Microsoft-Patchday: Rund 1.100 Sicherheitslücken geschlossen, Outlook-Zero-Day aktiv

Im aktuellen Patch-Zyklus für November 2026 hat Microsoft rund 1.100 Sicherheitslücken in seinen Software-Produkten geschlossen. Die genauen Zählweisen in Branchenberichten variieren dabei: Während Berichte von SecurityWeek, CyberScoop und The Register von 1.094 CVEs sprechen, nennen The Record und Dark Reading 1.093 Schwachstellen.

BleepingComputer zählt 1.235 Anfälligkeiten inklusive 108 bereits zuvor im November behobener Fehler, The Hacker News beziffert die Gesamtzahl auf 1.259. Unter den Schwachstellen befindet sich eine aktiv ausgenutzte Zero-Day-Lücke in Outlook.

Aktiv ausgenutzter Zero-Day in Microsoft Outlook

Die als CVE-2026-124194 geführte Spoofing-Schwachstelle weist einen CVSS-Wert von 6.5 auf und wird vom Hersteller als moderat eingestuft. Für einen erfolgreichen Angriff müssen Nutzer eine manipulierte Nachrichtendatei aktiv öffnen.

In der Folge baut Outlook ohne vorherige Sicherheitswarnung eine Verbindung zu einem Server der Angreifer auf und gibt den NTLMv2-Hash des Nutzers preis, was eine Identitätsübernahme ermöglicht. Die Vorschauleiste (Preview Pane) stellt laut den Analysen keinen Angriffsvektor dar.

Von der Lücke betroffen sind Microsoft 365 Apps for Enterprise sowie Office LTSC 2021 und Office LTSC 2024. Die Fehlerbehebung wird ausschließlich über Office-Updates und nicht über kumulative Windows-Updates bereitgestellt.

Entdeckt wurde die Schwachstelle, die vor dem Patch nicht öffentlich bekannt war, von den Sicherheitsforschern Benoît Sevens und einem Forscher unter dem Pseudonym nono unter Zuhilfenahme von Anthropics Claude.

Am 10. November 2026 setzte die US-Cybersicherheitsbehörde CISA die Schwachstelle auf ihre Liste bekanntermaßen ausgenutzter Schwachstellen (KEV). US-Bundesbehörden müssen das Update bis zum 24. November 2026 einspielen.

Kritische Lücken und wurmfähige Schwachstellen

Insgesamt wurden am 10. November 2026 nach Unternehmensangaben 63 Lücken als kritisch eingestuft. Nach Kategorien verteilen sich die Fehler auf 536 Rechteausweitungen, 296 Remotecodeausführungen, 157 Informationsabflüsse, 46 Denial-of-Service-Probleme, 27 Sicherheitsfunktions-Umgehungen, 22 Spoofing-Lücken sowie 142 Edge-Schwachstellen.

Der Schweregrad „kritisch“ betrifft Windows, Office, Exchange und Azure, während SharePoint, SQL Server, Dynamics 365, .NET und Visual Studio als „wichtig“ eingestuft wurden.

Wer angesichts der aktuellen Bedrohungslage seine tägliche E-Mail-Kommunikation sicherer und effizienter gestalten möchte, findet in diesem Spezialkurs wertvolle Unterstützung. Erfahren Sie, wie Sie Ihre Daten schützen und die wichtigsten Sicherheitseinstellungen korrekt konfigurieren. Über 40.000 Nutzer nutzen bereits diesen kostenlosen Outlook-Kurs

Zu den schwersten Fehlern zählen zwei Schwachstellen mit dem CVSS-Score 9.8: CVE-2026-116928 erlaubt eine Zero-Click-Remotecodeausführung in Windows Search über die Exchange-Anhang-Indexierung, während CVE-2026-119958 einen unauthentifizierten Out-of-Bounds-Schreibfehler im Windows-LDAP-Dienst darstellt, der insbesondere Domain Controller gefährdet.

Am 10. November 2026 wurden zudem die Exchange-Server-Lücke CVE-2026-118207 (von Dark Reading mit CVSS 8.8 gelistet), CVE-2026-112967 im Xbox Live Networking Service sowie die Azure-OpenAI-Rechteausweitung CVE-2026-119990 als CVSS 9.8 geführt. Letztere wird automatisch behoben und erfordert kein Eingreifen der Kunden.

Ein Klick auf den falschen Link kann weitreichende Folgen haben, weshalb ein optimal eingestellter Basisschutz für jeden PC-Nutzer unerlässlich ist. Diese kostenlose Anleitung zeigt Ihnen Schritt für Schritt, wie Sie den integrierten Windows Defender für maximale Sicherheit konfigurieren. Kostenlosen PDF-Report zur PC-Absicherung herunterladen

Weitere priorisierte Sicherheitslücken umfassen SharePoint Server CVE-2026-120002 (CVSS 9.9), Outlook CVE-2026-110043 (CVSS 8.8, Heap-Buffer-Overflow über die Vorschau) und Schannel CVE-2026-119952. Die Zero Day Initiative stuft zudem 30 Lücken als potenziell wurmfähig ein, darunter 17 explizit unauthentifizierte Netzwerk-Remotecodeausführungen unter anderem in Message Queuing, DNS, DHCP, Exchange, LDAP und Schannel.

Sicherheitsforscher empfehlen Administratoren, internet-exponierte Exchange- und SharePoint-Server sowie Domain Controller vorrangig zu patchen, DNS und DHCP abzusichern und Office-Updates zeitnah einzuspielen.

Rekordjahr bei Sicherheitskorrekturen

Nach Verteilung der Produkte entfallen laut SecurityWeek 726 Schwachstellen auf Windows, 174 auf Office, 59 auf den SQL Server, 53 auf Entwickler-Tools, 27 auf SharePoint, 20 auf Azure und 9 auf Exchange, ergänzt durch 165 republizierte Drittanbieter-CVEs.

Microsoft hat im Jahr 2026 bislang mehr als 5.160 Schwachstellen behoben. Im Oktober 2026 verzeichnete der Hersteller mit über 1.400 Lücken einen Rekordwert, nachdem im September rund 900 Schwachstellen geschlossen worden waren.

Zusammen mit den Sicherheitsupdates KB5132061 und KB5132059 für Windows 11 aktiviert Microsoft standardmäßig NTLM-Message-Signing für nicht-anonyme Verbindungen und verschärft die UTF-8-Prüfung in der PowerShell.

Mit dem Update KB5131087 endet zudem die Unterstützung für die kommerziellen Editionen von Windows 11 23H2. Für Windows 10 erschien KB5131096. Am 10. November 2026 kündigte Microsoft den nächsten regulären Patchday für den 9. Dezember 2026 an; im Dezember entfällt feiertagsbedingt die optionale Vorschauaktualisierung.

Mehr zum Thema bei BleepingComputer: „Microsoft November 2026 Patch Tuesday fixes 1,235 flaws, Outlook zero“