Microsoft hat am 10. November 2026 seine monatlichen Sicherheitsupdates veröffentlicht. Sie schließen 1.093 Schwachstellen in Windows, Office, Exchange Server, SharePoint und weiteren Produkten, 63 davon stuft Microsoft als kritisch ein. Eine Lücke wird bereits für Angriffe genutzt: CVE-2026-124194 in Outlook. Über sie können Angreifer die Anmeldedaten eines Nutzers in Form eines NTLM-Hashs abgreifen. Die US-Cybersicherheitsbehörde CISA hat sie noch am selben Tag in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.
Steckbrief der Outlook-Lücke CVE-2026-124194
| Merkmal | Angabe |
|---|---|
| Kennung | CVE-2026-124194 |
| Art | Spoofing: Outlook warnt nicht vor einer unsicheren Aktion (CWE-356) |
| Folge | Preisgabe des NTLMv2-Hashes des angemeldeten Nutzers an einen Server des Angreifers |
| Bewertung | CVSS 6.5, von Microsoft als „Mittel“ (Moderate) eingestuft |
| Ausnutzung | Ja, vor Veröffentlichung des Updates; Angreifer und Ziele nennt Microsoft nicht |
| Betroffen | Microsoft 365 Apps for Enterprise, Office LTSC 2021, Office LTSC 2024 (32 und 64 Bit) |
| Behoben ab | Current Channel Version 2610 (Build 20527.20196; andere Kanäle mit eigenen Builds), LTSC 2021 Build 16.0.14334.21048, LTSC 2024 Build 16.0.17932.21140 |
| Mitwirkung des Opfers | Ja: Der Nutzer muss eine präparierte Datei öffnen. Die Vorschau in Outlook löst die Lücke laut Microsoft nicht aus. |
| Frist CISA | 24. November 2026 für US-Bundesbehörden |
So funktioniert der Angriff
Der Angreifer schickt eine präparierte Datei und bringt das Opfer dazu, sie zu öffnen. Outlook baut daraufhin eine Verbindung zu einem Server des Angreifers auf – ohne die übliche Warnung vor externen Inhalten. Bei dieser Verbindung versucht Windows sich automatisch mit dem NTLM-Verfahren anzumelden und kann dabei den sogenannten NTLMv2-Hash des Nutzers übermitteln. Mit diesem Hash kann sich der Angreifer je nach Umgebung gegenüber anderen Diensten als dieser Nutzer ausgeben oder versuchen, das Passwort offline zu errechnen.
Die Einstufung als nur „Mittel“ täuscht: Der Angriff braucht keine eigene Anmeldung des Angreifers, und in Netzwerken, in denen NTLM noch breit zugelassen ist, ist ein abgegriffener Hash ein Einstieg für weitere Schritte. Als Entdecker nennt Microsoft Benoît Sevens (Anthropic), der dabei Claude einsetzte, sowie „nono“.
Die weiteren kritischen Lücken dieses Patchdays
| Komponente | Kennung | CVSS | Einordnung |
|---|---|---|---|
| Windows Search | CVE-2026-116928 | 9.8 | Kritisch. Über Exchange kann ein präparierter Anhang automatisch indexiert werden; der Empfänger muss nichts öffnen. |
| Windows LDAP | CVE-2026-119958 | 9.8 | Kritisch, Codeausführung ohne Anmeldung |
| Windows Schannel | CVE-2026-119952 | 8.1 | Kritisch, ohne Anmeldung und ohne Nutzeraktion; Ausnutzung laut Microsoft „wahrscheinlicher“ |
| Active-Directory-Domänendienste | CVE-2026-118146 | 8.8 | Kritisch, Angreifer braucht ein Konto mit geringen Rechten; Ausnutzung „wahrscheinlicher“ |
| Exchange Server Subscription Edition | CVE-2026-118207 | 8.8 | Kritisch, Angreifer braucht eine Anmeldung; Ausnutzung „wahrscheinlicher“ |
| Windows SMB-Server | CVE-2026-113825 | 7.5 | Kritisch |
| Outlook (Codeausführung) | CVE-2026-110043, CVE-2026-110068, CVE-2026-111309 | je 8.8 | Kritisch; eine präparierte E-Mail genügt, schon die Anzeige im Vorschaufenster kann die Lücke auslösen |
Hohe CVSS-Werte tragen auch Lücken, die Microsoft nur als „Wichtig“ einstuft: Kerberos (CVE-2026-85844, 9.8), die Windows-DNS-Komponente (CVE-2026-88218, 9.8), die auch Arbeitsplätze mit Windows 10 und 11 betrifft, der DHCP-Server (CVE-2026-88243, 9.8) und SharePoint Server (CVE-2026-120002, 9.9). Diese Updates gehören nicht in den nächsten Monat. Zusätzlich hat CISA eine bereits ausgenutzte Lücke im Browser-Kern Chromium (CVE-2026-125350) in den Katalog aufgenommen; sie kann laut CISA auch Microsoft Edge betreffen.
Patchday November 2026: so gehen Sie vor
Die Reihenfolge richtet sich nach dem Risiko: zuerst, was bereits angegriffen wird, dann kritische Lücken, die ohne Nutzeraktion erreichbar sind, dann der Rest.
- Office auf allen Arbeitsplätzen aktualisieren. In Outlook unter Datei › Office-Konto › Updateoptionen „Jetzt aktualisieren“ wählen oder die Verteilung zentral über Intune, Configuration Manager oder die Cloud-Updateverwaltung von Microsoft 365 Apps anstoßen. Danach den Build-Stand prüfen: im Current Channel mindestens Version 2610, Build 20527.20196; für Monthly Enterprise und Semi-Annual Enterprise Channel nennt Microsoft eigene Builds in den Versionshinweisen vom 10. November.
- Windows-Updates verteilen. Die kumulativen Updates für Windows 11 und – mit Extended Security Updates – Windows 10 sowie für Windows Server in das nächste Wartungsfenster legen. Domänencontroller und DHCP-Server zuerst.
- Exchange Server und SharePoint Server einplanen. Das Sicherheitsupdate für Exchange Server Subscription Edition und das kumulative Windows-Update im selben Wartungsfenster einspielen. Auf SharePoint-Servern das November-Update installieren.
- NTLM-Abfluss erschweren. Unabhängig von diesem Update empfehlen Fachleute, ausgehende SMB-Verbindungen (TCP 445) ins Internet an der Firewall zu sperren und NTLM schrittweise einzuschränken. Microsoft selbst nennt für CVE-2026-124194 keine Umgehungslösung – das Update ist der Schutz.
- Erfolg kontrollieren. Nach dem Wartungsfenster den Patch-Stand aller Geräte auswerten: Welche Arbeitsplätze haben das Office-Update noch nicht, welche Server stehen auf einem Neustart? Erst der kontrollierte Stand zählt.
Was der Patchday über das eigene Patch-Management verrät
Die ausgenutzte Lücke steckt in Office, nicht in Windows. Wer seine Arbeitsplätze nur über Windows Update versorgt und Office-Updates den Nutzern überlässt, hat an dieser Stelle eine Lücke im Ablauf. Ein wirksames Patch-Management erfasst beide Wege, setzt Fristen nach Schwere und kontrolliert das Ergebnis, statt sich auf die Verteilung zu verlassen.
- Ausgenutzte Lücken innerhalb weniger Tage schließen, kritische innerhalb des nächsten Wartungsfensters.
- Office-Updates zentral steuern und den Build-Stand je Gerät sichtbar machen.
- Server-Rollen mit Netzwerkdiensten (Domänencontroller, DNS, DHCP, Exchange) nicht hinter Arbeitsplätzen zurückstellen.
- Nach jedem Patchday eine kurze Auswertung: Was ist installiert, was fehlt, was braucht einen Neustart?
In unserer Betreuung spielen wir die Updates nach festen Fristen ein, Office und Windows getrennt überwacht, und legen Server in abgestimmte Wartungsfenster. Nach jedem Patchday sehen unsere Kunden, welcher Stand erreicht ist.
Häufige Fragen
Was ist am Patchday im November 2026 passiert?
Microsoft hat am 10. November 2026 Sicherheitsupdates für 1.093 Schwachstellen veröffentlicht, 63 davon kritisch. Eine Lücke in Outlook, CVE-2026-124194, wurde bereits vor dem Update für Angriffe genutzt.
Welche Outlook-Versionen sind von CVE-2026-124194 betroffen?
Microsoft 365 Apps for Enterprise sowie Office LTSC 2021 und Office LTSC 2024, jeweils in 32 und 64 Bit. Behoben ist sie im Current Channel ab Version 2610, Build 20527.20196; für die Enterprise-Kanäle nennt Microsoft eigene Builds.
Reicht Windows Update, um die Outlook-Lücke zu schließen?
Nein. Die Lücke steckt in Office und wird über das Office-Update geschlossen. Prüfen Sie deshalb den Build-Stand von Microsoft 365 Apps beziehungsweise Office separat.
Wird die Lücke schon durch die Vorschau in Outlook ausgelöst?
Nein. Laut Microsoft muss der Nutzer die präparierte Datei öffnen; die Vorschau ist bei dieser Lücke kein Angriffsweg. Anders bei drei weiteren, kritischen Outlook-Lücken dieses Patchdays: Dort kann schon das Vorschaufenster genügen.
Was ist ein NTLM-Hash und warum ist er gefährlich?
NTLM ist ein älteres Windows-Anmeldeverfahren. Bei einer Verbindung zu einem fremden Server übermittelt Windows einen aus dem Passwort abgeleiteten Wert, den NTLMv2-Hash. Angreifer können ihn nutzen, um sich als dieser Nutzer auszugeben, oder versuchen, daraus das Passwort zu errechnen.
Gibt es eine Umgehungslösung, wenn ich nicht sofort aktualisieren kann?
Microsoft nennt keine. Fachleute empfehlen als allgemeine Härtung, ausgehende SMB-Verbindungen ins Internet zu sperren und NTLM einzuschränken. Das ersetzt das Update nicht.
Welche Server-Updates sind diesen Monat besonders wichtig?
Windows Search, LDAP und Schannel mit kritischen Lücken ohne Anmeldung, die Active-Directory-Domänendienste, Exchange Server Subscription Edition sowie DHCP- und SharePoint-Server mit CVSS-Werten bis 9.9. Die Lücke in der Windows-DNS-Komponente betrifft auch Arbeitsplätze.
Warum nennen manche Berichte 1.235 Lücken?
Sie zählen 142 Schwachstellen im Browser Edge hinzu, die aus dem Chromium-Projekt stammen. Microsoft selbst hat am 10. November 1.093 eigene Schwachstellen veröffentlicht.
Verwandte Themen: Wer hier weiterdenkt, liest bei Firmenhandys absichern, Linux-Server und Windows Update weiter.
Im Text erwähnt
Quellen
- Security Update Guide – Sicherheitsdaten November 2026 (CVRF) · Microsoft Security Response Center
- Release notes for Microsoft 365 Apps security updates · Microsoft
- Known Exploited Vulnerabilities Catalog · CISA
- Microsoft's November 2026 Patch Tuesday Addresses 1,093 CVEs (CVE-2026-124194) · Tenable
- Microsoft November 2026 Patch Tuesday fixes 1,235 flaws, Outlook zero-day · BleepingComputer
- Microsoft-Patchday: Attacken auf Outlook beobachtet · heise online
