Microsoft-Patchday November: Welche Lücken Priorität haben und wer was patcht

Am 10. November hat Microsoft seinen monatlichen Sicherheitsupdate-Freitag veröffentlicht, und der hat es erneut in sich: Über 1.000 gemeldete Schwachstellen, zum zweiten Mal in Folge. Für Kundinnen und Kunden mit Windows-Servern und -Arbeitsplätzen stellt sich damit eine operative Frage: Was muss jetzt in welcher Reihenfolge passieren, und wer ist für was zuständig? Dieser Beitrag gibt den Stand vom 12. November 2026 und eine Checkliste für die kommenden Tage.

Was Microsoft gemeldet hat

Die Release-Note des Security Update Guides führt 1.094 neue Microsoft-CVEs, damit ist der November nach dem Oktober der zweitgrößte Patchday seit Beginn der Zählung. Je nach Zählweise (republicierte Altmeldungen, Drittanbieter-CVEs in Linux-Paketen) nennen Fachmedien andere Summen; entscheidend ist die Zahl ohnehin erst nach dem Abgleich mit der eigenen Umgebung. Auffällig sind drei Fakten: Genau eine Schwachstelle wird laut Microsoft bereits aktiv ausgenutzt, zwei weitere sind Zero-Klick-Lücken mit der Höchstnote CVSS 9,8, und die CISA hat für die ausgenutzte Lücke eine Behebungsfrist bis zum 24. November 2026 gesetzt.

Die aktiv ausgenutzte Lücke sitzt beim Client

Bei CVE-2026-124194 handelt es sich um eine Schwachstelle in Outlook: Ein präpariertes Nachrichtenelement löst eine Verbindung zu einem Angreiferziel aus, ohne die übliche Warnung vor externen Inhalten. Dabei wird ein NTLMv2-Hash preisgegeben, mit dem sich ein Angreifer als angemeldeter Nutzer anmelden kann. Wichtig für die Update-Planung: Der Fix steckt im Sicherheitsupdate für Microsoft 365 Apps bzw. Office LTSC, nicht im kumulativen Windows-Update. Wer nur die Windows-Patches ausrollt, ist an dieser Stelle trotzdem offen. Wer Terminalserver mit gemeinsam genutztem Outlook betreibt, sollte diese Server früher statt später in die Pflicht nehmen.

Warum exponierte Systeme und Domain Controller zuerst kommen

Auf der Serverseite dominieren diesmal Komponenten, die in fast jeder Windows-Landschaft zentral sind: Ein Zero-Klick-RCE im LDAP-Dienst (CVE-2026-119958, CVSS 9,8) zielt auf Domain Controller, ebenso ein RCE in Active Directory Domain Services (CVE-2026-118146, CVSS 8,8). Dazu kommen RCE-Lücken in Schannel (TLS-Stack), im Netzwerk-Stack TCP/IP, im SMB-Server, in IIS, CredSSP, RPC und den Windows Deployment Services, meist mit CVSS 7,5 bis 8,1 eingestuft. Ein eigener Block betrifft den Windows DNS Server mit zehn RCE-Meldungen von CVSS 7,5 bis 9,8, relevant, weil Domain Controller in der Praxis fast immer zugleich DNS-Server sind.

Als Faustregel für die Reihenfolge gilt: Internet- und WAN-exponierte Systeme (Webserver, RDS, VPN, NAT) vor Domain Controllern, diese vor segmentierten Serversystemen mit eng begrenzten Rechten. Die fünf gemeldeten RCE-Lücken in Windows Message Queuing betreffen nur Installationen mit MSMQ; ob Ihr System dazugehört, steht im Inventar, nicht im Zweifel. Und so sauber wie möglich formuliert: Es sind zahlreiche unterstützte Windows-Versionen und -Komponenten betroffen; welche davon Ihr System real treffen, zeigt erst der Abgleich gegen Build- und Paketstand.

Was 8Solutions betreibt, patcht und belegt

Für alle von uns betriebenen Plattformen gilt unser regulärer Prozess: Wir sichten die Herstellerwarnungen, priorisieren nach Aktiv-Ausnutzung und Netzwerkexposition und spielen die Updates in unseren Wartungsfenstern ein, Pilotring vor Breite. Nach dem Fenster dokumentieren wir den tatsächlich installierten Stand, damit Sie für die eigene Doku und für Audits einen Beleg in der Hand haben. Bei betreuten Servern gehört genau das zum Betreuungsumfang Ihres Pakets; bei Colocation und bei selbst administrierten virtuellen Servern liegt das Patchen bei Ihnen, wir liefern auf Anfrage die betroffenen CVEs je System, damit Sie priorisieren können.

Was Kundinnen und Kunden selbst tun sollten

• Clients patchen: Windows kumulativ und Office getrennt denken, Outlook zuerst, denn dort sitzt die aktiv ausgenutzte Lücke.
• Eigene virtuelle Server: Update-Ring öffnen, DC und exponierte Systeme zuerst, Installationsstand nach dem Fenster verifizieren.
• MSMQ und Rollen prüfen: Betroffenheit hängt an installierten Rollen, ein Rollen-Inventar pro Server entscheidet über Aufwand und Reihenfolge.
• Beleg sichern: Installierter Build je System, Datum des Fensters, offene Posten. Ein Audit fragt nach dem Nachweis, nicht nach dem guten Gefühl.

Wer die Nachweispflicht strukturiert angehen will: Unser Security Report zeigt den Stand Ihrer IT mit Note, Skala und Handlungspaket, und für Update-Architekturen beraten wir im Rahmen der Systemhaus-Betreuung. Passend zum Thema Client-Seite: unser Beitrag Mark of the Web.

Checkliste für die kommenden Tage

1. 1Betroffenheitsliste je Server und Client aus Inventar und Build-Stand ableiten, statt der CVE-Liste blind zu folgen.
2. 2Domain Controller, Exchange, RDS, Webserver und VPN für das nächste Wartungsfenster vormerken.
3. 3Office-/M365-Update separat einplanen (Fix CVE-2026-124194, KEV-Frist 24.11.2026).
4. 4Nach dem Fenster prüfen: Welcher Build ist wirklich installiert? Wo fehlt etwas?
5. 5Ergebnis dokumentieren, als Zeile je System mit Datum und Beleg.

Quellen und Stand der Prüfung

• Microsoft Security Update Guide, Release-Note November 2026: msrc.microsoft.com/update-guide/releaseNote/2026-Nov (abgerufen 12.11.2026)
• MSRC-Advisories CVE-2026-124194 und CVE-2026-119958 (abgerufen 12.11.2026)
• CISA Known Exploited Vulnerabilities Catalog, Eintrag CVE-2026-124194, Frist 24.11.2026 (abgerufen 12.11.2026)

Redaktioneller Stand: 12. November 2026. Zahlen gemäß Security Update Guide; Presse-Zählungen weichen wegen unterschiedlicher Zählmethodik ab.