Der Patch Tuesday von Microsoft im November ist bereits das zweite Update in Folge mit über tausend behobenen Schwachstellen. Die Hauptbedrohung ist die Schwachstelle CVE-2026-124194 in Microsoft Outlook, die nach Angaben von Microsoft bereits von Angreifern ausgenutzt wird. Die Ausnutzung ermöglicht es, den NTLMv2-Authentifizierungs-Hash des Opfers abzufangen, was den Weg für eine Impersonation des Benutzers eröffnet. CISA hat die Schwachstelle in den Katalog der Known Exploited Vulnerabilities mit einer Frist zur Behebung bis zum 24. November 2026 aufgenommen. Alle Organisationen, die Outlook einsetzen, sollten den Patch mit höchster Priorität installieren.
Umfang des Updates: Abweichungen bei der Zählung
Laut der Release-Seite von Microsoft umfasst das Update 1.259 Schwachstellen. Nach Zählung von Tenable werden im Release jedoch 1.093 CVE adressiert, von denen 63 als kritisch eingestuft wurden, 1.029 als wichtig und eine als moderat. Die Abweichung lässt sich vermutlich durch Unterschiede in der Zählmethodik erklären: Microsoft berücksichtigt in der Gesamtzahl auch externe CVE-Identifikatoren (im Ausgangsmaterial ist von 165 solchen Einträgen die Rede), während Tenable möglicherweise nur Schwachstellen erfasst, die unmittelbar von Microsoft behoben werden. Diese Zahlen sollten daher nicht als austauschbar betrachtet werden.
Wir haben bereits den Patch Tuesday im Oktober analysiert, der ebenfalls die Marke von tausend Fixes überschritten hat. Die November-Ausgabe bestätigt, dass dieser Umfang für Microsoft zur neuen Norm wird.
CVE-2026-124194: Spoofing-Schwachstelle in Outlook
Die zentrale Schwachstelle des Updates ist CVE-2026-124194, klassifiziert als Spoofing in Microsoft Outlook. Nach Angaben von Microsoft und Tenable wurde sie mit einem CVSS von 6.5 und einem moderaten Schweregrad bewertet.
Der Angriffsmechanismus sieht wie folgt aus: Ein Angreifer sendet dem Opfer eine speziell präparierte Nachrichten-Datei oder ein Office-Dokument. Öffnet der Benutzer diese Datei in einer verwundbaren Outlook-Version, initiiert der Client eine Verbindung zu einer vom Angreifer kontrollierten Netzwerkressource, ohne die standardmäßige Warnung vor externen Inhalten anzuzeigen. Dadurch kommt es zu einem Abfluss von Authentifizierungsdaten – des NTLMv2-Hashes, der in nachfolgenden Angriffen zur Impersonation des Benutzers verwendet werden kann.
Wichtige, von Microsoft bestätigte Einschränkungen der Ausnutzung:
- Es ist eine Netzwerkverbindung des Opfers erforderlich
- Es ist Benutzerinteraktion erforderlich – das Öffnen der schädlichen Datei
- Eine automatische Ausnutzung ohne Benutzeraktion ist nicht bestätigt
Trotz der moderaten CVSS-Bewertung verdient die Schwachstelle höchste Aufmerksamkeit. Sie ist die einzige CVE in diesem Update, die in den CISA-KEV-Katalog aufgenommen wurde, was den Nachweis aktiver Ausnutzung bestätigt. Microsoft hat nicht offengelegt, welcher konkrete Angreifer oder welche Gruppe die Schwachstelle nutzt, und keine technischen Details zur Ausnutzung bereitgestellt. Ebenfalls ist unbekannt, ob die Ausnutzung vor oder nach der Entdeckung der Schwachstelle durch die Forscher begonnen hat.
Weitere bedeutende Schwachstellen
Neben Outlook schließt das Update eine Reihe kritischer Schwachstellen für Remote Code Execution:
- CVE-2026-116928 – Schreibvorgang außerhalb des Puffers in der Komponente Windows Search, der Remote Code Execution über das Netzwerk ermöglicht
- CVE-2026-119958 – Schreibvorgang außerhalb des Puffers in Windows LDAP, ebenfalls mit der Möglichkeit zur Remote Code Execution über das Netzwerk
- CVE-2026-119952 – Remote Code Execution in Windows Schannel
- CVE-2026-95962 – Remote Code Execution in der Windows Virtual Filtering Platform
- CVE-2026-112967 – Heap-Pufferüberlauf im Windows Xbox Live Networking Service mit der Möglichkeit zur Remote Code Execution über das Netzwerk
- CVE-2026-119990 – Rechteausweitung in Azure OpenAI
Das verfügbare Ausgangsmaterial enthält keine Informationen zu den betroffenen Versionen für die genannten CVE. Es wird daher empfohlen, den MSRC-Portal für vollständige Konfigurationsdetails zu konsultieren.
Auswirkungsbewertung
CVE-2026-124194 stellt das größte praktische Risiko für Organisationen dar, in denen Outlook der Standard-Mailclient ist – was auf die überwiegende Mehrheit der Unternehmensumgebungen zutrifft. Ein abgefangener NTLMv2-Hash kann zur Authentifizierung im Namen des Opfers, zum Zugriff auf dessen Daten und potenziell zur lateralen Bewegung im internen Netzwerk verwendet werden. Der Erfolg solcher Folgeangriffe hängt jedoch von der konkreten Umgebungskonfiguration ab und ist nicht in jedem Fall garantiert.
Die Schwachstellen in LDAP und Windows Search sind insbesondere für Serverinfrastrukturen gefährlich, in denen diese Komponenten Netzwerkabfragen verarbeiten. Die Schwachstelle in Azure OpenAI betrifft Organisationen, die die Cloud-KI-Dienste von Microsoft nutzen.
Empfehlungen
- Installieren Sie den Patch für CVE-2026-124194 umgehend – dies ist die einzige Schwachstelle mit bestätigter Ausnutzung und CISA-KEV-Frist bis zum 24. November 2026
- Prüfen Sie, welche der genannten Komponenten (Windows Search, LDAP, Schannel, Xbox Live Networking Service, Azure OpenAI) in Ihrer Infrastruktur eingesetzt werden, und priorisieren Sie die Patches entsprechend
- Ziehen Sie als zusätzliche Schutzmaßnahme eine Einschränkung ausgehender SMB-Verbindungen und der NTLM-Authentifizierung zu externen Ressourcen in Betracht, um das Abfließen von Hashes zu erschweren
- Schulen Sie Benutzer darin, keine Anhänge aus nicht verifizierten Quellen zu öffnen – die Ausnutzung von CVE-2026-124194 setzt voraus, dass das Opfer die schädliche Datei selbst öffnet
Die Patch-Priorisierung in diesem Update ist eindeutig: CVE-2026-124194 in Outlook steht an erster Stelle, da es sich um die einzige Schwachstelle mit bestätigter Ausnutzung und regulatorischer Frist handelt. Danach folgen die kritischen Remote-Code-Execution-Schwachstellen in den Netzwerkkomponenten von Windows (LDAP, Search, Schannel), insbesondere auf Servern mit Netzwerkzugang. Die vollständige Liste der betroffenen Versionen und Konfigurationen ist auf dem MSRC-Portal verfügbar.
