Aktuell

Patchday November 2026: Exchange-Server zuerst, dann Outlook und Domänencontroller

Microsoft schließt im November rund 1.100 Lücken. Was zuerst dran ist: Exchange-Server, Outlook mit ausgenutzter Lücke und die Domänencontroller.

12. November 2026Aktualisiert am 12. November 2026· erstmals 11. November 2026

Updates
Security
Server

Am 10. November hat Microsoft zum dritten Mal in Folge mehr als tausend Sicherheitslücken auf einmal geschlossen. Je nach Zählweise sind es über 1.000, mehr als 60 davon als kritisch eingestuft. Bereits ausgenutzt wird nur eine einzige Lücke, und zwar in Outlook. Für Kommunen und Mittelständler mit eigenem Exchange-Server ist der November aber aus einem anderen Grund wichtig: Das Windows-Update auf dem Exchange-Server schließt eine Lücke, die sich ganz ohne Zutun eines Anwenders ausnutzen lässt – und behebt nebenbei die Ausfälle aus dem Oktober.

Kernaussage

Zuerst die Exchange-Server: Windows-Update und Exchange-Sicherheitsupdate im selben Wartungsfenster. Danach Office und Outlook auf allen Arbeitsplätzen, weil dort die einzige bereits ausgenutzte Lücke steckt. Dann Domänencontroller, DNS- und DHCP-Server. Der Rest folgt im normalen Rhythmus.

Bereits ausgenutzt · CVSS 6.5

CVE-2026-124194

Outlook: Öffnet ein Anwender eine präparierte Nachricht, sendet Outlook ohne Warnung den NTLMv2-Hash seines Kontos an den Angreifer.

Ohne Klick · CVSS 9.8

CVE-2026-116928

Windows Search: Ein präparierter Anhang löst beim automatischen Indizieren durch Exchange Codeausführung aus. Der Fix kommt mit dem Windows-Update.

Kritisch · CVSS 8.8

CVE-2026-118207

Exchange Server SE: Codeausführung mit einem schwach berechtigten Konto. Microsoft hält Angriffe für wahrscheinlich.

1. Exchange-Server: zwei Updates, ein Wartungsfenster

Die schwerste Lücke des Monats steckt nicht in Exchange selbst, sondern in Windows Search. Exchange lässt Anhänge zur Volltextsuche von Windows indizieren. Ein Angreifer ohne Konto muss deshalb nur eine Mail mit präpariertem Anhang schicken – geöffnet werden muss sie nicht. Laut Zero Day Initiative ist die Lücke nicht öffentlich bekannt und wird noch nicht ausgenutzt. Behoben wird sie durch das kumulative Windows-Update auf dem Exchange-Server, nicht durch das Exchange-Update.

Dazu kommt das Exchange-Sicherheitsupdate KB5133453 für Exchange Server SE. Es schließt neun Lücken, darunter die kritische CVE-2026-118207. Exchange 2016 und 2019 bekommen keine Updates mehr; Microsoft bezeichnet sie als dauerhaft verwundbar. Hintergründe dazu in unserem Beitrag zum Ende von Exchange 2016 und 2019.

Gute Nachricht: Die Oktober-Ausfälle sind behoben

Die Windows-Server-Updates vom November beheben den Fehler im RPC Endpoint Mapper, der Exchange-Server seit dem Oktober-Patchday nach rund einem Tag lahmgelegt hat. Der damals gesetzte Registry-Wert EpmapSavedContextCap darf laut Microsoft bleiben, nötig ist er nicht mehr. Die Reihenfolge von Windows- und Exchange-Update spielt keine Rolle. Den Verlauf beschreibt unser Beitrag zu den Exchange-Ausfällen nach dem Oktober-Patchday.

2. Outlook und Office auf allen Arbeitsplätzen

Die einzige bereits ausgenutzte Lücke, CVE-2026-124194, sieht mit CVSS 6.5 harmlos aus. Sie ist es nicht: Mit dem erbeuteten NTLMv2-Hash kann sich ein Angreifer laut Microsoft als der betroffene Anwender ausgeben. Die US-Behörde CISA führt sie seit dem 10. November in ihrem Katalog ausgenutzter Lücken. Die Vorschau in Outlook reicht für diesen Angriff nicht, der Anwender muss die Nachricht öffnen.

Zusätzlich schließt Microsoft laut Security-Insider drei kritische Outlook-Lücken (CVE-2026-110043, CVE-2026-110068, CVE-2026-111309, je CVSS 8.8), bei denen schon das Auswählen einer Mail im Vorschaufenster Code ausführen kann. Hier sind keine Angriffe bekannt.

Office-Updates zuerst verteilen und prüfen, ob die Arbeitsplätze sie tatsächlich installiert haben – Click-to-Run-Installationen aktualisieren sich nicht immer so schnell wie erwartet.
Ausgehendes SMB sperren: Der Hash wird an einen Netzwerkpfad des Angreifers geschickt. Ist Port 445 an der Firewall nach außen gesperrt, läuft der Versuch ins Leere.
Privilegierte Konten schützen: Administratoren sollten nicht mit ihrem Admin-Konto Mails lesen. Mitglieder der Gruppe „Protected Users“ melden sich nicht per NTLM an.

3. Domänencontroller, DNS und DHCP

Mehrere Lücken treffen genau die Server, auf denen alles andere aufbaut. Ausgenutzt wird bisher keine davon, Microsoft hält Angriffe bei einigen aber für wahrscheinlich.

Lücke	Dienst	CVSS	Was ein Angreifer braucht
CVE-2026-119958	LDAP	9.8	Keine Anmeldung, präparierte LDAP-Aufrufe; besonders gefährlich auf Domänencontrollern
CVE-2026-85844	Kerberos	9.8	Keine Anmeldung; umgeht die Authentifizierung und erlangt per Relay SYSTEM-Rechte auf dem Domänencontroller (Microsoft stuft dennoch nur als „wichtig“ ein)
CVE-2026-118146	Active Directory Domain Services	8.8	Ein angemeldetes Konto
CVE-2026-88218	Windows DNS	9.8	Keine Anmeldung, kein Klick
CVE-2026-88243	DHCP-Server	9.8	Keine Anmeldung, kein Klick

In vielen kleineren Umgebungen laufen DNS und DHCP direkt auf den Domänencontrollern. Dann ist das eine Wartungsfenster für alles. Domänencontroller nacheinander aktualisieren, nicht gleichzeitig, und danach Replikation und Anmeldung prüfen. Was Angreifer im Active Directory sonst noch suchen, steht in unserem Beitrag Active Directory: Was Angreifer brauchen.

Änderungen, die man kennen sollte

Was sich mit dem November-Update ändert

Vorbereiten

NTLM-Signierung

Windows-Clients bieten für nicht anonyme NTLM-Verbindungen jetzt standardmäßig eine Signatur an. Laut Security-Insider sollen Windows-Server sie ab Mai 2027 verlangen.

Unsignierte Verbindungen jetzt über die Ereignisse 4022 und 4023 finden (Microsoft-Artikel 5135557), etwa von Scannern, NAS-Geräten und Fachanwendungen.

Prüfen

Signierte PowerShell-Skripte

Die Signaturprüfung ist strenger. Skripte mit ungültigem UTF-8 fallen jetzt durch.

Betroffene Skripte als UTF-8 mit BOM speichern und neu signieren (Microsoft-Artikel 5135999).

Support-Ende

Windows 11 23H2, .NET 8 und 9

Windows 11 23H2 Enterprise und Education erhält mit KB5131087 das letzte Update. Auch .NET 8 und .NET 9 bekommen keine Updates mehr.

Geräte auf 24H2 oder neuer heben, Anwendungen auf .NET 10 umstellen.

Behoben

Fehler aus dem Oktober

Neben den Exchange-Ausfällen behebt das Update unter anderem den Fehler 87 beim Hinzufügen von Druckern aus dem Active Directory und fehlschlagendes Remote-Desktop-Shadowing unter Server 2016.

Zurückgehaltene Updates jetzt einplanen.

Zwei weitere Punkte betreffen nur wenige unserer Kunden: SharePoint Server Subscription Edition (CVE-2026-120002, CVSS 9.9) und Azure DevOps Server (CVE-2026-109467, CVSS 9.9) brauchen eigene Updates. Die kritischen Lücken in Entra Device Registration und Azure OpenAI hat Microsoft auf seiner Seite geschlossen, dort ist nichts zu tun.

Einordnung

Mehr als tausend Lücken im Monat sind inzwischen der Normalfall. Die Zero Day Initiative zählt 59 Lücken, die sich wurmartig verbreiten ließen. Bemerkenswert ist umgekehrt, dass nur eine bereits ausgenutzt wird. Wer alles gleichzeitig angehen will, kommt nicht hinterher. Wer nach Serverrollen priorisiert, hat die gefährlichsten Stellen in wenigen Tagen geschlossen. Wie das geht, haben wir am Beispiel des Oktobers beschrieben: So priorisieren Sie den Patchday nach Serverrollen.

Patchday ohne Nachtschicht

Wir spielen die Updates für Exchange, Domänencontroller und Arbeitsplätze in der richtigen Reihenfolge ein, prüfen danach, ob alles läuft, und dokumentieren den Stand.

Kontakt aufnehmen

Quellen & weiterführende Links

Recherchestand: 11. November 2026.