Microsofts Patch Tuesday im November bringt erneut eine umfangreiche Reihe von Sicherheitsupdates, doch eine Outlook-Schwachstelle verdient sofortige Aufmerksamkeit.
Die Updates vom November 2026 beheben mehr als 1.000 gemeldete Schwachstellen in Microsofts gesamtem Softwareportfolio, darunter einen aktiv ausgenutzten Outlook-Zero-Day, der Windows-Authentifizierungsinformationen offenlegen könnte.
Die als CVE-2026-124194 geführte Schwachstelle wird als mittelschwer eingestuft und erreicht einen CVSS-Wert von 6,5. Trotz dieser Einstufung macht ihre nachgewiesene Ausnutzung sie zu einer Priorität für Unternehmen, die betroffene Versionen von Microsoft 365 Apps und Office einsetzen.
Die Schwachstelle könnte Angreifern ermöglichen, NTLM-Authentifizierungsdaten abzugreifen, wenn ein Benutzer eine speziell präparierte Nachrichtendatei öffnet, wodurch potenziell weitere Angriffe auf Unternehmenssysteme ermöglicht würden.
Angreifer könnten versuchen, den abgegriffenen Hash zu knacken oder weiterzuleiten, um sich als das Opfer auszugeben und auf Unternehmensressourcen zuzugreifen. Der Angriff erfordert eine Benutzerinteraktion und eine Netzwerkverbindung, aber Microsoft sagt , dass der Vorschaubereich kein Angriffsvektor ist.
Microsoft hat die Identität der Angreifer, die betroffenen Organisationen oder das Ausmaß der Kampagne nicht offengelegt. Die US-Behörde Cybersecurity and Infrastructure Security Agency hat die Schwachstelle in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen und gibt Bundesbehörden bis zum 24. November Zeit, den Fix einzuspielen.
Jack Bicer, Director of Vulnerability Research bei Action1, warnte, dass die Einstufung als mittelschwer das Risiko unterschätzt. Er empfahl Unternehmen, ihre Outlook-Installationen umgehend zu aktualisieren, beginnend mit Administratoren und anderen Konten mit hohem Wert.
Kritische Schwachstellen gehen über Outlook hinaus
Der Zero-Day ist nur ein Teil eines Releases, das 63 kritische Schwachstellen umfasst. Mehrere weitere Schwachstellen verdienen Priorität, da sie es Angreifern ermöglichen könnten, Systeme zu kompromittieren, ohne Anmeldedaten zu stehlen oder Mitarbeiter zum Öffnen schädlicher Dateien zu bewegen.
Zu den schwerwiegendsten gehören:
| Schwachstelle | Sicherheitsrisiko |
| CVE-2026-119958 | Kritische LDAP-Schwachstelle zur Remotecodeausführung, die Domänencontroller kompromittieren könnte |
| CVE-2026-116928 | Kritische Schwachstelle zur Remotecodeausführung im Zusammenhang mit der Verarbeitung von Windows Search und Exchange-Anhängen |
| CVE-2026-119990 | Kritische Rechteausweitung in Azure OpenAI |
| CVE-2026-119963 und CVE-2026-119964 | Remotecodeausführung in Message Queuing |
| CVE-2026-112967 | Remotecodeausführung im Xbox Live Networking Service |
Jack Bicer von Action1 warnte, dass die LDAP-Schwachstelle nicht authentifizierten Angreifern Zugriff auf den Verzeichnisdienst gewähren könnte, der für die Verwaltung von „Benutzern, Gruppen und Computern im Verzeichnis“ zuständig ist. Er fügte hinzu: „Dieser Out-of-Bounds-Write erreicht 9,8 Punkte und lässt sich leicht auslösen.“ Ein erfolgreicher Angriff könnte Anmeldedaten offenlegen, die Einrichtung betrügerischer Administratorkonten ermöglichen und den Weg für die Verbreitung von Ransomware ebnen.
Microsoft hat außerdem schwerwiegende Schwachstellen in Exchange Server und Message Queuing behoben. Diese verdienen Aufmerksamkeit, da eine kompromittierte Messaging-Infrastruktur die Geschäftskommunikation offenlegen und Anwendungen stören kann, die auf die interne Nachrichtenverarbeitung angewiesen sind.
Die Azure-OpenAI-Schwachstelle ist ein weiteres Problem, da Unternehmen zunehmend KI-Dienste mit internen Informationen und Arbeitsabläufen verbinden.
Mike Walters, Präsident und Mitgründer von Action1, warnte, dass eine unbefugte Rechteausweitung „Prompts, Modellausgaben, verbundene Daten und Geschäftslogik offenlegen oder Angreifern ermöglichen könnte, den Dienst zu missbrauchen und Kosten in die Höhe zu treiben“. Er fügte hinzu: „Ein Sicherheits breach an dieser Stelle könnte sensible Informationen preisgeben, das Vertrauen in KI-gestützte Prozesse beschädigen und Compliance-Probleme verursachen.“
KI-gestützte Suche nach Schwachstellen erhöht den Druck auf Verteidiger
Der November ist ein weiterer Monat, in dem mehr als 1.000 Schwachstellen behoben wurden, und folgt damit auf den rekordverdächtigen Oktober-Release.
Dustin Childs, Leiter der Abteilung Threat Awareness bei der Zero Day Initiative, warnte in einer E-Mail an eSecurity Planet: „Dass nun zwei Monate in Folge mehr als 1.000 CVEs verzeichnet wurden, beweist, dass die automatisierte Fehlersuche das Patch-Volumen dauerhaft verändert hat. Doch null aktiv ausgenutzte Zero-Days sollten nicht in falscher Sicherheit wiegen. Da KI den Vergleich von Patches und die Erstellung von Exploits nahezu augenblicklich ermöglicht, öffnet sich das Bedrohungsfenster in dem Moment, in dem diese Updates veröffentlicht werden.“
Childs empfiehlt, Exchange-Server und Domänencontroller zu priorisieren, aus dem Internet erreichbare DNS- und DHCP-Dienste einzuschränken und zu prüfen, ob Cloud-Dienste manuelle administrative Korrekturen erfordern.
Die größere Herausforderung für Sicherheitsteams besteht nicht mehr nur darin, Schwachstellen zu identifizieren. Es geht darum, zu entscheiden, welche Systeme sofortige Aufmerksamkeit benötigen, ohne Administratoren mit Hunderten gleichzeitig erforderlicher Patch-Vorgänge zu überfordern.
Was die November-Updates für Windows- und Office-Benutzer bedeuten
Unternehmen sollten nicht davon ausgehen, dass die Installation des kumulativen Windows-Updates den Outlook-Zero-Day automatisch behebt. Die Outlook-Schwachstelle erfordert das entsprechende Office-Sicherheitsupdate. Daher müssen IT-Teams überprüfen, dass sowohl Windows- als auch Microsoft-365- oder Office-Installationen abgedeckt sind.
Für Benutzer von Windows 11 enthalten die Updates zusätzliche Änderungen an Sicherheit und Zuverlässigkeit, wobei ihre Verfügbarkeit und ihr Verhalten von der installierten Version abhängen können.
Administratoren sollten bestätigte Ausnutzung und aus dem Internet erreichbare Systeme priorisieren und anschließend die verbleibenden kritischen Schwachstellen entsprechend der Angriffsfläche und der geschäftlichen Bedeutung ihrer Umgebung abarbeiten.
Für einzelne Benutzer bleiben die zeitnahe Installation verfügbarer Windows- und Office-Updates sowie ein vorsichtiger Umgang mit unerwarteten E-Mail-Anhängen wichtige Vorsichtsmaßnahmen.
Der Fall Outlook erinnert daran, dass eine Einstufung als mittelschwer nicht zwangsläufig bedeutet, dass eine Schwachstelle ein moderates Betriebsrisiko darstellt – insbesondere dann nicht, wenn Angreifer sie bereits ausnutzen.
Weitere Nachrichten: Eine neu entdeckte iOS-Schwachstelle namens „worse_query“ könnte es bösartigen Apps ermöglichen, Apples Sandbox-Schutz zu umgehen und auf sensible Daten zuzugreifen, die von anderen Apps gespeichert werden, darunter Anmeldedaten und Schlüssel für Kryptowährungs-Wallets; ein bestätigter Fix ist bislang nicht verfügbar.