Rund 1.090 neue Microsoft-Schwachstellen und 110 Adobe-Sicherheitslücken: Der November-Patchday hat es in sich. Besonders dringend ist ein Outlook-Update, denn eine Sicherheitslücke wird bereits aktiv von Angreifern ausgenutzt. Die aktuelle Sicherheitsanalyse der Zero Day Initiative (ZDI) von TrendAI zeigt, wie groß die Zahl der neu entdeckten und behobenen Schwachstellen bei Microsoft und Adobe ist. Allein Microsoft kommt im November auf rund 1.090 neue CVEs. Das sind zwar weniger als im außergewöhnlich umfangreichen Oktober mit etwa 1.400 Lücken, dennoch bleibt die Zahl enorm.
Betroffen sind unter anderem Windows, Office, Exchange Server, Azure, .NET und Visual Studio. Besonders aufmerksam sollten Nutzer und Unternehmen bei einer Outlook-Schwachstelle sein: Die Lücke CVE-2026-124194 wird laut ZDI bereits aktiv angegriffen. Ein Angreifer verschickt dafür eine manipulierte Nachrichtendatei. Öffnet ein Nutzer diese, verbindet sich Outlook ohne die übliche Warnung mit einer vom Angreifer kontrollierten Netzwerkadresse. Dabei kann der NTLMv2-Hash des Nutzers offengelegt werden. Angreifer könnten diesen für eine Anmeldung im Namen des Betroffenen verwenden.
"Heute" auf Google als bevorzugte Quelle festlegen
Der Schweregrad liegt mit einem CVSS-Wert von 6,5 unter dem vieler anderer Sicherheitslücken. Die aktive Ausnutzung macht die Schwachstelle dennoch besonders dringlich. Wichtig: Die Vorschauansicht von Outlook ist laut ZDI kein Angriffsweg.
Gefährliche Lücken ohne Klick
Noch höhere technische Risikobewertungen erreichen mehrere weitere Microsoft-Schwachstellen. Besonders brisant ist CVE-2026-116928 in Windows Search. Sie kann über Exchange Server ausgelöst werden: Ein Angreifer verschickt eine E-Mail mit einem manipulierten Anhang, den der Server automatisch indexiert. Der Empfänger muss die Nachricht dafür nicht einmal öffnen. Die Lücke erreicht einen CVSS-Wert von 9,8.
Ebenfalls mit 9,8 bewertet ist CVE-2026-119958 im Windows-LDAP-Dienst. Ein Angreifer kann über manipulierte Netzwerkaufrufe Code ausführen, ohne sich anmelden zu müssen oder auf eine Reaktion des Nutzers angewiesen zu sein. Besonders gefährdet könnten Domain Controller sein, die für die Verwaltung von Benutzerkonten und Zugriffsrechten in Netzwerken wichtig sind.
Auch Windows Schannel und die Virtual Filtering Platform weisen laut Analyse Schwachstellen auf, die Angriffe über das Netzwerk ohne Benutzerinteraktion ermöglichen. Eine weitere Lücke betrifft den Xbox Live Networking Service. Sie wird von der ZDI aufgrund ihrer technischen Eigenschaften als auffällig eingestuft, eine tatsächliche Ausnutzung hält die Initiative allerdings für eher unwahrscheinlich.
30 potenziell wurmfähige Schwachstellen
Ein weiterer Schwerpunkt der Analyse sind 30 Microsoft-Schwachstellen, die als potenziell "wormable" eingestuft werden. Das bedeutet, dass sich Angriffe unter bestimmten Bedingungen selbstständig über Netzwerke verbreiten könnten. Bei 17 Lücken beschreiben die Sicherheitsmeldungen ausdrücklich, dass Angreifer ohne Anmeldung und ohne Zutun eines Nutzers über das Netzwerk Code ausführen können. Bei den übrigen 13 ergibt sich dieses Szenario aus den technischen Angaben und den Angriffsbewertungen.
Betroffen sind unter anderem Message Queuing, DNS, DHCP, DirectMusic, Exchange Server und LDAP. Die ZDI empfiehlt, die entsprechenden Updates rasch zu testen und einzuspielen. Besonders wichtig sei das bei Diensten, die direkt über Netzwerke erreichbar sind.
Die Bilder des Tages
?
Auch Adobe schließt kritische Sicherheitslücken
Adobe hat im November neun Sicherheitsbulletins mit insgesamt 110 Schwachstellen veröffentlicht. Betroffen sind unter anderem Adobe Connect, Experience Manager, Photoshop, Premiere und After Effects.
Besonders kritisch ist das Update für Adobe Connect: Es behebt 24 Schwachstellen, davon 18 mit kritischem Schweregrad. Der höchste CVSS-Wert liegt bei 10,0 – der maximal möglichen Bewertung. Die entsprechenden Lücken können über das Netzwerk ohne Anmeldung und ohne Benutzerinteraktion angegriffen werden. Eine aktive Ausnutzung war zum Zeitpunkt der Analyse allerdings nicht bekannt.
Auch Adobe Experience Manager erhält ein wichtiges Update. Vier der insgesamt 14 behobenen Schwachstellen sind kritisch und erreichen einen CVSS-Wert von bis zu 9,9. Für einen Angriff ist hier allerdings ein Konto mit niedrigen Berechtigungen erforderlich.
Die Empfehlung der Sicherheitsexperten ist eindeutig: Unternehmen sollten die November-Updates rasch prüfen und installieren. Besonders die aktiv angegriffene Outlook-Lücke sowie die Schwachstellen in netzwerkexponierten Diensten sollten bei der Aktualisierung Vorrang haben. Der nächste Microsoft-Patchday ist für den 8. Dezember 2026 angesetzt.
