Microsoft schließt 1094 Schwachstellen im November Patch Tuesday: Aktive Zero-Day-Exploits in Outlook und zwei 9,8-bewertete Zero-Click-Luecken

Im Rahmen der planmäßigen November-Updates für den Patch Tuesday hat Microsoft 1094 Schwachstellen in seinen Produkten behoben, darunter eine Zero-Day-Lücke, die bereits in realen Angriffen ausgenutzt wird, zwei Zero-Click-Schwachstellen mit einer kritischen Gefahrenstufe von 9,8 von 10 sowie 30 sogenannte „wurmartige“ Fehler, die keinerlei Interaktion seitens des Opfers erfordern. Obwohl das November-Paket vom Umfang her hinter dem Oktober-Paket mit 1413 behobenen Problemen zurückbleibt, ist es nach Einschätzung von Experten hinsichtlich der operativen Bedrohung für Unternehmensnetzwerke nicht weniger schwerwiegend: Die aktive Ausnutzung des Zero-Day-Exploits in Outlook und die Möglichkeit der Remotecodeausführung ohne einen einzigen Klick des Benutzers machen das Aufschieben der Patch-Installation äußerst riskant.

Zero-Day in Outlook: NTLMv2-Hash-Leak ohne Standardwarnung

Die einzige Zero-Day-Schwachstelle im November-Paket ist unter der Nummer CVE-2026-124194 registriert und betrifft den Microsoft Outlook-Client. Obwohl die formale Gefahreneinstufung bei 6,5 von 10 liegt, warnen Experten davor, das Problem zu unterschätzen. Die Angriffsmechanik sieht wie folgt aus: Ein Angreifer sendet dem Opfer eine speziell präparierte Datei und bringt den Benutzer dazu, diese zu öffnen. Daraufhin greift Outlook auf eine vom Hacker kontrollierte Netzwerkressource zu, ohne die Standardwarnung über das Laden externer Inhalte anzuzeigen. Dies führt zum Abfluss des NTLMv2-Hashs der Benutzeranmeldedaten, den der Angreifer für die Authentifizierung im System im Namen des Opfers nutzen kann. Microsoft bestätigte, dass CVE-2026-124194 bereits ausgenutzt wird, gab jedoch – wie so oft – weder den Zeitpunkt des Angriffsbeginns noch die Identität der Angreifer oder die nach dem Zugriff ergriffenen Maßnahmen preis. Experten erinnern daran, dass nach Veröffentlichung des Patches andere Angreifer dazu übergehen könnten, Netzwerke massiv nach anfälligen Outlook-Versionen zu scannen und den Patch-Code zu analysieren, um eigene Exploits zu entwickeln.

Zwei Zero-Click-Schwachstellen mit kritischem Rating von 9,8

Im aktuellen Paket wurden zwei Zero-Click-Schwachstellen behoben, die keinerlei Benutzerinteraktion für einen Angriff erfordern. Die erste, CVE-2026-116928, hängt mit einem Pufferüberlauf (Out-of-Bounds-Schreiben) in der Komponente Microsoft Windows Search zusammen und birgt die Gefahr der Remotecodeausführung. Ein unautorisierter Angreifer kann diese Suchfunktion in Microsoft Exchange nutzen, indem er eine E-Mail mit einem speziell präparierten Anhang versendet. Exchange verarbeitet Anhänge automatisch für die Indizierung, sodass das Opfer weder die E-Mail noch die Datei öffnen muss. Eine erfolgreiche Ausnutzung ermöglicht es dem Angreifer, Code mit den Berechtigungen des Dienstes auszuführen, der für die Datenverarbeitung verantwortlich ist. Die zweite Lücke, CVE-2026-119958, gehört ebenfalls zur Klasse des Pufferüberlaufs, jedoch in der Implementierung des LDAP-Protokolls. Sie erlaubt die Remotecodeausführung ohne jegliche Benutzerbeteiligung: Es genügt, eine speziell formulierte LDAP-Anfrage an ein anfälliges System zu senden, was zur Kompromittierung von Domänencontrollern führen kann. Beide Schwachstellen erhielten eine kritische Bewertung von 9,8 von 10.

„Wurmartige“ Bedrohungen und ein kritisches Loch in Xbox Live

Neben den Zero-Click-Problemen finden sich in der November-Liste 30 „wurmartige“ Schwachstellen, für deren Ausnutzung weder Benutzerinteraktion noch Netzwerkaktivitäten erforderlich sind – theoretisch bedeutet dies die Möglichkeit einer autonomen Verbreitung von Schadcode innerhalb der Infrastruktur. Besondere Aufmerksamkeit verdient die kritische Schwachstelle CVE-2026-112967 im Windows-Dienst „Xbox Live Networking Service“: Sie erlaubt ebenfalls die Remotecodeausführung, hat eine Bewertung von 9,8 von 10 und benötigt für die Ausnutzung weder Authentifizierung noch Benutzeraktionen. Obwohl der Xbox Live Networking Service primär mit dem Gaming-Ökosystem assoziiert wird, macht die Präsenz einer kritischen RCE-Schwachstelle in der Windows-Serverinfrastruktur sie auch für Unternehmensumgebungen relevant, in denen dieser Dienst aktiv sein könnte.

Kontext: November gegen das Rekord-Oktober-Paket

Zum Vergleich: Im Oktober 2026 Patch Tuesday behob Microsoft eine Rekordzahl von 1413 Schwachstellen, darunter drei Zero-Day-Probleme, von denen eines (CVE-2026-96951, 8,8 CVSS-Punkte) bereits in realen Angriffen verwendet wurde und mit der Umgehung des „Mark of the Web“-Mechanismus in der Windows-Shell zusammenhing. Im Oktober betrafen die meisten Korrekturen – 1102 – direkt Windows, weitere 134 wurden in Office geschlossen, 61 in Entwicklertools, 36 in SharePoint Server und 22 in SQL Server; etwa 70 Schwachstellen wurden als kritisch eingestuft. Das November-Paket ist in der Gesamtzahl (1094) etwas kleiner, aber die Konzentration an aktiv ausgenutzten und Zero-Click-Problemen macht es für Administratoren zu einer ebenso hohen Priorität.

Empfehlungen zur Reaktion

Experten sind sich einig: Die Updates sollten umgehend installiert werden, insbesondere für die Outlook-, Windows Search/Exchange- und LDAP-Komponenten. IT-Sicherheitsteams in Unternehmen wird empfohlen, das Monitoring von Postfächern auf verdächtige Anhänge zu intensivieren, zu prüfen, ob Dateien, die dem beschriebenen Angriffsschema für CVE-2026-124194 entsprechen, bereits zuvor empfangen oder geöffnet wurden, und Domänencontroller auf Anzeichen einer Ausnutzung von CVE-2026-119958 zu prüfen. Benutzer, die den Patch nicht sofort installieren können, sollten das Öffnen unaufgeforderter Anhänge unterlassen und die Hintergrundlaufzeit von Outlook minimieren.