Patchday im November: Microsoft stopft 1.235 Lücken, Outlook-Zero-Day wird bereits ausgenutzt

Microsoft hat zum Patchday am 10. November 2026 Sicherheitsupdates für 1.235 Schwachstellen veröffentlicht, darunter eine bereits ausgenutzte Zero-Day-Lücke in Outlook. Laut Microsoft gelingt der Angriff nur mit Netzwerkverbindung und einer Handlung des Opfers. Die Zählung stammt von BleepingComputer und lässt 108 früher im Monat behobene Fehler außen vor. Die Outlook-Lücke CVE-2026-124194 gibt beim Öffnen einer präparierten Nachrichtendatei Anmeldeinformationen preis. Ein geöffneter Anhang genügt.

Outlook-Zero-Day: eine Datei, ein Hash, ein Konto

Die Outlook-Lücke CVE-2026-124194 ist laut BleepingComputer-Bericht vom 10. November die einzige Zero-Day-Schwachstelle dieses Patchdays. Angreifer nutzten sie bereits, um NTLM-Hashes zu stehlen. Microsoft führt den Fehler als Spoofing-Lücke. Gemeint ist eine Schwachstelle, die eine falsche Quelle vortäuscht. Als Zero-Day gilt bei Microsoft eine Lücke, die öffentlich bekannt oder aktiv ausgenutzt ist, bevor ein offizieller Fix existiert.

Microsoft schildert den Ablauf Schritt für Schritt. Ein Angreifer ohne Anmeldung verschickt eine präparierte Nachrichtendatei. Er überredet das Opfer, sie in einer betroffenen Outlook-Version zu öffnen. Outlook verbindet sich dann mit einem Netzwerkziel des Angreifers. Die übliche Warnung vor externen Inhalten bleibt aus. Dabei können Anmeldeinformationen abfließen. Mit ihnen kann sich der Angreifer als Opfer ausgeben. Ausgerechnet der Warnhinweis schweigt. Er hatte genau eine Aufgabe.

BleepingComputer ordnet den Fehler als NTLM-Credential-Disclosure ein. NTLM ist ein älteres Windows-Verfahren für die Anmeldung im Netzwerk. Öffnet jemand den Anhang, verbindet sich Windows mit einer Freigabe des Angreifers. Dort versucht Windows unter Umständen automatisch, sich anzumelden. Dabei wird der NTLMv2-Hash des Kontos übertragen, ein aus dem Passwort abgeleiteter Prüfwert. Der Angreifer fängt ihn ab. Offline kann er ihn knacken. Mit den Zugangsdaten gelangt er in Firmenkonten.

Ähnliche Lücken wurden laut BleepingComputer schon früher ausgenutzt. Meist kamen sie als Anhang in Phishing-Kampagnen. Das Muster ist alt. Neu ist die Verpackung. Phishing lebt seit jeher von der Mitwirkung der Opfer. Dagegen hilft kein Patchday.

Patchday im Zahlenvergleich: Der Oktober lag höher

Der Patchday im November folgt laut BleepingComputer einer Serie von Rekordmonaten, in der Microsoft weiter KI einsetzt, um Lücken zu finden und zu schließen. BleepingComputer spricht von einer Rekordzahl. Der Oktober-Patchday am 13. Oktober hatte allerdings 1.411 Fehler behoben. Wie Microsoft mit KI nach Lücken sucht, zeigt die Arbeit von Microsofts KI-Team FORGE. Der Rekordpatch im August wirkt dagegen inzwischen bescheiden.

Als kritisch stuft Microsoft im November 66 Lücken ein. Davon erlauben 48 Remote Code Execution, also das Ausführen von Code aus der Ferne. Weitere 15 sind Rechteausweitungen, bei denen sich Angreifer höhere Berechtigungen verschaffen. Drei sind Use-After-Free-Fehler in Edge. Dabei greift Software auf Speicher zu, der bereits freigegeben ist. Rund 639 Lücken entfallen auf Windows und seine Komponenten.

Die folgende Tabelle zeigt die ungefähre Zahl behobener Fehler je Kategorie im November und Oktober 2026 laut BleepingComputer.

Rechteausweitung führt in beiden Monaten mit Abstand. Edge-Lücken weist BleepingComputer nur für November als eigene Kategorie aus. Gezählt wird nur, was Microsoft am Patchday selbst veröffentlicht. Deshalb fehlen in der Novembersumme ein Fehler in Entra Device Registration, 82 in Mariner und 25 in Edge. Mariner ist Microsofts hauseigene Linux-Distribution. Im Oktober blieben sogar 348 früher behobene Fehler außerhalb der Zählung. Wer den Patchday nur an der Schlagzeile misst, unterschätzt ihn.

Zero-Days gab es im Oktober drei. Aktiv ausgenutzt wurde eine Umgehung von Mark of the Web, der Windows-Markierung für Dateien aus dem Internet. Öffentlich bekannt waren zwei Lücken in .NET Framework und MessagePack-CSharp. Im November bleibt es bei einer. Eine reicht.

Wer muss jetzt zuerst patchen?

Das Outlook-Update gegen CVE-2026-124194 hat Vorrang, weil diese Lücke als einzige des November-Patchdays bereits für Angriffe genutzt wird. Wie knapp das Zeitfenster zwischen Patch und Exploit oft ist, beschreibt der Microsoft-Report zu Patch und Phishing.

Dieses Bild wurde mit KI generiertProviderhiggsfieldModellgpt_image_2_5 flare high 1k 16:9PromptPaper cut collage, top-down view of layered handmade paper in cream, teal, mustard and deep red. On the left, a paper envelope with a paperclip and a small file icon lies open. From it a dotted path of cut paper arrows leads across the scene to a dark grey server tower on the right, marked with a red warning triangle. A small paper key shape travels along the path, symbolizing stolen login credentials. In the foreground a green paper shield with a checkmark stands in front of the envelope as the priority update. Visible paper edges, soft drop shadows between layers, tactile texture, warm diffused light. No people, no hands. No watermark, no signature.

Die Windows-11-Pakete tragen laut BleepingComputer die Nummern KB5132061 und KB5131087. Für Windows 10 erscheint das erweiterte Sicherheitsupdate KB5131096. Manche Geräte bekommen diesen Patchday trotzdem nicht. Windows 11 24H2 in den Editionen Home und Pro erhielt laut Microsoft am 13. Oktober 2026 das letzte Update. Dasselbe gilt für Windows 10 Enterprise LTSB 2016. Für Windows 11 23H2 Enterprise, Education und IoT Enterprise kündigte Microsoft das Ende der Sicherheitsupdates ab November an.

Auf diesen Rechnern läuft der Patchday ins Leere. Brisant ist das für Teams, die mit dem Rollout auch ihre Windows-Flotte für geschützt halten. Die Windows-Korrekturen dieses Monats erreichen die genannten Editionen nicht mehr. Gepatcht ist dann nur das Gewissen.

Unter den kritischen Einträgen der Microsoft-Liste stehen zwei Lücken in den Active Directory Domain Services, dem Dienst, der Konten und Rechte im Windows-Netz verwaltet. CVE-2026-118146 erlaubt dort Remote Code Execution. CVE-2026-118148 ist eine Rechteausweitung. Kritisch eingestuft ist auch eine Remote-Code-Execution-Lücke in Graphic Fonts, CVE-2026-119969. In der Cloud führt die Liste kritische Rechteausweitungen in Azure OpenAI und Azure Managed Grafana. Domänencontroller verzeihen wenig.

Für die Reihenfolge im Unternehmen ergibt sich daraus folgender Ablauf.

1. Spielen Sie das Outlook-Update gegen CVE-2026-124194 vor allen anderen Updates dieses Patchdays ein.
2. Prüfen Sie, welche Windows-Editionen in Ihrer Flotte noch Sicherheitsupdates erhalten.
3. Warnen Sie Mitarbeitende vor unerwarteten Nachrichtendateien im Anhang.
4. Verteilen Sie anschließend die kritischen Updates, beginnend mit den Remote-Code-Execution-Lücken in den Active Directory Domain Services.

Tipp: Gleichen Sie Ihre Geräteliste mit den Editionen ab, deren Updates im Oktober oder November 2026 endeten, bevor Sie den Patchday als erledigt abhaken.

Barracuda bis Zyxel: Angriffe auch bei anderen Herstellern

Parallel zum Patchday melden mehrere Hersteller laut BleepingComputer für November 2026 Lücken, die bereits angegriffen werden. Die folgende Tabelle fasst die genannten Updates und Warnungen zusammen.

VPN-Gateways, Firewalls und Switches stehen damit an diesem Patchday neben Outlook ganz oben. Ivanti, SonicWall und Zyxel treffen genau diese Geräteklassen. Wartungsfenster interessieren Angreifer dort wenig.

Bei N-able sind die Zero-Days bislang nur angeblich. Laut BleepingComputer wurden sie am 9. November öffentlich gemacht. Daraufhin nahm das Unternehmen seine gehosteten N-central-Umgebungen vom Netz. N-central ist eine Plattform, über die IT-Dienstleister Kundensysteme fernverwalten. Ein abgeschaltetes Fernwartungswerkzeug ist unbequem. Ein kompromittiertes wäre schlimmer.

Auch Microsoft führt zum Patchday eine OpenSSH-Lücke im Zusammenspiel mit musl, gelistet unter Mariner. Laut dem Eintrag CVE-2026-123158 betrifft sie sshd aus OpenSSH vor Version 10.6p2 unter Linux. Voraussetzung ist musl libc, eine schlanke C-Standardbibliothek. Zudem muss PAM fehlen, das modulare Anmeldesystem unter Linux. Als Beispiel nennt der Eintrag Alpine Linux. Bei manchen Kontokonfigurationen funktioniert dort jedes Passwort mit 256 bis 1024 Zeichen. Länge schlägt Inhalt.

Tipp: Prüfen Sie Ivanti-Connect-Secure-Gateways auf Spuren eines Einbruchs, denn die verketteten Lücken werden laut BleepingComputer seit mindestens 1. Oktober angegriffen.

Risikokohorten: Microsofts Sortierhilfe für die Patchflut

Risikokohorten nennt Microsoft seit dem Patchday im Oktober 2026 Gruppen verwandter Schwachstellen, die beim Priorisieren helfen sollen. Für Oktober veröffentlichte Microsoft laut BleepingComputer 15 solcher Kohorten. Darunter waren 136 Lücken in Windows-Dateisystemen, Speicher und Backup. Eine weitere Kohorte umfasste 135 Lücken in Office-Dokumenten und Mailprogrammen. Für Outlook-Teams ist das die relevante Gruppe.

Microsoft betont, dass die Gruppen nicht anzeigen, welche Lücken am gefährlichsten sind. Das Risiko hänge davon ab, ob eine Lücke ausgenutzt wird, wie schwer sie wiegt und wie eine Organisation die Software nutzt. Den Ansatz nennt Microsoft experimentell. Er soll die bestehenden Patch-Empfehlungen ergänzen. Die Zuordnung für Oktober liegt als PDF vor. Eine Sortierhilfe für Fluten ist nützlich. Weniger Flut wäre nützlicher.

Ob Microsoft die Kohorten auch für November veröffentlicht, geht aus dem BleepingComputer-Bericht nicht hervor. Der nächste reguläre Patchday folgt im Dezember. Bis dahin sollte jedes Outlook im Unternehmen den Fix gegen CVE-2026-124194 tragen. Rechner ohne Support brauchen bis dahin eine neue Windows-Version.