Microsofts Sicherheitsupdate vom 10. November 2026 behob mehr als 1.000 Schwachstellen, darunter eine Outlook-Lücke, die Angreifer bereits ausgenutzt hatten, um Windows-Anmeldedaten von Nutzern offenzulegen.
Tenable zählte 1.093 Microsoft-Schwachstellen in dem Update, von denen 63 als kritisch eingestuft wurden. Eine umfassendere Zählung von BleepingComputer kam auf 1.235 Schwachstellen, da sie auch Lücken in Microsoft Edge einschloss, das auf Chromium basiert. Die Gesamtzahlen unterscheiden sich je nachdem, wie die Schwachstellen gezählt werden.
Bei der Outlook-Lücke mit der Kennung CVE-2026-124194 handelt es sich um eine Schwachstelle, durch die Angreifer eine falsche Identität vertrauenswürdig erscheinen lassen können. Angreifer können sie auslösen, indem sie jemanden dazu bringen, eine speziell präparierte Datei zu öffnen. Outlook kann sich daraufhin mit einem von einem Angreifer kontrollierten Ort verbinden, ohne die übliche Warnung anzuzeigen.
Dadurch könnte der NTLMv2-Authentifizierungshash des Nutzers offengelegt werden, eine codierte Form seiner Anmeldedaten. Angreifer könnten ihn bei späteren Versuchen nutzen, um sich als der Nutzer auszugeben. Microsoft stufte die Schwachstelle als mittelschwer ein und bewertete sie auf der CVSS-Skala mit 6,5.
Da Microsoft bestätigt hat, dass Angreifer die Lücke ausgenutzt hatten, ist die Installation des Patches jedoch dringend geboten. Das Update behebt außerdem kritische Schwachstellen in Microsoft-Produkten und -Komponenten, über die Angreifer aus der Ferne Code ausführen könnten. Darüber hinaus werden kritische Schwachstellen behoben, durch die Angreifer in Microsoft-Produkten und -Komponenten höhere Zugriffsrechte erlangen könnten.
Da der Outlook-Fix über betroffene Office-Produkte bereitgestellt wird, sollten Nutzer neben den Windows-Patches auch nach Office-Updates suchen. Wer ein vom Arbeitgeber verwaltetes Gerät nutzt, sollte den Anweisungen des IT-Teams folgen.