Patch Tuesday van november 2026: 1.094 CVE's, 1 misbruikte zero-day

Microsofts Patch Tuesday -release van november 2026 behandelt 1.094 Microsoft-CVE's. Dat is minder dan het record van oktober van 1.413, maar het is nog steeds de op een na grootste Patch Tuesday-release tot nu toe, vóór september met 974. De release omvat Windows, Microsoft 365 en Office-apps, SQL Server, SharePoint Server, Exchange Server, Azure, Defender en ontwikkelaarstools. Microsoft publiceert ook 165 niet-Microsoft-CVE's opnieuw.

Eén kwetsbaarheid wordt al actief misbruikt: CVE-2026-124194, een spoofingfout in Microsoft Outlook. Microsoft beoordeelt deze als Matig, en er zijn in deze release geen CVE's openbaar gemaakt vóór de patch. Voor de derde maand op rij krijgt de kwetsbaarheid die aanvallers daadwerkelijk gebruiken een beoordeling onder Kritiek, en daarom moet de exploitatiestatus de volgorde van het werk bepalen.

Met meer dan 1.000 Microsoft CVE's om te beoordelen, hebben IT-teams een risicogebaseerde uitrol nodig die begint met de kwetsbaarheden die aanvallers gebruiken en de systemen waar een inbreuk de meeste schade zou aanrichten. In dit artikel lees je waar de kwetsbaarheden geconcentreerd zijn, hoe de Outlook zero-day werkt en waar de oplossing ervoor wordt uitgebracht, welke kritieke kwetsbaarheden je vervolgens moet aanpakken en hoe je de uitrol het beste kunt faseren.

Microsoft-patchoverzicht voor november 2026

Van de 1.093 CVEs met ernstbeoordelingen beoordeelde Microsoft er 63 als Critical, 1.029 als Important en 1 als Moderate.

Verhoging van bevoegdheden en uitvoering van externe code zijn goed voor ongeveer 76% van deze release:

Kwetsbaarheden voor uitvoering van externe code kunnen een aanvaller initiële toegang geven, en kwetsbaarheden voor escalatie van bevoegdheden kunnen die beperkte toegang omzetten in volledige controle over een systeem. Met meer dan 800 van deze twee typen in één release moeten IT-teams weten welke getroffen systemen blootgesteld zijn en welke bevoorrechte toegang hebben.

Waar de kwetsbaarheden geconcentreerd zijn

Windows is goed voor ongeveer twee derde van de CVE's van deze maand. Office en SharePoint Server voegen daar nog eens 201 aan toe, waardoor het risico via documenten hoog op de lijst blijft staan.

De door Microsoft gepubliceerde cijfers voor deze release verschillen licht: in de releasenotes en de uitsplitsing per productfamilie staat 1.094 CVE's, terwijl de ernstbeoordelingen 1.093 vermelden. Dit bericht gebruikt 1.094, het cijfer in de releasenotes van Microsoft.

Eén misbruikte zero-day in Outlook

Microsoft heeft deze maand één CVE als uitgebuit gemarkeerd. Het is de enige kwetsbaarheid met de beoordeling Moderate in de hele release.

Een niet-geverifieerde aanvaller stuurt een speciaal vervaardigd berichtenbestand en krijgt de ontvanger zover dat die het opent in Outlook. Door het bestand te openen maakt Outlook verbinding met een door de aanvaller beheerde netwerklocatie zonder de gebruikelijke waarschuwing voor externe inhoud weer te geven. Die verbinding kan de NTLMv2-hash van de gebruiker blootleggen, die een aanvaller kan gebruiken om zich in vervolg­aanvallen als de gebruiker voor te doen.

De gebruiker moet het bestand openen, en het voorbeeldvenster is geen aanvalsvector. Microsoft heeft niet gedeeld wie er achter de aanvallen zit of hoe wijdverspreid ze zijn. Moderate is één stap hoger dan Microsofts laagste beoordeling, maar dit is de enige CVE in deze release waarvan is bevestigd dat aanvallers die gebruiken, dus patch deze als eerste op elk apparaat waarop Outlook draait.

De oplossing wordt geleverd in de beveiligingsupdates voor Microsoft 365 Apps en Office LTSC 2021 en 2024. Deze maakt geen deel uit van de cumulatieve Windows-update (KB5132061), dus organisaties die alleen Windows-updates implementeren, blijven kwetsbaar totdat de Office-update is geïnstalleerd.

CISA voegde CVE-2026-124194 op 10 november 2026 toe aan zijn Known Exploited Vulnerabilities catalog, met een uiterste hersteldatum van 24 november 2026 voor federale instanties.

Kritieke kwetsbaarheden om hierna prioriteit aan te geven

Microsoft bestempelde deze maand 63 kwetsbaarheden als kritiek: 48 voor uitvoering van externe code en 15 voor bevoegdheidsescalatie. Behandel ze niet als één groep, maar prioriteer ze op basis van de getroffen infrastructuur, hoe blootgesteld die is en wat er op het spel staat bij een inbreuk.

Identiteits-, directory- en authenticatieservices

Domeincontrollers en de protocollen die authenticatie beveiligen, geven een aanvaller bereik over de hele omgeving. Voor het Active Directory Domain Services-lek (CVSS 8.8) is een geauthenticeerde aanvaller vereist, terwijl het Schannel-lek (CVSS 8.1) kan worden misbruikt door een niet-geauthenticeerde aanvaller via het netwerk. Microsoft beoordeelde beide als waarschijnlijker om te worden misbruikt.

Exchange, IIS en implementatieservers

Exchange Server (CVE-2026-118207), Internet Information Services (CVE-2026-119961) en Windows Deployment Services (CVE-2026-119951) hebben elk een kritieke kwetsbaarheid voor uitvoering van externe code. De Exchange-kwetsbaarheid scoort CVSS 8.8 en wordt beoordeeld als Exploitation More Likely.

Deze servers zijn vaak vanaf het internet bereikbaar of raken elk endpoint dat van hen afhankelijk is voor e-mail, webservices of provisioning. Ook SharePoint Server verdient aandacht: CVE-2026-120002 heeft de classificatie Important maar scoort CVSS 9.9, opnieuw een geval waarin het ernstlabel het risico onderschat.

Windows-services die via het netwerk toegankelijk zijn

Dit zijn allemaal kwetsbaarheden voor uitvoering van externe code in services die op het netwerk luisteren. Breng in kaart waar Message Queuing en de andere getroffen services zijn ingeschakeld, en zet extern bereikbare systemen bovenaan de wachtrij. Het NAT-lek (CVSS 8.1) is beoordeeld als Exploitation More Likely.

Hyper-V en Windows-privilege-escalatie

Windows Hyper-V heeft deze maand acht kritieke kwetsbaarheden voor bevoegdheidsverhoging:

• CVE-2026-113753

• CVE-2026-113856

• CVE-2026-113860

• CVE-2026-113861

• CVE-2026-113864

• CVE-2026-113865

• CVE-2026-119947

• CVE-2026-119960

De Graphics Kernel (CVE-2026-119966 en CVE-2026-125137) en Remote Desktop Services (CVE-2026-119957) hebben ook kritieke kwetsbaarheden voor bevoegdheidsescalatie. In combinatie met een kwetsbaarheid voor initiële toegang kunnen deze een aanvaller controle op SYSTEM-niveau geven.

Hyper-V-hosts draaien vaak veel productieworkloads, dus een kwetsbaarheid op hostniveau brengt elke guest daarop in gevaar. Gebruik gefaseerde tests en gecoördineerde onderhoudsvensters waar een directe uitrol services zou kunnen verstoren, maar houd die vensters kort.

Microsoft 365- en Office-applicaties

Office-applicaties zijn goed voor 22 van de Critical-kwetsbaarheden voor remote code execution van deze maand:

Excel heeft opnieuw de grootste concentratie kritieke kwetsbaarheden in één enkele app. Kwaadaardige documenten blijven een van de meest voorkomende manieren om gebruikersomgevingen binnen te dringen. De drie kritieke Outlook-kwetsbaarheden (CVE-2026-110043, CVE-2026-110068 en CVE-2026-111309) zijn niet gemarkeerd als uitgebuit. Ze worden geleverd via hetzelfde Office-updatekanaal als de zero-day-fix, dus één Office-uitrol kan beide aanpakken.

Bestands-, media- en zoekcomponenten

Kritieke kwetsbaarheden voor uitvoering van externe code treffen ook Graphic Fonts (CVE-2026-119969), de Windows Codecs Library (CVE-2026-113749), Raw Image Extension (CVE-2026-114169), Windows Search (CVE-2026-116928) en Print Spooler Components (CVE-2026-113752).

De kwetsbaarheden in lettertypen, codecs, afbeeldingen en zoeken kunnen worden misbruikt via gemanipuleerde content, waardoor ze ook op alledaagse endpoints binnen bereik liggen. Print Spooler draait op de meeste Windows-apparaten en wordt bij patchrondes gemakkelijk over het hoofd gezien, dus controleer of het in dezelfde uitrol is opgenomen als de rest van de release.

Azure en beveiligingsservices

Azure OpenAI (CVE-2026-119990) en Azure Managed Grafana (CVE-2026-114160) hebben elk een kritieke kwetsbaarheid voor verhoging van bevoegdheden, en Microsoft Defender heeft een kritieke kwetsbaarheid voor uitvoering van externe code (CVE-2026-122194). Cloudservices en beveiligingstools hebben dezelfde verificatie nodig als on-premises-systemen, en een kwetsbaarheid in een beveiligingsproduct is op zichzelf al een waardevol doelwit.

Hoe geef je prioriteit aan patches van november 2026

Er is geen vaste tijdlijn die bij elke omgeving past. Gebruik deze niveaus als uitgangspunt en pas ze vervolgens aan op basis van blootstelling, bedrijfsimpact en testvereisten.

Patch binnen 72 uur

• CVE-2026-124194, via de Microsoft 365 Apps- en Office LTSC-updates, op elk apparaat waarop Outlook wordt uitgevoerd

• Active Directory Domain Services, LDAP, Schannel en CredSSP op domeincontrollers en verificatieservers

• Exchange Server en IIS, te beginnen met internetgerichte systemen

• Message Queuing, SMB Server, TCP/IP en NAT op systemen waarop die services bereikbaar zijn

• Hyper-V-hosts

• Google Chrome CVE-2026-125350, behandeld in het gedeelte over derden hieronder

• Elke CVE die later wordt toegevoegd aan de CISA KEV-catalogus of wordt gemarkeerd als Exploitation More Likely

Patch binnen 1 tot 2 weken

• Resterende kritieke Office-kwetsbaarheden, te beginnen met Excel, daarna Word, Outlook en PowerPoint. Microsoft vermeldt Office-updates als cumulatief, behalve voor Office 2016, dus de uitrol van de zero-day bevat de meeste van deze oplossingen al in Microsoft 365 Apps en Office LTSC. Controleer Office 2016 afzonderlijk.

• Graphic Fonts, Codecs Library, Raw Image Extension, Windows Search en Print Spooler-onderdelen

• Kwetsbaarheden voor verhoging van bevoegdheden in Graphics Kernel, Remote Desktop Services en TPM

• SharePoint Server, inclusief CVE-2026-120002

• Azure OpenAI, Azure Managed Grafana en Microsoft Defender

• Visual Studio, Visual Studio Code en .NET op werkstations van ontwikkelaars

• Adobe Connect- en Adobe Experience Manager-servers

Blootstelling moet nog steeds zwaarder wegen dan de standaardtijdlijn. Gebruikers die regelmatig externe bestanden openen, hebben mogelijk eerder Office-updates nodig.

Reguliere patchcyclus

• Kwetsbaarheden met de classificatie Important voor elevatie van bevoegdheden en openbaarmaking van informatie in componenten met beperkte blootstelling

• Problemen met alleen lokale toegang en apparaatstuurprogramma's op systemen met beperkte fysieke toegang

• Niet naar het internet gerichte systemen met compenserende beheersmaatregelen

Opvallende updates van derden

Verschillende andere leveranciers brachten diezelfde week beveiligingsupdates uit, waaronder nog een actief misbruikte zero-day.

Google Chrome-zero-day

Google heeft CVE-2026-125350 opgelost, een use-after-free-kwetsbaarheid met hoge ernst in de XML-component van Chrome die actief wordt misbruikt. De oplossing zit in Chrome 157.0.8103.50/.51 voor Windows en Mac en in Extended Stable 156.0.8078.96, en dezelfde update verhelpt nog acht andere kwetsbaarheden. CISA heeft CVE-2026-125350 op 10 november toegevoegd aan de KEV-catalogus, dezelfde dag als de Outlook-kwetsbaarheid.

Chrome downloadt updates op de achtergrond, maar past ze pas toe na een herstart. Controleer daarom de geïnstalleerde versies in plaats van de downloadstatus. Andere op Chromium gebaseerde browsers gebruiken dezelfde enginecode, dus houd ook updates van die leveranciers in de gaten.

Adobe

Adobe heeft oplossingen uitgebracht voor ongeveer 110 kwetsbaarheden in negen producten: Adobe Experience Manager, Adobe Connect, Photoshop, Premiere, After Effects, Audition, Media Encoder, Dimension en de Content Credentials SDK. Kritieke kwetsbaarheden zijn verholpen in Adobe Connect en Adobe Experience Manager, waaronder zes kwetsbaarheden in Adobe Connect met een CVSS-score van 10. Adobe zegt niet op de hoogte te zijn van enige exploitatie.

Adobe ColdFusion 2021 bereikt volgens de supporttijdlijn van Adobe ook het einde van de uitgebreide ondersteuning op 10 november 2026. De laatste update werd uitgebracht in december 2025, dus alle resterende ColdFusion 2021-servers hebben een upgradeplan nodig.

Opnieuw gepubliceerde niet-Microsoft-CVE's

Microsoft publiceert deze maand opnieuw 165 niet-Microsoft-CVE's, tegenover één in oktober. Samen met de releases van Chrome en Adobe is dat een herinnering om browsers, creatieve tools en serverapplicaties in dezelfde workflow voor kwetsbaarheidsbeheer op te nemen als Windows en Office. Aparte processen kunnen hiaten veroorzaken, zelfs wanneer OS-patching up-to-date is.

Waarom Patch Tuesday van november belangrijk is voor IT-teams

De release van november brengt drie operationele kwesties aan het licht die verder gaan dan één afzonderlijke CVE.

1. Oplossingen komen via meer dan één updatekanaal

De enige misbruikte Microsoft-kwetsbaarheid van deze maand wordt opgelost in de Office-update, voor de Chrome zero-day is een herstart van de browser nodig, en Adobe hanteert zijn eigen planning. Een proces dat alleen op Windows Update is gebaseerd, kan een apparaat als up-to-date rapporteren terwijl het nog steeds blootgesteld is.

Teams hebben de patchstatus nodig voor elke applicatie én voor elke OS-build, samen met een duidelijk overzicht van welke apparaten nog steeds de updates missen die deze maand het belangrijkst zijn.

2. Windows 11 23H2 Enterprise en Education bereiken het einde van updates

Microsoft zegt dat de update van november (KB5131087) de laatste beveiligingsupdate is voor Windows 11 versie 23H2 Enterprise en Education. Windows 11 versie 24H2 Home en Pro bereikten in oktober al het einde van de updates, en commerciële Windows 10 22H2-apparaten hebben een Extended Security Updates Year 2-licentie nodig om de fixes van deze maand te ontvangen.

Apparaten met deze edities ontvangen na hun einddatum geen fixes meer, hoe snel een team ook patcht. Breng ze nu in kaart en plan upgrades. Microsoft heeft ook gezegd dat er in december 2026 geen niet-beveiligingspreview-update komt, al wordt de beveiligingsupdate van december nog steeds verwacht op Patch Tuesday.

3. Wijzigingen voor security hardening moeten mogelijk worden getest

Met deze update bieden Windows 11-clients standaard NTLM-berichtondertekening voor niet-anonieme verbindingen, wat helpt NTLM-relayaanvallen te verminderen. Dat is een tijdige wijziging in een maand waarin de misbruikte zero-day zich richt op NTLMv2-hashes.

PowerShell past nu strengere coderingscontroles toe op ondertekende scripts, waardoor scripts met ongeldige UTF-8-codering mogelijk niet door de handtekeningvalidatie komen, ook al werkten ze eerder wel. Het advies van Microsoft is om die scripts op te slaan als UTF-8 met een byte order mark en ze opnieuw te ondertekenen. Test ondertekende automatiseringsscripts op een kleine groep apparaten voordat je ze breed uitrolt.

Hoe Splashtop AEM kan helpen bij het prioriteren en uitrollen van patches

Een release met 1.094 CVE's en een actief misbruikte zero-day geeft IT-teams twee taken: uitzoeken wat er in hun omgeving toe doet en snel de juiste updates uitrollen. Splashtop AEM (Autonomous Endpoint Management) regelt beide vanuit een gecentraliseerde console.

• Vind blootgestelde apparaten: Splashtop AEM scant Windows- en macOS-endpoints continu op CVEs, waaronder kwetsbaarheden in de Known Exploited Vulnerabilities-catalogus van CISA, samen met patchstatus en hardware- en software-inventaris. Teams kunnen zien welke endpoints nog steeds blootgesteld zijn terwijl updates worden uitgerold.

• Geef prioriteit aan wat aanvallers gebruiken: door AI aangestuurde CVE-samenvattingen en risicosignalen, waaronder EPSS-scores en KEV-status, helpen teams uitgebuite kwetsbaarheden voorrang te geven binnen een release van meer dan 1.000 CVE's.

• Sneller uitrollen en verifiëren: Realtime patching van het besturingssysteem en applicaties van derden, geautomatiseerd beleid, onderhoudsvensters, herstartopties en updateringen laten teams updates voor servers of Hyper-V eerst testen op een kleinere groep apparaten. Teams kunnen de uitrol daarna uitbreiden en bijhouden welke installaties zijn geslaagd, mislukt of vertraagd.

• Versterk bestaande workflows: Splashtop AEM kan Microsoft Intune uitbreiden door realtime patching, CVE-zichtbaarheid en remediation toe te voegen. Teams die een RMM gebruiken, kunnen die inzetten om hiaten in patchzichtbaarheid en automatisering op te vullen.

Vind en los blootgestelde endpoints sneller op met Splashtop AEM

De release van november is kleiner dan die van oktober, maar is nog steeds de op een na grootste Patch Tuesday tot nu toe, en de ene uitgebuite Microsoft-kwetsbaarheid wordt buiten de Windows-update om verholpen. IT-teams moeten zien welke endpoints via elk updatekanaal blootgesteld zijn, eerst de meest urgente oplossingen uitrollen en elke installatie bevestigen.

Start een gratis proefperiode van Splashtop AEM om te zien welke endpoints kwetsbaar zijn, updates met een hoog risico te prioriteren en patches sneller uit te rollen.