Microsoft-Patchday November 2026: Aktiv ausgenutzte Outlook-Lücke und 1.093 Schwachstellen

Am 10. November 2026 hat Microsoft seinen monatlichen Patchday veröffentlicht – und wieder einmal fällt die schiere Zahl der geschlossenen Lücken größer aus als die Schlagzeile, die den meisten Lesern im Gedächtnis bleibt. Die mediale Aufmerksamkeit konzentriert sich auf eine einzelne Outlook-Schwachstelle, die bereits angegriffen wird. Wer sich aber nur um diese eine Lücke kümmert, übersieht zwei weitere, die technisch deutlich schwerer wiegen – und die für Unternehmen mit eigenem Exchange-Server oder eigener Active-Directory-Infrastruktur die eigentlich dringenderen Baustellen sind.

Dieser Beitrag ordnet ein, welche der November-Lücken für den Mittelstand tatsächlich Priorität haben, und was konkret zu tun ist.

TL;DR

• Laut Tenable Research (öffnet in neuem Tab) schließt Microsoft im November-Patchday 1.093 CVEs – 63 davon kritisch eingestuft, 1.029 als wichtig, eine als moderat.
• Die am stärksten diskutierte Lücke, CVE-2026-124194 in Outlook (öffnet in neuem Tab), trägt laut MSRC nur einen CVSS-Wert von 6.5 – wird aber bereits als Zero-Day aktiv ausgenutzt.
• Technisch schwerer wiegt CVE-2026-116928 in der Windows-Suche (öffnet in neuem Tab): CVSS 9.8, kein Login und keine Nutzerinteraktion nötig, Ziel sind laut Microsoft Exchange-Server.
• Zwei weitere Lücken mit CVSS 9.8 – CVE-2026-85844 in Kerberos (öffnet in neuem Tab) und CVE-2026-119958 in Windows LDAP – erlauben laut Security-Insider (öffnet in neuem Tab) ohne Anmeldedaten einen Angriffsweg auf Domänencontroller.
• Für Windows 11 23H2 Enterprise und Education sowie für .NET 8 und .NET 9 ist dies laut Security-Insider das letzte Sicherheitsupdate.

Die Outlook-Lücke, die trotz "moderat" die Schlagzeile macht

CVE-2026-124194 (öffnet in neuem Tab) betrifft Microsoft Outlook und wird von Microsoft selbst als Spoofing-Schwachstelle mit einem CVSS-Wert von 6.5 eingestuft – nach Microsofts eigener Skala also "Moderate", nicht "Critical". Trotzdem ist sie die Lücke, über die aktuell am meisten berichtet wird, denn laut MSRC-Advisory gilt sie als bereits angegriffen ("Exploitation Detected"), und zwar bevor Microsoft sie öffentlich gemacht hat.

Der Ablauf laut Microsofts eigener FAQ zur Lücke: Ein Angreifer schickt eine präparierte Office-Datei per Mail. Öffnet das Opfer die Datei in einer verwundbaren Outlook-Version, verbindet sich das Programm mit einem vom Angreifer kontrollierten Server – ohne die sonst übliche Warnung vor externen Inhalten anzuzeigen. Dabei wird laut MSRC der NTLMv2-Hash des Nutzers offengelegt, mit dem sich ein Angreifer anschließend als das Opfer ausgeben kann. Die Vorschau im Lesebereich ("Preview Pane") ist laut Microsoft ausdrücklich kein Angriffsweg; ein aktives Öffnen der Datei ist nötig.

Dass eine mit "moderat" bewertete Lücke bereits vor der Veröffentlichung angegriffen wurde, bestätigt ein Muster, das auf diesem Blog bereits mehrfach aufgetaucht ist, etwa bei der SharePoint-Lücke CVE-2026-65660: Die ursprüngliche Risikoeinstufung eines Herstellers sagt wenig darüber aus, wie schnell eine Lücke tatsächlich in freier Wildbahn genutzt wird. Wer Patches nach CVSS-Wert priorisiert und alles unter 7.0 zurückstellt, hätte diese Lücke übersehen.

Technisch schwerer: Windows Search trifft Exchange-Server

Während CVE-2026-124194 die Aufmerksamkeit bekommt, ist CVE-2026-116928 (öffnet in neuem Tab) die Lücke mit dem höheren tatsächlichen Risiko. Microsoft stuft sie als kritische Remote-Code-Execution-Schwachstelle in der Windows-Suche mit einem CVSS-Basiswert von 9.8 ein. Besonders macht sie der Angriffsvektor laut CVSS-Vektorstring: weder Authentifizierung (PR:N) noch jegliche Nutzerinteraktion (UI:N) sind erforderlich.

Der Grund, warum das für Exchange-Betreiber direkt relevant ist: Exchange Server lässt eingehende E-Mail-Anhänge von Windows Search automatisch indizieren. Ein manipulierter Anhang kann dabei laut t-online (öffnet in neuem Tab) bereits durch den Indizierungsvorgang Schadcode ausführen – ganz ohne dass jemand die Mail öffnen oder überhaupt lesen muss. Microsoft hat nach eigenen Angaben bislang keine aktiven Angriffe auf diese Lücke beobachtet, aber die Kombination aus kritischem CVSS-Wert und fehlender Nutzerinteraktion macht sie zu einem bevorzugten Ziel, sobald ein funktionierender Exploit öffentlich wird.

Domänencontroller: zwei weitere 9.8er-Lücken

Gleich zwei weitere Schwachstellen tragen den höchstmöglichen CVSS-Basiswert von 9.8 und betreffen die Kernkomponenten jeder Windows-Domäne:

• CVE-2026-85844 (öffnet in neuem Tab) in Windows Kerberos: eine Umgehung der Authentifizierung über einen alternativen Pfad (CWE-288). Laut MSRC-Vektorstring ist weder eine Berechtigung noch eine Nutzerinteraktion nötig. Bemerkenswert ist die Einstufung: Microsoft selbst vergibt trotz des 9.8er-CVSS-Werts nur die Risikostufe "Important", nicht "Critical" – ein weiteres Beispiel dafür, dass Microsofts eigene Kategorisierung und der technische Schweregrad auseinanderfallen können.
• CVE-2026-119958 in Windows LDAP: ebenfalls CVSS 9.8, laut Security-Insider ermöglicht sie über präparierte LDAP-Aufrufe eine Speicherbeschädigung jenseits des zugewiesenen Puffers und damit Codeausführung im Kontext des LDAP-Dienstes. Angriffe sind laut Microsoft bislang nicht bekannt.

Dazu kommt CVE-2026-118146 (öffnet in neuem Tab), eine als kritisch eingestufte Remote-Code-Execution-Lücke in Active Directory Domain Services mit CVSS 8.8. Hier ist laut MSRC-Vektorstring ein bereits authentifizierter Angreifer mit niedrigen Rechten (PR:L) nötig, dafür schätzt Microsoft die Ausnutzung als "More Likely" ein – wahrscheinlicher als bei den meisten anderen November-Lücken.

In der Summe heißt das für jedes Unternehmen mit eigenem Active Directory: Ein kompromittiertes Konto mit niedrigen Rechten oder ein Angreifer im internen Netz hat diesen Monat gleich mehrere Wege, bis zum Domänencontroller vorzudringen – und auf dieser Ebene ist faktisch die gesamte Windows-Infrastruktur betroffen, nicht nur ein einzelner Server.

Zahlen zur Einordnung

Nach der Auswertung von Tenable Research (öffnet in neuem Tab), die auf Microsofts eigenen Advisory-Daten basiert, schließt der November-Patchday insgesamt 1.093 CVEs: 63 kritisch, 1.029 wichtig, eine moderat. Nach Produktkomponenten gezählt stecken laut Tenable die meisten Lücken in Microsoft Office Word (65) und Excel (64), gefolgt von SQL Server (53). Outlook selbst bringt es auf 20 CVEs in diesem Patchday – nicht nur die eine, die gerade Schlagzeilen macht.

t-online (öffnet in neuem Tab) schlüsselt die Verteilung nach Produktlinien anders auf und kommt auf 726 Lücken in Windows selbst und 174 im Office-Paket. Die unterschiedlichen Zählweisen – Tenable nach Einzelkomponente, t-online nach Produktlinie – erklären, warum beide Quellen zu verschiedenen Teilsummen kommen, ohne dass sich die Zahlen widersprechen: Es handelt sich um unterschiedliche Aggregationsebenen derselben Advisory-Daten.

Was jetzt konkret zu tun ist

1. Windows- und Office-Updates priorisiert einspielen, auch wenn das Gesamtvolumen mit über tausend Einzel-CVEs abschreckend wirkt. Die Windows-11-Updates tragen laut t-online auf den meisten Geräten die Nummer KB5132061 und laufen in der Regel automatisch über Windows Update.
2. Exchange-Server gesondert betrachten. Wer selbst gehostete Exchange-Infrastruktur betreibt, sollte CVE-2026-116928 nicht hinter der Outlook-Meldung einsortieren – der Patch für die Windows-Suche muss auf dem Exchange-Server selbst ankommen, nicht nur auf den Client-Rechnern.
3. Active-Directory-Umgebungen auf die drei 9.8er-Lücken prüfen. Wenn Domänencontroller nicht zeitnah aktualisiert werden können, sind interne Netzsegmentierung und die Überwachung ungewöhnlicher Kerberos- und LDAP-Anfragen die nächstbeste Behelfsmaßnahme.
4. Vorsicht vor Office-Anhängen aus unbekannten Quellen kommunizieren, solange Outlook-Clients noch nicht gepatcht sind – CVE-2026-124194 setzt eine Nutzerinteraktion voraus, die sich durch Aufklärung zumindest erschweren lässt.
5. Nach einem großen Patchday mit Beobachtungsphase rechnen. Wie der Exchange-OWA-Ausfall im Oktober gezeigt hat, bringen umfangreiche Update-Pakete gelegentlich eigene Nebenwirkungen mit – unabhängig von den eigentlichen Sicherheitslücken, die sie schließen.

Das Ende einiger Produktlinien

Neben den Sicherheitslücken markiert der November-Patchday laut Security-Insider auch das Ende des Supports für einzelne Produktversionen: Windows 11 23H2 Enterprise und Education erhalten mit dem Update KB5131087 ihre letzten Sicherheitsfixes, ebenso enden mit diesem Patchday die Sicherheitsupdates für .NET 8 und .NET 9. Wer in der eigenen Geräteflotte noch Systeme auf diesen Versionsständen betreibt, sollte das Upgrade jetzt einplanen – ein weiterer Patchday ohne Sicherheitsupdates für diese Versionen folgt nicht mehr.

Fazit

Der November-Patchday zeigt noch einmal, warum ein Blick auf die Schlagzeile allein nicht reicht: Die am meisten zitierte Lücke ist nach Microsofts eigener Skala nur "moderat", während die tatsächlich kritischen Schwachstellen in Exchange und Active Directory deutlich weniger mediale Aufmerksamkeit bekommen. Für Unternehmen mit eigener Server-Infrastruktur ist genau das die Lücke, die zählt – nicht die, über die am meisten berichtet wird.