2026-11 Patchday – Grams IT

Zum zweiten Mal in Folge bleibt Microsoft vierstellig: Der Patchday vom 10. November 2026 schließt je nach Zählweise zwischen 1.093 und 1.252 Schwachstellen. Dustin Childs von der Zero Day Initiative ordnet das in seinem Review nüchtern ein: Zwei Monate hintereinander jenseits der 1.000 CVEs sind der Beleg, dass die automatisierte Schwachstellensuche das Patch-Volumen dauerhaft verschoben hat. Nach dem Oktober-Rekord von rund 1.411 Lücken ist der November damit der zweitgrößte Patchday überhaupt, noch vor den 974 aus dem September.

Die gute Nachricht steckt in derselben Statistik. Nur eine einzige dieser Lücken wird nachweislich angegriffen, und keine war vor dem Patch öffentlich bekannt. Die Zahl der tatsächlich ausgenutzten Zero-Days wächst eben nicht mit der CVE-Flut, sie sinkt sogar. Childs warnt allerdings davor, sich davon einlullen zu lassen: Sobald ein Patch erscheint, beginnen mit KI-gestütztem Patch-Diffing innerhalb von Stunden die ersten, die Lücke nachzubauen. Wer nach reiner CVE-Zahl priorisiert, verbrennt Ressourcen; wer gar nicht priorisiert, verliert.

Harmlos ist dieser Monat trotzdem nicht. Es gibt einen aktiv ausgenutzten Outlook-Zero-Day, der still den NTLMv2-Hash des Nutzers abgreift, eine kritische Zero-Click-Codeausführung, die über die Suchindizierung direkt auf dem Exchange-Server zündet, eine kritische Exchange-RCE sowie ein Bündel von Lücken in Active Directory, LDAP, Schannel und CredSSP, das zusammen ein komplettes Werkzeug für die seitliche Bewegung ergibt. Dazu ein harter Stichtag: Exchange Server 2016 und 2019 bekommen ab sofort gar nichts mehr. Dieser Überblick zeigt, was zuerst auf die Server gehört und was bis zur nächsten Rollout-Welle warten kann.

Die nackten Zahlen im Überblick

Wie jeden Monat weichen die Gesamtzahlen je nach Quelle ab. BleepingComputer zählt 1.235 Schwachstellen und schließt dabei 108 weitere aus, die Microsoft bereits früher im Monat veröffentlicht hatte (eine Entra Device Registration, 82 Mariner, 25 Microsoft Edge). Die Zero Day Initiative und Tenable kommen auf rund 1.093 bis 1.094 CVEs, CrowdStrike auf 1.252. Microsofts eigener maschinenlesbarer Datensatz führt laut mehreren Auswertungen 1.342 Einträge, davon 1.094 mit dem Veröffentlichungsdatum 10. November. Ich verwende im Folgenden die BleepingComputer-Zahl 1.235, weil sie sich auf die am Patchday selbst veröffentlichten Lücken beschränkt.

Kritisch eingestuft sind je nach Quelle 63 bis 66 Lücken. BleepingComputer nennt 66, davon 48 Remotecodeausführungen, 15 Rechteausweitungen und drei Use-after-free-Fehler in Microsoft Edge. Nach Kategorien verteilt sich das Paket ungefähr so: 536 Rechteausweitungen (Elevation of Privilege), 296 Remotecodeausführungen (RCE), 157 Fälle von Informationsoffenlegung, 46 Denial-of-Service-Lücken, 27 Umgehungen von Sicherheitsfunktionen und 22 Spoofing-Schwachstellen. Rund 639 der Lücken betreffen Windows und seine Komponenten.

Genau ein Zero-Day wird aktiv ausgenutzt, und keine Lücke war vor dem Patch öffentlich bekannt. Die Zero Day Initiative hat zusätzlich 30 Lücken als wurmfähig identifiziert, also netzwerkbasiert ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar. Im Oktober waren es noch 59. Von diesen 30 ist nur eine als kritisch eingestuft, eine Rechteausweitung im TPM; eine iSCSI-RCE mit CVSS 9,8 steht ebenfalls auf der Liste. Die eigentliche Schlagzeile des Monats ist aber nicht die Masse, sondern ein 6,5er-Zero-Day und eine 9,8er-Zero-Click-RCE, die beide auf dasselbe Ziel zielen: den Mailserver.

Priorisierung statt Masse

Bei 1.200 Lücken ist die entscheidende Frage nicht, wie schnell man alles einspielt, sondern was zuerst drankommt. Dustin Childs wird in seinem Review ungewohnt direkt und rät, die breite Triage fallenzulassen und sofort zu handeln: Exchange und die Domänencontroller zuerst, dort besonders LDAP und Kerberos, um Zero-Click-Kompromittierungen zu stoppen. Danach die aus dem Netz erreichbaren Dienste wie DNS und DHCP abschotten, um eine wurmfähige Ausbreitung zu verhindern. Und zuletzt die manuellen Korrekturen auf den Cloud-Diensten verifizieren.

Ich sehe das ähnlich. Der Reiz, bei nur einem aktiv ausgenutzten Zero-Day erst einmal durchzuatmen, ist verständlich, aber trügerisch. Die gefährlichsten Lücken des Monats sind nicht die exotischen, sondern die, die auf Infrastruktur sitzen, die ohnehin aus dem Netz erreichbar sein muss. Für eine kleine Verwaltungs-IT ohne eigenes Security-Team heißt das konkret: zuerst der Outlook-Patch über das Office-Update, dann der Exchange- und Domänencontroller-Block, dann der Rest in getesteten Wellen. Und weil der aktiv ausgenutzte Zero-Day ausgerechnet nicht über das Windows-Update kommt, sondern über das Office-Update, fällt er in Umgebungen, die Office per Click-to-Run verteilen, gern durchs Raster.

Die kritischsten Brennpunkte im Detail

Mehrere Lücken betreffen Server-Rollen, die in praktisch jeder Windows-Domäne laufen: Exchange, Active Directory, LDAP, IIS. Dazu kommt der aktiv ausgenutzte Zero-Day auf den Clients. Es folgt die technische Aufarbeitung der Patches, die ich diesen Monat zuerst einspielen würde.

1. Microsoft Outlook Spoofing (CVE-2026-124194)

CVSS-Score: 6,5

SCHWERWIEGENDKEIT: Mittel (aktiv ausgenutzt)

BEDROHUNG: Spoofing (Offenlegung des NTLMv2-Hashes)

EXPLOITS: Dies ist die einzige nachweislich aktiv ausgenutzte Schwachstelle dieses Monats. Die CISA hat sie am 10. November in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen und US-Bundesbehörden eine Frist bis zum 24. November gesetzt. Microsoft hat wie üblich nicht gesagt, seit wann die Angriffe laufen, wer dahintersteckt oder was nach der Ausnutzung passiert. Dustin Childs warnt ausdrücklich davor, sich von der niedrigen Bewertung oder dem harmlos klingenden Namen „Spoofing“ täuschen zu lassen.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist, dass die Benutzeroberfläche nicht vor einer unsicheren Aktion warnt (CWE-356). Ein Angreifer schickt dem Opfer eine präparierte Nachrichtendatei und bringt es dazu, sie zu öffnen. Outlook stellt daraufhin eine Verbindung zu einem vom Angreifer kontrollierten Netzwerkziel her, ohne die sonst übliche Warnung vor externen Inhalten anzuzeigen, und gibt dabei den NTLMv2-Hash des Nutzers preis. Diesen Hash kann der Angreifer per Relay weiterreichen oder offline knacken, um sich anschließend als der Nutzer zu authentifizieren. Anders als bei den weiter unten beschriebenen kritischen Outlook-Lücken ist das Vorschaufenster hier laut CrowdStrike kein Angriffsvektor; das Opfer muss die Datei tatsächlich öffnen.

AUSNUTZBARKEIT: Der Angriff erfolgt über das Netzwerk und braucht eine Benutzerinteraktion. Outlook ist in nahezu jeder Windows-Umgebung der Standard-Mailclient, was jede Lücke, die Sicherheitswarnungen umgeht, zu einem Erstzugangsvektor im großen Maßstab macht. Betroffen sind Microsoft 365 Apps for Enterprise und die Office-Editionen.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Ein geleakter NTLMv2-Hash ist der Startschuss für seitliche Bewegung. Mit ihm lässt sich per Pass-the-Hash oder NTLM-Relay gegen andere Dienste authentifizieren, die NTLM akzeptieren. Für Verwaltungen mit hohem Mailaufkommen aus unbekannten Quellen ist das der gefährlichste Patch des Monats, auch wenn der CVSS-Wert das Gegenteil suggeriert.

WORKAROUND: Entscheidend für den Rollout: Der Fix kommt über das Office-Update (Microsoft 365 Apps und Office LTSC), nicht über das kumulative Windows-Update. Wer nur Windows patcht, schließt diese Lücke nicht. Flankierend hilft, ausgehende SMB- und NTLM-Verbindungen ins Internet zu blockieren, denn über genau diese fließt der Hash ab, sowie SMB-Signatur und eine konsequente NTLM-Reduzierung.

DRINGLICHKEIT: Höchste. Innerhalb von 72 Stunden auf jedes Gerät mit Outlook, ausgeliefert über das Office-Update.

2. Windows Search Remote Code Execution (CVE-2026-116928)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / pre-auth, Zero-Click, wurmfähig)

EXPLOITS: Aktive Angriffe sind nicht bekannt, Microsoft stuft die Ausnutzung als „weniger wahrscheinlich“ ein. Die Zero Day Initiative hebt die Lücke dennoch als die gefährlichste des Monats hervor: deutlich schwerer als jeder der neun Exchange-Patches und eine Zero-Click-Codeausführung auf einem hochwertigen Ziel.

TECHNISCHE ZUSAMMENFASSUNG: Es handelt sich um einen Out-of-bounds-Write in der Windows-Suchkomponente. Erreicht wird sie über Exchange, denn die Windows-Suche indiziert die Postfächer. Ein nicht authentifizierter Angreifer schickt eine E-Mail mit einem präparierten Anhang; Exchange indiziert diesen Anhang automatisch über die Windows-Suche und löst dabei den Fehler aus. Der Empfänger muss nichts öffnen, nichts anklicken. Rapid7 nennt das treffend „Microsoft auf Microsoft“: Exchange läuft auf Windows, und die Windows-Suche indiziert die Mail im Auftrag von Exchange.

AUSNUTZBARKEIT: Jeder Exchange-Server, der Mails aus dem Internet annimmt, verarbeitet eingehende Anhänge selbstständig. Damit ist die Lücke ohne jede Authentifizierung und ohne Zutun eines Nutzers erreichbar, der klassische Pre-Auth-Zero-Click-Fall.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Codeausführung auf dem Mailserver bedeutet Zugriff auf jedes Postfach und, weil Exchange in der Regel weitreichende Rechte im Active Directory besitzt, einen Hebel tief in die Domäne hinein.

WORKAROUND: Der Punkt, den man dabei leicht übersieht: Der Fix steckt im kumulativen Windows-Update des Servers, auf dem Exchange läuft, nicht im Exchange-Sicherheitsupdate. Wer nur das Exchange-SU einspielt, schließt diese Lücke nicht. Nötig ist das November-Update für Windows Server.

DRINGLICHKEIT: Kritisch. Gemeinsam mit dem Outlook-Zero-Day der Patch, den ich keinen Tag liegen lassen würde.

3. Microsoft Exchange Server Remote Code Execution (CVE-2026-118207)

CVSS-Score: 8,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Aktive Angriffe sind nicht bekannt, Microsoft bewertet die Ausnutzung aber als „eher wahrscheinlich“, als einzige der neun Exchange-Lücken dieses Monats. Die Zero Day Initiative nennt sie den Exchange-Patch, den sie zuerst einspielen würde, direkt nach der Windows-Suche-Lücke.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist eine unzureichende Eingabevalidierung in Exchange Server. Ein authentifizierter Angreifer mit niedrigen Rechten schickt eine präparierte Anfrage über das Netzwerk und führt damit Code auf dem Exchange-Server aus. Eine Benutzerinteraktion ist nicht erforderlich. Microsoft nennt als betroffenes Produkt ausschließlich Exchange Server Subscription Edition RTM.

AUSNUTZBARKEIT: Es genügt irgendein gering privilegiertes Konto, das der Server akzeptiert. Jeder aus dem Internet erreichbare Exchange-Server ist ein Ziel.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Code auf einem Exchange-Server erreicht jedes dort gehostete Postfach, und über die breiten AD-Rechte von Exchange sind die Postfächer nur der Anfang. Für Exchange 2016 und 2019 gibt es, wie unten beschrieben, diesen Patch gar nicht mehr.

WORKAROUND: Das Exchange-SU KB5133453 einspielen (siehe eigener Abschnitt). Exchange-Server grundsätzlich nicht ungeschützt aus dem Internet erreichbar machen.

DRINGLICHKEIT: Hoch bis kritisch für jeden On-Premises-Exchange, der aus dem Internet erreichbar ist.

4. Active Directory Domain Services Remote Code Execution (CVE-2026-118146)

CVSS-Score: 8,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE auf dem Domänencontroller)

EXPLOITS: Aktive Angriffe sind nicht bekannt. Die Lücke kommt nicht allein: Parallel schließt Microsoft eine kritische LDAP-RCE (CVE-2026-119958, CVSS 9,8, Zero-Click und wurmfähig), eine Schannel-RCE (CVE-2026-119952) und eine CredSSP-RCE (CVE-2026-119962, CVSS 8,1).

TECHNISCHE ZUSAMMENFASSUNG: CVE-2026-118146 ist eine Codeausführung in den Active Directory Domain Services. Zusammen mit den LDAP-, Schannel- und CredSSP-Lücken ergibt sich, wie die Zero Day Initiative anmerkt, ein handliches Werkzeug für die seitliche Bewegung in der Domäne. Die LDAP-Lücke ist dabei die unangenehmste, weil sie ohne Anmeldung und ohne Interaktion über das Netz zündet.

AUSNUTZBARKEIT: Betroffen sind die Domänencontroller. In flachen Verwaltungsnetzen ohne Segmentierung kann jeder kompromittierte Client den Domänencontroller erreichen.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Codeausführung auf dem Domänencontroller ist der Worst Case ohne Umweg. Der Angreifer kontrolliert das Verzeichnis, alle Konten und über Gruppenrichtlinien jedes Gerät in der Domäne.

WORKAROUND: Keiner. Domänencontroller zuerst patchen und den Zugriff auf AD-, LDAP- und Kerberos-Ports aus Client-Segmenten über Firewall-Regeln auf das Nötige beschränken.

DRINGLICHKEIT: Kritisch. Der Domänencontroller-Block gehört an den Anfang der ersten Rollout-Welle.

5. Microsoft Outlook und Word Remote Code Execution im Lesebereich (CVE-2026-110043 u. a.)

CVSS-Score: 8,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE über den Lesebereich)

EXPLOITS: Aktive Angriffe sind nicht bekannt. Nicht zu verwechseln mit dem Zero-Day oben: Diese Lücken werden nicht angegriffen, sind dafür aber zero-click.

TECHNISCHE ZUSAMMENFASSUNG: Laut CrowdStrike teilen sich acht kritische RCEs denselben Angriffsweg, den Lesebereich von Outlook und Word. Drei davon sitzen in Outlook: CVE-2026-110043 ist ein Heap-basierter Pufferüberlauf, CVE-2026-110068 ein Use-after-free, CVE-2026-111309 die Freigabe eines ungültigen Zeigers, alle mit CVSS 8,8 und über das Netz ohne Authentifizierung ausnutzbar. Dazu kommen eine Word-RCE (CVE-2026-110067) und weitere Office-RCEs (CVE-2026-120003, CVE-2026-111289). Bei allen reicht die Anzeige im Lesebereich; kein Klick, kein Öffnen.

AUSNUTZBARKEIT: Die bloße Vorschau einer präparierten Mail im Lesebereich genügt. Das ist der Alltag jeder Poststelle.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Codeausführung auf dem Client aus einer einzigen E-Mail, ohne dass der Empfänger etwas falsch macht. In Kombination mit dem Zero-Day ist das ein gefährlicher Monat für alles, was Outlook nutzt.

WORKAROUND: Office-Update einspielen. Diese Lücken laufen wie der Zero-Day über die Office- bzw. Microsoft-365-Apps-Schiene, nicht über das Windows-Update.

DRINGLICHKEIT: Hoch. Gehören in denselben Office-Durchlauf wie CVE-2026-124194.

6. Internet Information Services Remote Code Execution (CVE-2026-119961)

CVSS-Score: 8,1

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Aktive Angriffe sind nicht bekannt. Action1 führt die Lücke in der Kategorie „Same Day Deployment“.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist eine Race Condition, die zu einem Use-after-free in den Internet Information Services (IIS) führt. Begleitet wird sie von einer CredSSP-RCE (CVE-2026-119962, CVSS 8,1) und einer NAT-RCE (CVE-2026-113862).

AUSNUTZBARKEIT: Betroffen sind Systeme mit installiertem IIS; aus dem Internet erreichbare Webserver sind am stärksten exponiert.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine webbasierte Codeausführung auf einem öffentlich erreichbaren Server ist ein klassischer Erstzugang. In Verwaltungen hängen an IIS oft Fachverfahren-Frontends, die niemand auf dem Schirm hat.

WORKAROUND: Internet-exponierte IIS-Server zuerst patchen. IIS entfernen, wo er nicht gebraucht wird; verbleibende Server hinter eine Web Application Firewall oder einen Reverse Proxy stellen.

DRINGLICHKEIT: Hoch für jeden aus dem Internet erreichbaren IIS.

Weitere kritische Schwachstellen im Überblick

Die Liste der kritischen Netzwerk-RCEs ist auch diesen Monat lang. Neben der oben beschriebenen LDAP-Lücke mit CVSS 9,8 bringt die Windows Virtual Filtering Platform eine RCE mit 9,0 (CVE-2026-95962), und auf der von der Zero Day Initiative geführten Wurmliste steht eine iSCSI-RCE mit 9,8. Die einzige kritische wurmfähige Lücke ist eine Rechteausweitung im TPM. Dazu kommen kritische Remotecodeausführungen in den Windows Deployment Services (CVE-2026-119951), in Schannel (CVE-2026-119952), bei den Graphic Fonts (CVE-2026-119969), in der Windows Codecs Library (CVE-2026-113749), in der Raw Image Extension (CVE-2026-114169) sowie in den Print-Spooler-Komponenten. Hyper-V erhält eine kritische Rechteausweitung (CVE-2026-119960), die Action1 ebenfalls zur sofortigen Verteilung empfiehlt.

Office ist diesmal selbst eine Baustelle. Excel bringt allein zwölf kritische RCEs mit, Word vier, PowerPoint eine; anders als die drei Outlook-Lücken brauchen diese aber alle das Öffnen der Datei, das Vorschaufenster ist dort kein Vektor. SharePoint bleibt diesen Monat glimpflicher: Die herausstechende Lücke ist eine Rechteausweitung (CVE-2026-120002), die Microsoft nur als „wichtig“ einstuft. Die Office-Updates laufen separat vom kumulativen Windows-Update und werden in Verwaltungen, die Office per Click-to-Run verteilen, gern vergessen.

Abseits von Microsoft war auch der November nicht ruhig: Adobe hat wie gewohnt eine große Zahl an Sicherheitsbulletins veröffentlicht. Bemerkenswert ist aber, dass anders als im Oktober, als gleich mehrere Appliance-Hersteller mit aktiv ausgenutzten Zero-Days auffielen, in dieser Runde die Outlook-Lücke die einzige bestätigt angegriffene Schwachstelle ist. Das ändert nichts daran, dass die Geräte am Netzrand in denselben Patch-Plan gehören wie Windows, nicht in den danach.

Support-Ende: Exchange 2016/2019 und Windows 11 23H2

Der November bringt die nächste Lifecycle-Welle. Die einschneidendste Nachricht betrifft Exchange: Das Period-2-ESU-Programm für Exchange Server 2016 und 2019 ist ausgelaufen, und Microsoft stellt für diese Versionen keine Updates mehr bereit. Der Hersteller formuliert das in seinem eigenen Blog ungewohnt deutlich: Wer 2016 oder 2019 einsetzt, soll diese Systeme als „dauerhaft verwundbar“ betrachten und die Organisation umgehend umstellen. Das ist keine Planungsfrage mehr, sondern ein laufendes Risiko.

Auf der Client-Seite erhalten Windows 11 23H2 in den Editionen Enterprise, Education und IoT Enterprise mit dem November-Update ihr letztes Sicherheitsupdate; KB5131087 ist damit das letzte Paket für diese Versionen. Die Home- und Pro-Editionen von 23H2 waren bereits früher ausgelaufen. Wer in der Verwaltung noch 23H2-Geräte hat, weil der Hardware-Rollout hinterherhinkt, hat jetzt keinen Patchday mehr übrig.

Exchange Server: nur noch die Subscription Edition

Microsoft hat am Patchday das November-SU für Exchange Server veröffentlicht, Details stehen im Techcommunity-Beitrag des Exchange-Teams. Bereitgestellt wird es ausschließlich für Exchange Server Subscription Edition RTM. Das Paket KB5133453 hebt die SE RTM auf Build 15.02.2562.057 und schließt laut Günter Born neun Lücken, darunter zwei zur Codeausführung. Die einzige kritische ist die oben beschriebene RCE CVE-2026-118207. Exchange Online ist bereits geschützt; dort beschränkt sich der Handlungsbedarf auf verbliebene On-Premises-Server und Workstations mit Exchange-Verwaltungstools.

Für Exchange 2016 und 2019 gibt es, wie im vorigen Abschnitt beschrieben, nichts mehr. Microsoft testet diese Versionen nicht einmal mehr auf Schwachstellen. Wer jetzt noch darauf steht, betreibt einen Mailserver ohne Patches, und das ist nichts, was ich in einer Verwaltung verantworten würde.

Ein Detail, das man nicht verwechseln darf: Das Exchange-SU behebt nicht die im Oktober durch das Windows-Server-Update verursachte Instabilität, bei der OWA-Anmeldungen mit „MapiExceptionMdbOffline“ scheiterten, Mails im Postausgang hängen blieben oder die Warteschlangen wuchsen. Dieser Fehler wird durch das November-Update für Windows Server behoben, nicht durch das Exchange-SU. Wer im Oktober den Registry-Workaround gesetzt hat, kann ihn nach dem Windows-Server-Update stehen lassen; nötig ist er dann nicht mehr, und die Reihenfolge der beiden Updates ist egal. Dass ein Windows-Update erst Exchange lahmlegt und das nächste Windows-Update es wieder repariert, ist exakt das Muster, das ich diesem Hersteller inzwischen Monat für Monat attestiere. Ebenfalls im Kopf behalten: Die oben beschriebene Zero-Click-Lücke in der Windows-Suche kommt auch über das Windows-Server-Update, nicht über das Exchange-SU. Wie immer gilt: SU aus einer administrativen Eingabeaufforderung installieren, danach neu starten und den Exchange Health Checker laufen lassen.

Handlungsempfehlungen für Ihre IT-Infrastruktur

Beginnen Sie mit dem Outlook-Zero-Day und dem Mailserver. Der Zero-Day wird aktiv ausgenutzt, die CISA hat eine Frist gesetzt, und der Fix kommt über das Office-Update, nicht über Windows. Bringen Sie diesen Patch als eigenen Durchlauf auf alle Geräte mit Outlook, zusammen mit den drei kritischen Outlook-Lücken, die im Lesebereich zünden. Parallel gehören die Exchange-Server versorgt, und zwar mit beidem: dem Exchange-SU für CVE-2026-118207 und dem November-Windows-Server-Update für die Zero-Click-Lücke in der Windows-Suche. Nur eines von beiden reicht nicht.

Direkt danach kommen die Domänencontroller. Die AD-DS-, LDAP-, Schannel- und CredSSP-Lücken ergeben zusammen ein Werkzeug für die seitliche Bewegung, und die LDAP-Lücke ist zero-click. Ein kompromittierter Domänencontroller ist das Ende der Domäne. Diese Systeme gehören an den Anfang der ersten Server-Welle, gefolgt von den aus dem Internet erreichbaren IIS-Servern.

Schotten Sie die netzbasierten Dienste ab, die Sie nicht sofort patchen können. DNS und DHCP stehen auf der Wurmliste; wo Sie den Patch nicht unmittelbar einspielen, hilft Segmentierung, um eine Ausbreitung zu bremsen. Die 30 wurmfähigen Lücken der Zero Day Initiative sind ein guter Abgleich gegen die eigene Server-Inventur.

Führen Sie den Rollout der breiten Masse trotz der Dringlichkeit in getesteten Wellen durch. Bei über 1.200 Lücken ändert sich viel Code gleichzeitig, das Oktober-Update hat Exchange lahmgelegt, und schon am Erscheinungstag häufen sich Berichte über fehlgeschlagene Installationen des November-Clients. Ich halte an meiner Linie fest: Das aktiv Ausgenutzte und die Infrastruktur-RCEs gehen sofort, der Rest läuft eine Testgruppe voraus, bevor er in die Fläche geht. Prüfen Sie nach dem Neustart, ob Anmeldung, Fernzugriff, Mail und DNS noch funktionieren.

Neuerungen abseits der Sicherheit

Die November-Updates für Windows 11 bringen die Funktionen des optionalen Oktober-Vorschauupdates in die Fläche. Die sichtbarste Neuerung ist Cloud Rebuild: Ist das Betriebssystem beschädigt oder startet es nicht mehr, lässt es sich direkt über Windows Update aus der Cloud neu aufsetzen. Das System lädt das passende Image inklusive Treiber selbstständig herunter, ein USB-Stick zur Reparatur wird überflüssig, ähnlich wie bei macOS. Dazu kommt ein anpassbares Kontextmenü im Explorer, mit dem sich festlegen lässt, welche Befehle direkt beim Rechtsklick erscheinen.

Die Kehrseite zeigt sich wie üblich am Erscheinungstag. In den Kommentarspalten häufen sich Berichte über den Installationsfehler 0x800f0993 bei KB5132061 und über Rechner, die nach dem Update in einer Reparaturschleife landeten und nur per Wiederherstellungspunkt zu retten waren. Das sind erste Nutzermeldungen, keine bestätigte Fehlerquote, aber sie passen ins Bild und sind ein weiteres Argument, die Fläche nicht am ersten Tag zu beglücken.

Auf der Server-Seite behebt das November-Update für Windows Server die oben genannte Exchange-Instabilität aus dem Oktober. Daneben korrigiert Microsoft laut den Supportdokumenten zu KB5131080 (Server 2025) und KB5131090 (Server 2022) einen fehlgeschlagenen In-Place-Upgrade-Pfad von Server 2016 auf 2025, verschärft die Signaturprüfung für PowerShell-Skripte durch strengere Encoding-Validierung, rendert die RD-Web-Access-Seiten jetzt serverseitig statt über die XSLT-Unterstützung des Browsers und verlangt für das Cmdlet Import-WdsInstallImage nun Administratorrechte. Die Verteilung der neuen Secure-Boot-Zertifikate läuft weiter. Wichtig für den Rollout: Vor dem kumulativen Update gehört das jeweilige Servicing Stack Update eingespielt (für Server 2025 KB5131079, für Server 2022 KB5131089).

Update-Pakete für Windows-Clients und -Server

Die folgende Übersicht fasst die kumulativen Updates dieses Patchdays für die noch unterstützten Windows-Versionen zusammen. Alle Pakete sind kumulativ und enthalten sämtliche Sicherheitsfixes bis zum Patchday.

Produkt	KB-Nummer	Hinweis
Windows 11 26H2 / 25H2 / 24H2	KB5132061	OS-Builds 26300.9974 / 26200.9974 / 26100.9974
Windows 11 26H1	KB5132059	OS-Build 28000.3501, Arm-Plattformen
Windows 11 23H2	KB5131087	OS-Build 22631.7711; nur noch Enterprise / Education, letztes Update
Windows 10 22H2 / Enterprise LTSC 2021	KB5131096	OS-Builds 19045.7846 / 19044.7846; nur mit ESU-Lizenz bzw. LTSC
Windows 10 Enterprise 2019 LTSC	KB5131085	auch Windows Server 2019
Windows 10 2016 LTSB	KB5131291	auch Windows Server 2016
Windows Server 2025	KB5131080	OS-Build 26100.33822; Hotpatch KB5131077, SSU KB5131079
Windows Server 2022	KB5131090	OS-Build 20348.5870; SSU KB5131089
Windows Server 2019	KB5131085
Windows Server 2016	KB5131291
Exchange Server SE RTM	KB5133453	Build 15.02.2562.057; für 2016/2019 kein Update mehr

Zu beachten: Windows 10 22H2 ist seit Oktober 2025 aus dem regulären Support; Sicherheitsupdates gibt es nur im ESU-Programm, das Microsoft für Privatanwender kostenlos bis Oktober 2027 verlängert hat. Der Fix für den aktiv ausgenutzten Outlook-Zero-Day (CVE-2026-124194) steckt nicht in diesen Windows-Paketen, sondern kommt über das Office-Update (Microsoft 365 Apps und Office LTSC) und muss separat verteilt werden.

Ausgewählte kritische Sicherheitsupdates vom Patch Tuesday im November 2026

Die folgende Tabelle listet eine Auswahl der wichtigsten Schwachstellen dieses Monats. Die vollständige Liste aller behobenen CVEs finden Sie im Microsoft Security Update Guide sowie in den Gesamtübersichten bei BleepingComputer, der Zero Day Initiative und bei Tenable.

Tag	CVE ID	CVE Title	Severity
Microsoft Office Outlook	CVE-2026-124194	Microsoft Outlook Spoofing Vulnerability (Zero-Day, aktiv ausgenutzt, NTLM-Leak, CVSS 6,5)	Moderate
Windows Search	CVE-2026-116928	Windows Search Remote Code Execution Vulnerability (CVSS 9,8, Zero-Click über Exchange)	Critical
Microsoft Exchange Server	CVE-2026-118207	Microsoft Exchange Server Remote Code Execution Vulnerability (nur SE, „eher wahrscheinlich“)	Critical
Active Directory Domain Services	CVE-2026-118146	Windows Active Directory Domain Services Remote Code Execution Vulnerability	Critical
Windows LDAP	CVE-2026-119958	Windows LDAP Remote Code Execution Vulnerability (CVSS 9,8, Zero-Click, wurmfähig)	Critical
Windows Schannel	CVE-2026-119952	Windows Schannel Remote Code Execution Vulnerability	Critical
Windows CredSSP	CVE-2026-119962	Windows CredSSP Remote Code Execution Vulnerability (CVSS 8,1)	Critical
Windows Internet Information Services	CVE-2026-119961	Windows IIS Remote Code Execution Vulnerability (CVSS 8,1)	Critical
Windows Deployment Services	CVE-2026-119951	Windows Deployment Services Remote Code Execution Vulnerability	Critical
Windows NAT	CVE-2026-113862	Windows Network Address Translation (NAT) Remote Code Execution Vulnerability	Critical
Windows Virtual Filtering Platform	CVE-2026-95962	Windows Virtual Filtering Platform (VFP) Remote Code Execution Vulnerability (CVSS 9,0)	Critical
Windows Hyper-V	CVE-2026-119960	Windows Hyper-V Elevation of Privilege Vulnerability	Critical
Graphic Fonts	CVE-2026-119969	Graphic Fonts Remote Code Execution Vulnerability	Critical
Windows Codecs Library	CVE-2026-113749	Windows Codecs Library Remote Code Execution Vulnerability	Critical
Raw Image Extension	CVE-2026-114169	Raw Image Extension Remote Code Execution Vulnerability	Critical
Microsoft Office Outlook	CVE-2026-110043	Microsoft Office Outlook Remote Code Execution Vulnerability (CVSS 8,8, Lesebereich)	Critical
Microsoft Office Outlook	CVE-2026-110068	Microsoft Office Outlook Remote Code Execution Vulnerability (CVSS 8,8, Lesebereich)	Critical
Microsoft Office Outlook	CVE-2026-111309	Microsoft Office Outlook Remote Code Execution Vulnerability (CVSS 8,8, Lesebereich)	Critical
Microsoft Office Word	CVE-2026-110067	Microsoft Office Word Remote Code Execution Vulnerability (CVSS 8,8)	Critical
Microsoft Office	CVE-2026-111289	Microsoft Office Remote Code Execution Vulnerability	Critical
Microsoft Office SharePoint	CVE-2026-120002	Microsoft SharePoint Server Elevation of Privilege Vulnerability	Important

Hinweis: Diese Tabelle stellt eine kuratierte Auswahl dar und erhebt keinen Anspruch auf Vollständigkeit. Maßgeblich ist stets der offizielle Microsoft Security Update Guide.