Office-Lücke ausgenutzt, Exchange SE kritisch!
Microsoft hat am 10. November 2026 die Sicherheitsupdates für November veröffentlicht.
Für Microsoft-365-Umgebungen stechen zwei Einträge heraus: eine bereits ausgenutzte Spoofing-Lücke in Office und eine kritische Remote-Code-Execution-Lücke in Exchange Server Subscription Edition. Dazu kommt eine Windows-Lücke mit CVSS 9.8, die laut Zero Day Initiative (ZDI) auch über Exchange erreichbar ist.
CVE-2026-124194: Spoofing in Office, laut ZDI aktiv ausgenutzt
Microsoft führt CVE-2026-124194 als Spoofing-Lücke mit Schweregrad „Moderate“ und CVSS-Basiswert 6.5. Der Vektor lautet AV:N/AC:L/PR:N/UI:R mit hoher Auswirkung auf die Vertraulichkeit. Der Angreifer braucht also keine Rechte, aber eine Aktion des Benutzers. Als Ursache nennt Microsoft CWE-356, eine Oberfläche, die nicht vor einer unsicheren Aktion warnt.
Laut ZDI kennzeichnet Microsoft die Lücke als ausgenutzt, sie ist die einzige ausgenutzte Lücke dieses Patchdays. ZDI beschreibt den Ablauf so: Eine präparierte Nachrichtendatei bringt Outlook dazu, eine Verbindung zu einem Ziel des Angreifers aufzubauen, dabei wird der NTLMv2-Hash des Benutzers preisgegeben. Das Vorschaufenster ist laut ZDI kein Angriffsweg.
Betroffen sind laut Security Update Guide:
| Produkt | Behobener Build |
| Microsoft 365 Apps for Enterprise (32 und 64 Bit) | siehe Office Security Releases |
| Office LTSC 2024 (32 und 64 Bit) | 16.0.17932.21140 |
| Office LTSC 2021 (32 und 64 Bit) | 16.0.14334.21048 |
Bei den Microsoft 365 Apps hängt der Schutz am Update-Kanal. Prüfe deshalb, ob deine Clients den Sicherheitsbuild ihres Kanals erreicht haben.
CVE-2026-118207: Kritische RCE in Exchange Server SE
Für Exchange Server listet ZDI in diesem Monat neun CVEs. Die schwerste ist CVE-2026-118207, eine Remote-Code-Execution-Lücke mit Schweregrad „Critical“ und CVSS 8.8. Der Vektor AV:N/AC:L/PR:L/UI:N zeigt: Ein Angreifer braucht ein Konto mit niedrigen Rechten, aber keine Benutzerinteraktion. ZDI zählt die Lücke zu den wurmfähigen Fehlern dieses Monats.
Microsoft nennt für Exchange Server Subscription Edition RTM das Update KB5133453 mit dem Build 15.02.2562.057. Nach der Installation ist ein Neustart nötig. Die übrigen acht Exchange-CVEs umfassen laut ZDI eine weitere RCE (CVE-2026-118149), vier Rechteausweitungen, eine Denial-of-Service-Lücke und zwei Spoofing-Lücken.
CVE-2026-116928: Windows-RCE, über Exchange erreichbar
CVE-2026-116928 ist eine Windows-Lücke vom Typ Out-of-bounds Write mit CVSS 9.8. Der Vektor AV:N/AC:L/PR:N/UI:N bedeutet: keine Anmeldung, keine Benutzeraktion. ZDI ordnet die Lücke der Windows-Suche zu und beschreibt, dass sie über Exchange Server erreichbar ist: Ein Mailanhang, den der Server indiziert, genügt ohne Klick.
Für einen Exchange-Server reicht das Exchange-Update allein deshalb nicht. Die Windows-Updates gehören in dasselbe Wartungsfenster:
| Betriebssystem | KB |
| Windows Server 2025 | KB5131080 |
| Windows Server 2022 | KB5131090 |
| Windows Server 2019 | KB5131085 |
| Windows Server 2016 | KB5131291 |
| Windows 11 24H2, 25H2, 26H2 | KB5132061 |
Was du jetzt tust
- Office- und Microsoft-365-Apps-Builds gegen die Tabelle oben abgleichen, weil CVE-2026-124194 bereits ausgenutzt wird.
- Exchange Server SE mit KB5133453 aktualisieren und den Neustart einplanen.
- Auf denselben Servern das Windows-Update des Monats einspielen, damit CVE-2026-116928 nicht über eingehende Mails erreichbar bleibt.
- Domänencontroller vorziehen: ZDI rät bei CVE-2026-119958, einer Windows-LDAP-RCE ohne Anmeldung mit CVSS 9.8, zu schnellem Testen und Verteilen.
weitere Links
| Quelle | URL |
| MSRC Security Update Guide, CVE-2026-124194 | https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-124194 |
| MSRC Security Update Guide, CVE-2026-118207 | https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118207 |
| MSRC Security Update Guide, CVE-2026-116928 | https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-116928 |
| Exchange Server SE KB5133453 | https://support.microsoft.com/en-us/servicing/exchange/server/update/2026/5133453 |
| Microsoft 365 Apps Security Updates | https://learn.microsoft.com/en-us/officeupdates/microsoft365-apps-security-updates |
| ZDI, The November 2026 Security Update Review | https://www.zerodayinitiative.com/blog/2026/11/10/the-november-2026-security-update-review |
💬 Kommentare
0 KommentareSei der Erste und starte die Diskussion mit einem hilfreichen Beitrag.
Kommentar hinterlassen
Dein Beitrag wird vor der Veröffentlichung kurz geprüft — fachlich, respektvoll und auf den Punkt ist hier genau richtig.