Microsoft Patchday November 2026: Outlook-Lücke aktiv ausgenutzt

Microsoft Patchday November 2026 Fast 1.100 Sicherheitslücken und eine ausgenutzte Outlook-Schwachstelle

11.11.2026 Von Thomas Joos 4 min Lesedauer

Microsoft schließt im November fast 1.100 Schwachstellen, über 60 davon kritisch. Angreifer setzen bereits eine Outlook-Schwachstelle ein, die den NTLMv2-Hash eines Anwenders preisgibt. Windows 11 23H2 Enterprise und Education erhält zum letzten Mal Security-Fixes.

Die gefährlichste Schwachstelle des November-Patchdays von Microsoft ist CVE-2026-124194 in Outlook, weil sie bereits aktiv ausgenutzt wird. Technisch am schwersten wiegt aber CVE-2026-116928 in Windows Search (CVSS 9.8), die ohne Anmeldung und ohne Klick Code auf Exchange-Servern ausführen kann.(Bild: Dall-E / Vogel IT-Medien / KI-generiert) — Die gefährlichste Schwachstelle des November-Patchdays von Microsoft ist CVE-2026-124194 in Outlook, weil sie bereits aktiv ausgenutzt wird. Technisch am schwersten wiegt aber CVE-2026-116928 in Windows Search (CVSS 9.8), die ohne Anmeldung und ohne Klick Code auf Exchange-Servern ausführen kann.
(Bild: Dall-E / Vogel IT-Medien / KI-generiert)

Von den über 1.000 Sicherheitslücken des Microsoft Patchdays im November gilt CVE-2026-124194 als besonders relevant, da sie bereits aktiv ausgenutzt wird. Die Spoofing-Schwachstelle betrifft Outlook und hat einen CVSS-Score von 6.5. Angreifer ohne Konto können eine manipulierte Nachrichtendatei verschicken. Öffnet der Empfänger sie, schickt Outlook ohne Warnhinweis für externe Inhalte den NTLMv2-Hash an einen Netzwerkstandort des Angreifers, der sich damit laut Microsoft als dieser Benutzer anmelden kann. Per Vorschau gelingt der Angriff nicht. CISA führt die Schwachstelle seit dem 10.11.2026 im KEV-Katalog, Administratoren sollten die Office-Updates zuerst verteilen.

CVE-2026-41615 verleitet den Microsoft Authenticator zur Token-Weitergabe an Angreifer. Kein Exploit ist nötig, ein Nutzerklick genügt für eine Kontoübernahme. (Bild: Gemini / KI-generiert)

Exchange, SharePoint und Azure DevOps brauchen Updates

CVE-2026-116928 steckt in Windows Search und hat einen CVSS-Score von 9.8. Da Exchange Anhänge von Windows Search indizieren lässt, können Angreifer ohne Anmeldedaten per Anhang über einen Schreibzugriff jenseits des Puffers Code im verarbeitenden Dienst starten, ohne dass jemand die Nachricht öffnet. Den Fix liefert das Windows-Update auf dem Exchange-Server.

Bei CVE-2026-118207 in Exchange Server SE mit einem CVSS-Score von 8.8 können Angreifer mit schwach privilegiertem Konto per manipulierter Anfrage Code starten, da Exchange Eingaben fehlerhaft prüft, Microsoft erwartet hier eher Angriffe.

Bei CVE-2026-120002 in SharePoint Server Subscription Edition und CVE-2026-109467 in Azure DevOps Server, beide mit einem CVSS-Score von 9.9, können Konten mit Lesezugriff Aktionen an verbundenen Geschäftsdiensten auslösen oder Pipelines anstoßen, da beide Produkte Zugriffe fehlerhaft prüfen. Zu allen vier sind keine Angriffe bekannt.

Über eine Code-Injection-Schwachstelle in SharePoint Server können angemeldete Angreifer mithilfe präparierter Anfragen eigenen Code auf dem Server ausführen. (Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)

Kerberos und LDAP erlauben Angriffe auf Domänencontroller

CVE-2026-85844 in Kerberos hat einen kritischen CVSS-Score von 9.8, Microsoft vergibt dennoch nur die Stufe wichtig. Angreifer ohne Anmeldedaten können mit präpariertem Kerberos-Verkehr die Authentifizierung umgehen und per Relay einem Domänencontroller vorlegen, auf dem sie SYSTEM-Rechte erhalten.

Bei CVE-2026-119958 in Windows LDAP, ebenfalls mit einem CVSS-Score von 9.8, können Angreifer über präparierte LDAP-Aufrufe Speicher jenseits des Puffers beschreiben und Code im Kontext des LDAP-Dienstes starten. Angriffe sind nicht bekannt.

1.413 Sicherheitslücken schließt Microsoft beim Patchday im Oktober. Das übertrifft den September mit mittlerweile 999 Schwachstellen. (Bild: Dall-E / Vogel IT-Medien / KI-generiert)

DNS, DHCP und Schannel sind aus dem Netz angreifbar

Ein Double Free in Windows DNS erlaubt bei CVE-2026-88218 fremden Code, ein Lesezugriff außerhalb des Puffers im DHCP-Server bei CVE-2026-88243 ebenso. Beide haben einen CVSS-Score von 9.8 und verlangen weder Anmeldedaten noch einen Klick. Bei CVE-2026-119952 in Schannel (Secure Channel) mit einem CVSS-Score von 8.1 können Angreifer über messbare Zeitunterschiede per präpariertem Paket Code ausführen, sofern bestimmte Protokolleinstellungen aktiv sind. Microsoft erwartet dort eher Angriffe, kennt zu den drei Schwachstellen aber keine aber keine öffentlich verfügbaren Exploits und keine Hinweise auf aktive Ausnutzung.

Offizielle Microsoft-Patches für Winodws Server 2012 gibt es nicht mehr. 0patch versorgt Nutzer mit Mikropatches bis mindestens Oktober 2029. (Bild: Microsoft)

Windows-Clients bieten NTLM-Signaturen an

Bei CVE-2026-118737 mit einem CVSS-Score von 8.1 prüft die Remote Procedure Call Runtime kryptografische Signaturen fehlerhaft. Angreifer ohne Anmeldedaten können Code starten, sofern sie bei einer offenen DNS-Abfrage eine Race Condition gewinnen. Gegen die nicht angegriffene Schwachstelle schlagen Clients für nicht anonyme NTLM-Sessions eine Signatur vor, ab Mai 2027 sollen Windows-Server-Systeme sie verlangen). Administratoren sollten vorher über die Ereignisse 4022 und 4023 unsignierte Clients suchen.

Mit einer präparierten Datei oder einem Link können Cyberangreifer die Markierung umgehen, an der Windows Dateien aus dem Internet erkennt und Nutzer vor dem Öffnen warnt, die Mark of the Web. (Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Outlook startet Code schon im Vorschaufenster

Microsoft behebt drei kritische Outlook-Schwachstellen mit jeweils einem CVSS-Score von 8.8, bei CVE-2026-110043 läuft ein Heap-Puffer über, CVE-2026-110068 greift auf freigegebenen Speicher zu und CVE-2026-111309 gibt einen ungültigen Zeiger frei. Angreifer ohne Konto können eine manipulierte Mail zustellen, die Code unter dem Konto des Benutzers startet, sobald er sie im Vorschaufenster auswählt oder öffnet. Angriffe sind nicht bekannt.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Business E-mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.

Ein Fehler beim Entpacken von Brotli-Daten ermöglicht einen Pufferüberlauf, durch den Cyberangreifer angrenzende Speicherbereiche verfälschen können. Dies kann zu Remote Code Execution oder Denial of Service führen. (Bild: Gemini / KI-generiert)

Microsoft sichert Entra und Azure OpenAI ab

CVE-2026-109469 in Entra Device Registration hat einen CVSS-Score von 10.0, über einen vom Nutzer steuerbaren Schlüssel können Angreifer die Berechtigungsprüfung umgehen und erhöhte Rechte erlangen. In Azure OpenAI fehlte bei CVE-2026-119990 mit einem CVSS-Score von 9.8 für eine kritische Funktion jede Authentifizierung. Microsoft hat beide Dienste ohne Zutun der Kunden abgesichert, Angriffe sind nicht bekannt.

Unternehmen, die SaaS-Dienste nutzen möchten, stehen vor der Herausforderung, cloudbasierte Identitäten und traditionelle Verzeichnis‑Kompatibilität in einer Architektur zu vereinen. (© STUDIO.no.3 - stock.adobe.com / KI-generiert)

Windows 11 23H2 Enterprise läuft aus

Windows 11 23H2 Enterprise und Education erhält mit KB5131087 letztmals Sicherheitsfixes, zudem enden .NET 8 und .NET 9.

Microsoft-Produkte wie Windows, Azure, Office, Dynamics Visual Studio und viele mehr werden ausgemustert oder werden auf erweiterten Support umgestellt oder erhalten gar keinen Support mehr. (Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Fazit zum Patchday

Angreifer nutzen mit CVE-2026-124194 eine Outlook-Schwachstelle mit einem CVSS-Score von 6.5 aus, die NTLMv2-Hashes für Logins als das Opfer offenlegt. Ohne Anmeldedaten können Angreifer Domänencontroller über CVE-2026-85844 und CVE-2026-119958 sowie Exchange-Server über CVE-2026-116928 erreichen, alle mit einem CVSS-Score von 9.8. Für Windows 11 23H2 Enterprise und Education, .NET 8 und .NET 9 enden die Updates.

Auch 2026 ist der Microsoft Patchday immer am zweiten Dienstag des Monats. (Bild: Microsoft, Pixabay)

Ihre Meinung zu den Patchday-News ist gefragt!

Seit vielen Jahren veröffentlichen wir regelmäßig Meldungen zum Microsoft Patchday. Wir würden gerne von Ihnen wissen, wie wir die Meldungen noch nützlicher für Ihre tägliche Arbeit machen können. Welche Infos wünschen Sie sich zusätzlich, was können wir übersichtlicher machen, was weglassen? Schreiben Sie uns eine E-Mail! Wir lesen jede Zuschrift, versprochen!

Wir haben die wichtigsten Fakten zum Support-Ende von Windows 10 zusammengetragen, mit Experten mögliche Sicherheitsmaßnahmen für den Weiterbetrieb bewertet und ein alternatives Betriebssystem vorgestellt. Das Ergebnis ist diese Podcast-Reihe, die Sie durch diese Woche begleitet. (Bild: Vogel IT-Medien)

Der Microsoft Patchday ist immer am zweiten Dienstag des Monats. (Bild: Sahir_Stock - stock.adobe.com)

(ID:51011706)