Microsoft hat am 10. November seinen Patchday November 2026 veröffentlicht – und erneut ist er außergewöhnlich groß. Allein 1.095 Schwachstellen in Microsoft-Produkten führt der Konzern in seinem Sicherheitsupdate-Leitfaden auf. Aktiv ausgenutzt wird nach Angaben von Microsoft genau eine davon: die Outlook-Lücke CVE-2026-124194, über die Angreifer NTLMv2-Hashes abgreifen können. Die US-Behörde CISA hat sie noch am selben Tag in ihren Katalog ausgenutzter Schwachstellen aufgenommen. Daneben gibt es eine Reihe kritischer Lücken in Windows-Netzwerkdiensten, Exchange und Active Directory, die Administratoren nicht auf die lange Bank schieben sollten.
Patchday November 2026 in Zahlen
Wie groß der Patchday ist, hängt davon ab, wie man zählt. Das maschinenlesbare CVRF-Dokument, das Microsoft zu jedem Patchday bereitstellt, enthält für November 2026 insgesamt 1.362 CVE-Einträge (Stand 11. November). Darin stecken allerdings auch Schwachstellen in Fremdkomponenten, die Microsoft mit ausliefert oder dokumentiert – etwa 165 Chromium-Lücken, die Edge betreffen, und 41 Linux-Einträge. Zählt man nur die Einträge, bei denen Microsoft selbst als CVE-Vergabestelle (CNA) auftritt, kommt man auf 1.095. Andere Zählungen, etwa von Sicherheitsfirmen, weichen je nach Methode davon ab.
Für diese 1.095 Microsoft-eigenen Lücken ergibt unsere Auswertung der MSRC-Daten zum November-Release folgendes Bild:
- Schweregrad: 64 kritisch, 1.029 wichtig, 2 moderat.
- Rechteausweitung: 535 Lücken – mit Abstand die größte Gruppe.
- Remote-Codeausführung: 297.
- Informationspreisgabe: 157.
- Denial of Service: 46, Umgehung von Sicherheitsfunktionen: 27, Spoofing: 22, Manipulation: 11.
- Öffentlich bekannt vor dem Patch: keine.
- Bereits ausgenutzt: eine (CVE-2026-124194).
- „Exploitation More Likely“: 42 Lücken stuft Microsoft als wahrscheinlicher ausnutzbar ein.
Die schiere Menge ist inzwischen fast Normalität: Nach derselben Zählweise fiel schon der Oktober-Patchday noch umfangreicher aus, der September lag knapp unter tausend. Für die Praxis entscheidend ist deshalb weniger die Gesamtzahl als die Frage, welche Lücken schon angegriffen werden und welche Dienste direkt aus dem Netz erreichbar sind.
CVE-2026-124194: Outlook verrät NTLMv2-Hashes
Die einzige laut Microsoft bereits ausgenutzte Lücke steckt in Outlook. Microsoft stuft CVE-2026-124194 als Spoofing-Schwachstelle mit dem Schweregrad „moderat“ und einem CVSS-3.1-Wert von 6,5 ein. Die technische Ursache ordnet Microsoft der Schwachstellenklasse CWE-356 zu: Die Oberfläche warnt den Nutzer nicht vor einer unsicheren Aktion.
Laut Microsoft kann ein nicht authentifizierter Angreifer eine präparierte Nachrichtendatei verschicken und das Opfer dazu bringen, sie in einer betroffenen Outlook-Version zu öffnen. Outlook baut dann eine Verbindung zu einem vom Angreifer kontrollierten Netzwerkziel auf, ohne die übliche Warnung vor externen Inhalten anzuzeigen. Dabei kann der NTLMv2-Hash des Nutzers abfließen, mit dem sich der Angreifer als dieser Nutzer authentifizieren kann. Die Vorschau ist laut Microsoft kein Angriffsweg – die Datei muss geöffnet werden.
Betroffen sind laut Advisory:
- Microsoft 365 Apps for Enterprise (32 und 64 Bit),
- Office LTSC 2021 (32 und 64 Bit), behoben ab Build 16.0.14334.21048,
- Office LTSC 2024 (32 und 64 Bit), behoben ab Build 16.0.17932.21140.
Zu den beobachteten Angriffen macht Microsoft keine Angaben – weder zu Tätern noch zum Umfang. In der Danksagung des Advisorys werden zwei Finder genannt, einer davon mit dem Zusatz „using Claude with Anthropic“. Die CISA hat CVE-2026-124194 am 10. November in den KEV-Katalog aufgenommen; US-Bundesbehörden müssen die Lücke bis zum 24. November schließen. Ob sie für Ransomware genutzt wird, ist laut CISA unbekannt.
Warum ein „moderater“ Fehler trotzdem Priorität hat
Der vergleichsweise niedrige CVSS-Wert täuscht. NTLM-Hashes sind für Angreifer wertvoll: Sie lassen sich in Relay-Angriffen gegen andere Dienste verwenden oder offline knacken. Ähnliche Outlook- und Windows-Lücken, bei denen eine Datei eine Verbindung zu einer fremden Freigabe auslöst, wurden in der Vergangenheit wiederholt in Phishing-Kampagnen ausgenutzt. Da der Angriff mit einer verschickten Datei beginnt, ist er gut für breite Kampagnen geeignet.
Neben dem Office-Update helfen allgemeine Härtungsmaßnahmen gegen diese Angriffsklasse: ausgehenden SMB-Verkehr (TCP 445) ins Internet an der Firewall blockieren, SMB- und LDAP-Signierung erzwingen, Extended Protection for Authentication für Exchange und AD CS aktivieren und NTLM dort zurückdrängen, wo Kerberos möglich ist. Das sind Standardempfehlungen, keine spezifischen Vorgaben aus dem Advisory – sie verringern aber den Schaden, falls ein Hash abfließt.
Kritische Lücken in Netzwerkdiensten, Exchange und AD
Abseits der Outlook-Lücke sind keine weiteren Angriffe bekannt. Einige der kritischen Einträge betreffen aber Dienste, die in vielen Unternehmensnetzen exponiert sind:
- CVE-2026-116928, Windows Search (CVSS 9,8, kritisch): Laut Microsoft kann ein nicht authentifizierter Angreifer die Windows-Search-Komponente angreifen, die Exchange Server nutzt – per E-Mail mit präpariertem Anhang. Weil Exchange Anhänge automatisch zur Indizierung verarbeitet, muss der Empfänger die Mail nicht öffnen.
- CVE-2026-119958, Windows LDAP (CVSS 9,8, kritisch): Ein Out-of-Bounds-Write, über den ein nicht authentifizierter Angreifer mit präparierten LDAP-Aufrufen Code im Kontext des LDAP-Dienstes ausführen kann. Microsoft hält eine Ausnutzung für „weniger wahrscheinlich“.
- CVE-2026-118207, Exchange Server (CVSS 8,8, kritisch): Ein angemeldeter Angreifer mit geringen Rechten kann per präparierter Anfrage Code auf dem Server ausführen. Einstufung: Ausnutzung „wahrscheinlicher“.
- CVE-2026-118146, Active Directory Domain Services (CVSS 8,8, kritisch): Fehlerhafte Autorisierung, ebenfalls mit niedrigen Rechten ausnutzbar und als „wahrscheinlicher“ eingestuft.
- CVE-2026-119952, Windows Schannel (CVSS 8,1, kritisch): Remote-Codeausführung ohne Anmeldung über präparierte Pakete; die hohe Angriffskomplexität setzt bestimmte Protokolleinstellungen voraus.
- CVE-2026-116945, SQL Server (CVSS 9,8, wichtig): Ein Heap-Überlauf, ausnutzbar, wenn ein Integrationspaket sich mit einem vom Angreifer kontrollierten Endpunkt verbindet.
Hohe CVSS-Werte tragen auch zwei Cloud-Einträge: CVE-2026-109469 in der Entra-Geräteregistrierung (10,0) und CVE-2026-119990 in Azure OpenAI (9,8). Beide hat Microsoft nach eigener Angabe bereits serverseitig behoben; Kunden müssen nichts tun. Microsoft veröffentlicht solche Cloud-CVEs seit einiger Zeit aus Transparenzgründen.
Was Administratoren jetzt tun sollten
- Office/Outlook zuerst: Microsoft 365 Apps und Office LTSC 2021/2024 auf den November-Stand bringen. Bei Microsoft 365 Apps prüfen, ob die Update-Kanäle tatsächlich gezogen haben.
- Exchange-Server: Windows- und Exchange-Updates zeitnah einspielen – mit CVE-2026-116928 und CVE-2026-118207 betreffen zwei kritische Lücken direkt den Mailserver.
- Domänencontroller und LDAP: CVE-2026-119958 und CVE-2026-118146 machen Domänencontroller zu einem Kandidaten für die erste Patch-Welle.
- Browser nicht vergessen: Im selben KEV-Schub vom 10. November steht auch die Chromium-Lücke CVE-2026-125350 (Use-after-free), die Chrome und Edge betrifft.
- NTLM-Härtung prüfen: Ausgehendes SMB blockieren, Signierung erzwingen – unabhängig vom aktuellen Patch.
Einordnung
Der Patchday November 2026 folgt einem Muster, das sich in diesem Jahr verfestigt hat: sehr hohe Zahlen bei Microsoft-CVEs, aber nur wenige Lücken, die tatsächlich vor dem Patch angegriffen wurden. Das relativiert die Schlagzeilenzahl, macht die Priorisierung aber nicht einfacher. Wer seine Update-Ringe nach Risiko staffelt, sollte Outlook, Exchange und Domänencontroller nach vorne ziehen.
Die CISA hat am 10. November neben der Outlook-Lücke fünf weitere Schwachstellen in den KEV-Katalog aufgenommen, darunter die beiden Barracuda-ESG-Lücken rund um CVE-2026-116606, über die wir bereits berichtet haben. Schon tags zuvor waren unter anderem die FreeSWITCH-Lücke CVE-2026-116779 und die SSHole-Lücke in OpenSSH 10.6p2 auf der Liste gelandet. Die Woche zeigt: Die Zahl der aktiv ausgenutzten Lücken quer durch alle Hersteller ist für die Priorisierung aussagekräftiger als die Größe eines einzelnen Patchdays.
