Patch Tuesday im November 2026: 1.094 CVEs, 1 ausgenutzte Zero-Day-Sicherheitslücke

Microsofts Patch Tuesday -Veröffentlichung vom November 2026 behebt 1.094 Microsoft-CVEs. Das ist weniger als der Rekordwert von Oktober mit 1.413, aber es ist immer noch die bisher zweitgrößte Patch Tuesday-Veröffentlichung und liegt vor Septembers 974. Die Veröffentlichung umfasst Windows, Microsoft 365 und Office-Apps, SQL Server, SharePoint Server, Exchange Server, Azure, Defender und Entwicklertools. Microsoft veröffentlicht außerdem 165 nicht von Microsoft stammende CVEs erneut.

Eine Schwachstelle wird bereits aktiv ausgenutzt: CVE-2026-124194, eine Spoofing-Schwachstelle in Microsoft Outlook. Microsoft stuft sie als mittelschwer ein, und keine CVEs in dieser Veröffentlichung wurden vor dem Patch öffentlich bekannt gemacht. Zum dritten Mal in Folge liegt die Schwachstelle, die Angreifer tatsächlich ausnutzen, unterhalb der Einstufung „Kritisch“, weshalb der Exploit-Status die Reihenfolge der Arbeit bestimmen sollte.

Da mehr als 1.000 Microsoft-CVEs bewertet werden müssen, brauchen IT-Teams eine risikobasierte Einführung, die mit den Schwachstellen beginnt, die Angreifer ausnutzen, und mit den Systemen, bei denen eine Kompromittierung den größten Schaden anrichten würde. Dieser Beitrag behandelt, wo sich die Schwachstellen konzentrieren, wie die Outlook-Zero-Day-Schwachstelle funktioniert und wo ihr Fix bereitgestellt wird, welche kritischen Schwachstellen als Nächstes behoben werden sollten und wie die Einführung gestaffelt werden sollte.

Microsoft-Patch-Übersicht für November 2026

Von den 1.093 CVEs mit Schweregradbewertungen stufte Microsoft 63 als kritisch, 1.029 als wichtig und 1 als moderat ein.

Rechteausweitung und Remotecodeausführung machen etwa 76 % des Releases aus:

Schwachstellen für Remotecodeausführung können einem Angreifer Erstzugriff verschaffen, und Schwachstellen zur Rechteausweitung können diesen begrenzten Zugriff in die vollständige Kontrolle über ein System verwandeln. Bei mehr als 800 dieser beiden Typen in einem Release müssen IT-Teams wissen, welche betroffenen Systeme exponiert sind und welche über privilegierten Zugriff verfügen.

Wo sich die Sicherheitslücken konzentrieren

Windows macht etwa zwei Drittel der CVEs dieses Monats aus. Office und SharePoint Server kommen auf weitere 201, wodurch das dokumentenbasierte Risiko in der Liste weit oben bleibt.

Die von Microsoft veröffentlichten Zahlen für dieses Release weichen leicht voneinander ab: Die Release Notes und die Aufschlüsselung nach Produktfamilien nennen 1.094 CVEs, während die Schweregradbewertungen 1.093 abdecken. Dieser Beitrag verwendet 1.094, die Zahl aus den Release Notes von Microsoft.

Eine ausgenutzte Zero-Day-Sicherheitslücke in Outlook

Microsoft hat diesen Monat ein CVE als ausgenutzt gekennzeichnet. Es ist die einzige als moderat eingestufte Schwachstelle im gesamten Release.

Ein nicht authentifizierter Angreifer sendet eine speziell gestaltete Nachrichtendatei und bringt den Empfänger dazu, sie in Outlook zu öffnen. Beim Öffnen der Datei stellt Outlook eine Verbindung zu einem vom Angreifer kontrollierten Netzwerkspeicherort her, ohne die übliche Warnung vor externen Inhalten anzuzeigen. Diese Verbindung kann den NTLMv2-Hash des Benutzers offenlegen, den ein Angreifer in nachfolgenden Angriffen verwenden kann, um sich als der Benutzer auszugeben.

Der Benutzer muss die Datei öffnen, und der Vorschaubereich ist kein Angriffsvektor. Microsoft hat nicht mitgeteilt, wer hinter den Angriffen steckt oder wie weit sie verbreitet sind. „Moderat“ liegt eine Stufe über Microsofts niedrigster Einstufung, dennoch handelt es sich hierbei um die eine CVE in diesem Release, von der bestätigt ist, dass Angreifer sie ausnutzen. Daher sollten Sie sie auf jedem Gerät mit Outlook zuerst patchen.

Der Fix wird in den Sicherheitsupdates für Microsoft 365 Apps sowie Office LTSC 2021 und 2024 bereitgestellt. Er ist nicht Teil des kumulativen Windows-Updates (KB5132061), daher bleiben Unternehmen, die nur Windows-Updates bereitstellen, gefährdet, bis das Office-Update installiert ist.

CISA hat CVE-2026-124194 am 10. November 2026 zu seinem Katalog bekannter ausgenutzter Schwachstellen hinzugefügt, mit einer Frist zur Behebung bis zum 24. November 2026 für Bundesbehörden.

Kritische Schwachstellen, die als Nächstes priorisiert werden sollten

Microsoft hat diesen Monat 63 Sicherheitslücken als kritisch eingestuft: 48 zur Remotecodeausführung und 15 zur Rechteausweitung. Behandeln Sie sie nicht als eine einzige Gruppe, sondern priorisieren Sie sie danach, welche Infrastruktur betroffen ist, wie stark sie exponiert ist und was durch eine Kompromittierung gefährdet wäre.

Identitäts-, Verzeichnis- und Authentifizierungsdienste

Domänencontroller und die Protokolle, die die Authentifizierung absichern, verschaffen einem Angreifer Reichweite über die gesamte Umgebung. Die Schwachstelle in Active Directory Domain Services (CVSS 8.8) erfordert einen authentifizierten Angreifer, während die Schannel-Schwachstelle (CVSS 8.1) von einem nicht authentifizierten Angreifer über das Netzwerk ausgenutzt werden kann. Microsoft hat beide als „Exploitation More Likely“ eingestuft.

Exchange-, IIS- und Bereitstellungsserver

Exchange Server (CVE-2026-118207), Internet Information Services (CVE-2026-119961) und Windows Deployment Services (CVE-2026-119951) weisen jeweils eine kritische Sicherheitslücke zur Remotecodeausführung auf. Die Exchange-Sicherheitslücke hat einen CVSS-Wert von 8,8 und wird als Ausnutzung wahrscheinlicher eingestuft.

Diese Server sind häufig über das Internet erreichbar oder berühren jeden Endpunkt, der für E-Mail, Webdienste oder Provisionierung auf sie angewiesen ist. Auch SharePoint Server verdient Aufmerksamkeit: CVE-2026-120002 ist als Important eingestuft, erreicht aber einen CVSS-Wert von 9.9 – ein weiterer Fall, in dem die Schweregradbezeichnung das Risiko herunterspielt.

Netzwerkseitig erreichbare Windows-Dienste

Dies alles sind Sicherheitslücken zur Remotecodeausführung in Diensten, die im Netzwerk lauschen. Ermitteln Sie, wo Message Queuing und die anderen betroffenen Dienste aktiviert sind, und ziehen Sie extern erreichbare Systeme in der Warteschlange nach vorn. Die NAT-Schwachstelle (CVSS 8.1) wird als „Exploitation More Likely“ eingestuft.

Hyper-V- und Windows-Rechteausweitung

Windows Hyper-V weist in diesem Monat acht kritische Sicherheitslücken zur Rechteausweitung auf:

• CVE-2026-113753

• CVE-2026-113856

• CVE-2026-113860

• CVE-2026-113861

• CVE-2026-113864

• CVE-2026-113865

• CVE-2026-119947

• CVE-2026-119960

Der Graphics Kernel (CVE-2026-119966 und CVE-2026-125137) und die Remote Desktop Services (CVE-2026-119957) weisen ebenfalls kritische Schwachstellen zur Rechteausweitung auf. In Kombination mit einer Schwachstelle für den initialen Zugriff können diese einem Angreifer Kontrolle auf SYSTEM-Ebene geben.

Auf Hyper-V-Hosts laufen oft viele Produktions-Workloads, daher bringt eine Schwachstelle auf Host-Ebene jeden darauf befindlichen Gast in Gefahr. Verwenden Sie stufenweise Tests und abgestimmte Wartungsfenster, wenn eine sofortige Einführung Dienste beeinträchtigen könnte, halten Sie diese Zeitfenster jedoch kurz.

Microsoft 365- und Office-Anwendungen

Office-Anwendungen machen 22 der kritischen Sicherheitslücken dieses Monats zur Remotecodeausführung aus:

Excel weist erneut die höchste Konzentration kritischer Schwachstellen in einer einzelnen App auf. Schädliche Dokumente gehören weiterhin zu den häufigsten Einfallstoren in Benutzerumgebungen. Die drei kritischen Outlook-Schwachstellen (CVE-2026-110043, CVE-2026-110068 und CVE-2026-111309) sind nicht als ausgenutzt gekennzeichnet. Sie werden über denselben Office-Updatekanal wie der Zero-Day-Fix bereitgestellt, sodass ein einziges Office-Rollout beides abdecken kann.

Datei-, Medien- und Suchkomponenten

Kritische Schwachstellen zur Remotecodeausführung betreffen auch Graphic Fonts (CVE-2026-119969), die Windows Codecs Library (CVE-2026-113749), Raw Image Extension (CVE-2026-114169), Windows Search (CVE-2026-116928) und Print Spooler Components (CVE-2026-113752).

Die Schwachstellen bei Schriftarten, Codecs, Bildern und der Suche können durch präparierte Inhalte ausgelöst werden, wodurch sie auf alltäglichen Endgeräten leicht erreichbar sind. Der Print Spooler läuft auf den meisten Windows-Geräten und wird in Patch-Zyklen leicht übersehen. Prüfen Sie daher, ob er durch dasselbe Rollout wie der Rest dieser Veröffentlichung abgedeckt ist.

Azure- und Sicherheitsdienste

Azure OpenAI (CVE-2026-119990) und Azure Managed Grafana (CVE-2026-114160) weisen jeweils eine kritische Schwachstelle zur Rechteausweitung auf, und Microsoft Defender hat eine kritische Schwachstelle zur Remotecodeausführung (CVE-2026-122194). Cloud-Dienste und Sicherheitstools müssen genauso überprüft werden wie On-Premises-Systeme, und ein Fehler in einem Sicherheitsprodukt ist für sich genommen ein hochwertiges Angriffsziel.

So priorisieren Sie die Patches für November 2026

Es gibt keinen festen Zeitplan, der für jede Umgebung passt. Nutzen Sie diese Stufen als Ausgangspunkt und passen Sie sie dann an Exposition, geschäftliche Auswirkungen und Testanforderungen an.

Innerhalb von 72 Stunden patchen

• CVE-2026-124194 über die Updates für Microsoft 365 Apps und Office LTSC auf jedem Gerät, auf dem Outlook ausgeführt wird

• Active Directory Domain Services, LDAP, Schannel und CredSSP auf Domänencontrollern und Authentifizierungsservern

• Exchange Server und IIS, beginnend mit internetseitig erreichbaren Systemen

• Message Queuing, SMB Server, TCP/IP und NAT auf Systemen, auf denen diese Dienste erreichbar sind

• Hyper-V-Hosts

• Google Chrome CVE-2026-125350, behandelt im Abschnitt zu Drittanbietern unten

• Alle CVEs, die später dem CISA-KEV-Katalog hinzugefügt oder als „Exploitation More Likely“ gekennzeichnet werden

Innerhalb von 1 bis 2 Wochen patchen

• Verbleibende kritische Office-Schwachstellen, beginnend mit Excel, dann Word, Outlook und PowerPoint. Microsoft listet Office-Updates mit Ausnahme von Office 2016 als kumulativ auf, daher umfasst die Bereitstellung des Zero-Day-Updates diese Korrekturen bei Microsoft 365 Apps und Office LTSC bereits größtenteils. Prüfen Sie Office 2016 separat.

• Komponenten für grafische Schriftarten, Codec-Bibliotheken, Raw Image Extension, Windows Search und Print Spooler

• Sicherheitslücken zur Rechteausweitung in Graphics Kernel, Remote-Desktop-Diensten und TPM

• SharePoint Server, einschließlich CVE-2026-120002

• Azure OpenAI, Azure Managed Grafana und Microsoft Defender

• Visual Studio, Visual Studio Code und .NET auf Entwickler-Workstations

• Adobe Connect- und Adobe Experience Manager-Server

Die Exponierung sollte die Standardzeitleiste dennoch außer Kraft setzen. Benutzer, die regelmäßig externe Dateien öffnen, benötigen Office-Updates möglicherweise früher.

Regulärer Patch-Zyklus

• Als Important eingestufte Sicherheitslücken zur Rechteausweitung und Offenlegung von Informationen in Komponenten mit begrenzter Exponierung

• Probleme mit ausschließlich lokalem Zugriff und Gerätetreibern auf Systemen mit eingeschränktem physischem Zugriff

• Nicht internetseitig erreichbare Systeme mit vorhandenen Kompensationsmaßnahmen

Bemerkenswerte Updates von Drittanbietern

Mehrere andere Anbieter haben in derselben Woche Sicherheitsupdates veröffentlicht, darunter noch ein weiteres ausgenutztes Zero-Day.

Google Chrome Zero-Day

Google hat CVE-2026-125350 behoben, eine schwerwiegende Use-after-free-Sicherheitslücke in der XML-Komponente von Chrome, die aktiv ausgenutzt wird. Der Fix ist in Chrome 157.0.8103.50/.51 für Windows und Mac sowie in Extended Stable 156.0.8078.96 enthalten, und dasselbe Update behebt acht weitere Sicherheitslücken. CISA hat CVE-2026-125350 am 10. November in den KEV-Katalog aufgenommen, am selben Tag wie die Outlook-Schwachstelle.

Chrome lädt Updates im Hintergrund herunter, wendet sie jedoch erst nach einem Neustart an. Prüfen Sie daher die installierten Versionen statt nur des Download-Status. Andere Chromium-basierte Browser verwenden dieselbe Engine-Codebasis. Achten Sie daher auch auf Updates dieser Anbieter.

Adobe

Adobe hat Korrekturen für etwa 110 Schwachstellen in neun Produkten veröffentlicht: Adobe Experience Manager, Adobe Connect, Photoshop, Premiere, After Effects, Audition, Media Encoder, Dimension und das Content Credentials SDK. Kritische Schwachstellen wurden in Adobe Connect und Adobe Experience Manager behoben, darunter sechs Adobe Connect-Schwachstellen mit einem CVSS-Wert von 10. Adobe gibt an, keine Hinweise auf eine Ausnutzung zu haben.

Adobe ColdFusion 2021 erreicht laut dem Support-Zeitplan von Adobe am 10. November 2026 ebenfalls das Ende des erweiterten Supports. Das letzte Update wurde im Dezember 2025 ausgeliefert, daher benötigen alle verbleibenden ColdFusion 2021-Server einen Upgrade-Plan.

Erneut veröffentlichte nicht von Microsoft stammende CVEs

Microsoft veröffentlicht diesen Monat 165 nicht von Microsoft stammende CVEs erneut, nach nur einer im Oktober. Zusammen mit den Veröffentlichungen von Chrome und Adobe erinnert das daran, Browser, Kreativtools und Serveranwendungen im selben Schwachstellenmanagement-Workflow wie Windows und Office zu führen. Getrennte Prozesse können Lücken hinterlassen, selbst wenn das OS-Patching aktuell ist.

Warum der November Patch Tuesday für IT-Teams wichtig ist

Die November-Veröffentlichung bringt drei operative Probleme mit sich, die über einzelne CVEs hinausgehen.

1. Korrekturen werden über mehr als einen Update-Kanal bereitgestellt

Die einzige in diesem Monat ausgenutzte Microsoft-Schwachstelle wird mit dem Office-Update behoben, der Chrome-Zero-Day erfordert einen Browser-Neustart, und Adobe veröffentlicht nach seinem eigenen Zeitplan. Ein Prozess, der ausschließlich auf Windows Update basiert, kann ein Gerät als aktuell melden, obwohl es weiterhin exponiert ist.

Teams benötigen den Patch-Status für jede Anwendung sowie für jeden OS-Build, zusammen mit einer klaren Übersicht darüber, bei welchen Geräten die in diesem Monat wichtigsten Updates noch fehlen.

2. Windows 11 23H2 Enterprise und Education erreichen das Ende der Update-Bereitstellung

Microsoft gibt an, dass das November-Update (KB5131087) das letzte Sicherheitsupdate für Windows 11 Version 23H2 Enterprise und Education ist. Windows 11 Version 24H2 Home und Pro haben bereits im Oktober das Ende der Updates erreicht, und kommerzielle Windows 10 22H2-Geräte benötigen eine Lizenz für Extended Security Updates Jahr 2, um die Korrekturen dieses Monats zu erhalten.

Geräte mit diesen Editionen erhalten nach ihrem Enddatum keine Fehlerbehebungen mehr, ganz gleich, wie schnell ein Team patcht. Identifizieren Sie sie jetzt und planen Sie Upgrades. Microsoft hat außerdem mitgeteilt, dass es im Dezember 2026 kein nicht sicherheitsrelevantes Vorschauupdate geben wird, das Sicherheitsupdate im Dezember wird am Patch Tuesday jedoch weiterhin erwartet.

3. Änderungen zur Härtung der Sicherheit müssen möglicherweise getestet werden

Mit diesem Update bieten Windows 11-Clients standardmäßig eine NTLM-Nachrichtensignierung für nicht anonyme Verbindungen, was dazu beiträgt, NTLM-Relay-Angriffe zu reduzieren. Das ist eine zeitgerechte Änderung in einem Monat, in dem der ausgenutzte Zero-Day auf NTLMv2-Hashes abzielt.

PowerShell wendet jetzt strengere Kodierungsprüfungen auf signierte Skripte an, sodass Skripte mit ungültiger UTF-8-Kodierung die Signaturvalidierung möglicherweise nicht bestehen, auch wenn sie zuvor funktioniert haben. Microsoft empfiehlt, diese Skripte als UTF-8 mit Byte-Order-Marke zu speichern und erneut zu signieren. Testen Sie signierte Automatisierungsskripte auf einer kleinen Gerätegruppe, bevor Sie sie breit ausrollen.

Wie Splashtop AEM beim Priorisieren und Bereitstellen von Patches helfen kann

Eine Veröffentlichung mit 1.094 CVEs und einem ausgenutzten Zero-Day stellt IT-Teams vor zwei Aufgaben: herauszufinden, was in ihrer Umgebung relevant ist, und die richtigen Updates schnell bereitzustellen. Splashtop AEM (autonomes Endpunktmanagement) übernimmt beides über eine zentrale Konsole.

• Gefährdete Geräte finden: Splashtop AEM scannt Windows- und macOS-Endpunkte kontinuierlich auf CVEs, einschließlich Schwachstellen im Katalog der bekannten ausgenutzten Schwachstellen von CISA, zusammen mit Patch-Status sowie Hardware- und Softwareinventar. Teams können sehen, welche Endpunkte während der Bereitstellung von Updates weiterhin gefährdet sind.

• Priorisieren Sie, was Angreifer ausnutzen: KI-gestützte CVE-Zusammenfassungen und Risikosignale, einschließlich EPSS-Bewertungen und KEV-Status, helfen Teams dabei, ausgenutzte Schwachstellen in einer Veröffentlichung mit mehr als 1.000 CVEs vor den übrigen zu behandeln.

• Schneller bereitstellen und verifizieren: OS-Patching in Echtzeit und Patching von Drittanbieteranwendungen, automatisierte Richtlinien, Wartungsfenster, Neustartkontrollen und Update-Ringe ermöglichen es Teams, Server- oder Hyper-V-Updates zunächst an einer kleineren Gruppe von Geräten zu testen. Anschließend können Teams das Rollout ausweiten und nachverfolgen, welche Installationen erfolgreich waren, fehlgeschlagen sind oder verzögert wurden.

• Bestehende Workflows stärken: Splashtop AEM kann Microsoft Intune erweitern, indem es Patching in Echtzeit, CVE-Transparenz und Fehlerbehebung ergänzt. Teams, die ein RMM verwenden, können es nutzen, um Lücken bei Patch-Transparenz und Automatisierung zu schließen.

Gefährdete Endpunkte mit Splashtop AEM schneller finden und beheben

Die November-Veröffentlichung ist kleiner als die vom Oktober, dennoch ist sie bisher der zweitgrößte Patch Tuesday, und die eine ausgenutzte Microsoft-Schwachstelle wird außerhalb des Windows-Updates behoben. IT-Teams müssen erkennen, welche Endpunkte über alle Update-Kanäle hinweg gefährdet sind, zuerst die dringendsten Fixes bereitstellen und jede Installation bestätigen.

Starten Sie eine kostenlose Testversion von Splashtop AEM, um zu sehen, welche Endpunkte anfällig sind, Updates mit hohem Risiko zu priorisieren und Patches schneller bereitzustellen.