Microsofts säkerhetsuppdatering den 10 november 2026 åtgärdade över 1 000 sårbarheter, däribland en Outlook-sårbarhet som angripare redan hade utnyttjat för att röja användares Windows-inloggningsdata.
Tenable räknade till 1 093 sårbarheter i Microsofts uppdatering, varav 63 bedömdes vara kritiska. En bredare sammanställning från BleepingComputer kom upp i 1 235 genom att även räkna sårbarheter i Microsoft Edge, som bygger på Chromium. Det totala antalet varierar beroende på hur sårbarheterna räknas.
Outlook-sårbarheten, som har beteckningen CVE-2026-124194, kan låta angripare få en falsk identitet att verka trovärdig. Angripare kan utnyttja den genom att övertala någon att öppna en särskilt utformad fil. Outlook kan då ansluta till en plats som kontrolleras av en angripare utan att visa sin vanliga varning.
Detta kan röja användarens NTLMv2-autentiseringshash, en kodad form av inloggningsdata. Angripare kan använda den i senare försök att utge sig för att vara användaren. Microsoft bedömde sårbarheten som måttlig och gav den betyget 6,5 på CVSS-skalan.
Men eftersom Microsoft bekräftat att angripare har utnyttjat sårbarheten är det högsta prioritet att installera korrigeringen. Uppdateringen åtgärdar även kritiska sårbarheter i Microsofts produkter och komponenter som kan låta angripare köra kod på distans. Den åtgärdar också kritiska sårbarheter som kan ge angripare högre behörighet i Microsofts produkter och komponenter.
Eftersom Outlook-korrigeringen levereras via berörda Office-produkter bör användare söka efter Office-uppdateringar utöver Windows-korrigeringar. Den som använder en enhet som hanteras av arbetsgivaren bör följa IT-teamets anvisningar.