie CWE-356 klassifiziert und weist einen CVSS-Wert von 6.5 auf, womit Microsoft den Schweregrad als moderat einstuft. Ein unauthentifizierter Angreifer kann ein potenzielles Opfer dazu verleiten, eine präparierte Nachrichtendatei zu öffnen.
Daraufhin stellt Outlook ohne vorherige Sicherheitswarnung eine Verbindung zur Infrastruktur des Angreifers her und gibt dabei den NTLMv2-Hash des Nutzers preis. Dieser kann anschließend für Offline-Cracking oder Pass-the-Hash-Angriffe missbraucht werden. Der Lesebereich der Anwendung stellt keinen Angriffsvektor dar.
Betroffen von der Lücke sind Microsoft 365 Apps for Enterprise in den 32- und 64-Bit-Versionen sowie die Editionen Office LTSC 2021 und Office LTSC 2024. Die Fehlerbehebung erfolgt über die Builds 16.0.14334.21048 für LTSC 2021 und 16.0.17932.21140 für LTSC 2024. Microsoft wies darauf hin, dass die Bereitstellung ausschließlich über die Office-Updatekanäle und nicht über kumulative Windows-Updates vorgenommen wird.
Da ein funktionsfähiger Proof-of-Concept öffentlich verfügbar ist und keine Umgehungslösung existiert, bleibt die Installation des Patches die einzige Schutzmaßnahme.
Angesichts der aktuellen Sicherheitsrisiken durch Schwachstellen in Kommunikationsprogrammen ist die richtige Konfiguration Ihrer Software entscheidend. Dieser kostenlose Experten-Ratgeber enthüllt die wichtigsten Einstellungen und Tricks für einen reibungslosen Betrieb, die kaum ein Nutzer kennt. Wichtige Sicherheits-Einstellungen jetzt kostenlos entdecken
Die US-Behörde CISA nahm die Outlook-Lücke am 10. November 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen auf und setzte US-Bundesbehörden eine Frist zur Behebung bis zum 24. November 2026. Weder Microsoft noch die CISA nannten konkrete Akteure, Opfer oder das Ausmaß der bisherigen Angriffe. Es handelt sich bereits um den dritten Monat in Folge, in dem ein aktiv ausgenutzter Fehler unterhalb der Einstufung „Critical“ behoben werden musste.
Fünf weitere im Paket enthaltene Outlook-Fixes gelten derweil nicht als ausgenutzt. Für das Auffinden des Fehlers dankte Microsoft den Forschern nono und Benoît Sevens; Letzterer habe laut Danksagung das Modell Claude von Anthropic bei der Analyse eingesetzt.
Umfangreiches Patch-Paket für Systemkomponenten
Hinsichtlich der Gesamtanzahl der behobenen Fehler weichen die Zählweisen der Sicherheitsdienste voneinander ab. Der Microsoft Security Update Guide führt 1.094 Schwachstellen an, darunter 726 in Windows, 174 in Office, 59 in SQL Server, 53 in Developer Tools, 27 in SharePoint, 20 in Azure, 9 in Exchange und eine im Windows Defender.
Tenable bezifferte die Zahl in einem Bericht vom 12. November 2026 auf 1.093 Schwachstellen, davon 63 kritisch. Unter Einbeziehung von 142 Edge-Fehlern kommt BleepingComputer auf 1.235 Fixes, während mit 165 Nicht-Microsoft-CVEs insgesamt 1.259 Einträge erfasst werden. Die Zero Day Initiative meldete rund 1.090 Lücken.
Die größte Kategorie bildeten Privilegienausweitungen mit 536 CVEs, gefolgt von Remote-Code-Ausführungen mit 296 und Informationslecks mit 157 Einträgen.
Neben dem Outlook-Bug behebt das Update weitere hochriskante Sicherheitslücken:
- CVE-2026-116928 in der Windows Search (CVSS 9.8), die in Exchange-Umgebungen durch die automatische Indexierung von E-Mail-Anhängen angreifbar ist.
- CVE-2026-119958 in Windows LDAP (CVSS 9.8), welche RCE ohne Authentifizierung gegen Domänencontroller erlaubt.
- CVE-2026-120002 in SharePoint (CVSS 9.9) sowie CVE-2026-118146 in Active Directory Domain Services (CVSS 8.8).
- Schwerwiegende Lücken in Azure OpenAI, Azure Managed Grafana und Xbox Live mit einem CVSS-Wert von 9.8 sowie in Schannel mit einem Wert von 8.1.
Ein Klick auf den falschen Link oder eine versäumte Aktualisierung kann bereits ausreichen, um das gesamte System zu gefährden. Erfahren Sie in dieser kostenlosen Anleitung, wie Sie die bereits integrierten Schutzfunktionen Ihres PCs optimal einstellen, um sich wirksam vor Schadsoftware zu schützen. Kostenlosen PDF-Report für optimalen Schutz herunterladen
Im Vergleich zum Rekordwert im Oktober mit 1.411 bis 1.417 Fixes und dem September mit 965 behobenen Fehlern bleibt das Volumen auf hohem Niveau. Branchenberichte führen die hohen Zahlen unter anderem auf die zunehmende KI-gestützte Fehlersuche zurück.
Umgehende Aktualisierung empfohlen
Die japanische Sicherheitsbehörde IPA rief am 11. November 2026 zur sofortigen Installation der Updates für Windows 11, Windows Server, Office und Exchange auf, da CVE-2026-124194 bereits vor Veröffentlichung des Fixes ausgenutzt worden sei.
Mit dem Update-Zyklus erhalten Systeme unter Windows 11 Version 23H2 ihre letzten regulären Sicherheitsupdates, während neuere Versionen über das Update KB5132061 versorgt werden. Zudem kündigte Microsoft an, das NTLM-Signing auf Windows-Servern ab Mai 2027 standardmäßig verpflichtend vorzuschreiben.
