Microsofts „Patch Tuesday“ im November 2026: Eine von 1.095 Sicherheitslücken erhielt die Bewertung 6,5 und wird derzeit ausgenutzt

Die einzige Sicherheitslücke von Microsoft, die in diesem Monat ausgenutzt wurde, wird als „moderat“ eingestuft – und weist die höchste von Microsoft vergebene Einstufung hinsichtlich der Ausnutzungsreife auf. Sie wurde von einem Forscher mithilfe von KI entdeckt und wurde bereits in der Praxis ausgenutzt. Der Fehler, der in diesem Monat tatsächlich zum Umgehen von Firewalls führte, stammte hingegen gar nicht von Microsoft.

Auf einen Blick

Die Anzahl der Einträge entspricht den von Microsoft mit einer Auswirkungsbewertung klassifizierten CVEs, wobei 267 erneut veröffentlichte CVEs von Drittanbietern (Azure Linux / Mariner-Pakete, von Google zugewiesene Chromium-CVEs) nicht berücksichtigt sind. Einschließlich dieser enthält das Dokument 1.362 Zeilen. Tenable und Krebs melden 1.093, ZDI etwa 1.090 und BleepingComputer 1.235 auf einer anderen Grundlage. Unsere Zahlen stammen aus der Überarbeitung vom 11. November. Im November ist ein Rückgang um 23 % gegenüber den 1.418 Fällen im Oktober zu verzeichnen – der zweite Monat mit vierstelligen Zahlen, jedoch kein neuer Rekord.

Die Freigabe nach Auswirkungsklasse

1.095 von Microsoft verfasste CVEs.

Die Rechteausweitung macht 49 % der Sicherheitslücken aus und erfordert zunächst einen Einstiegspunkt. Die Remote-Code-Ausführung ist die Kategorie, die auch ohne einen solchen auskommt. Tenable zählt 287 betroffene Produkte; am stärksten betroffen sind Office Word (65), Office Excel (64) und SQL- Server (53).

Was diesen Monat wirklich zählt

Fünf Punkte, in der Reihenfolge ihrer Wichtigkeit.

1. Die einzige ausgenutzte Microsoft-Sicherheitslücke erhielt eine Bewertung von 6,5 – und Microsoft stuft den Reifegrad des Exploits als „hoch“ ein.

Das ist die höchste Stufe: weit verbreiteter, zuverlässiger Exploit-Code. CVE-2026-124194 ist eine Sicherheitslücke in Outlook, durch die NTLM-Hashes offengelegt werden, und der CVSS-Wert unterschätzt das Risiko, da die Auswirkung lediglich die Vertraulichkeit betrifft und eine Benutzerinteraktion erforderlich ist. Von 1.095 CVEs sind 1.084 wie folgt eingestuft „Unbewiesen“ eingestuft, und ein weiterer befindet sich auf der Stufe „Proof-of-Concept“. Der CVSS stuft die Schwere als „Moderate“ ein. Der Reifegrad des Exploits signalisiert: Jetzt loslegen.

2. Der entsprechende Patch ist nicht im kumulativen Windows-Update enthalten.

Der Fix wird in Office Sicherheitsupdates – Microsoft 365 Apps for Enterprise und Office LTSC 2021/2024 – und nicht über KB5132061. Eine Umgebung, in der lediglich das monatliche Windows-Rollup bereitgestellt wird, ist weiterhin anfällig. Die Frist der CISA endet am 24. November.

3. AI tauchte auf beiden Seiten desselben Monats auf

Microsoft schreibt die Entdeckung der Outlook-Sicherheitslücke einem Forscher zu, der „mit Claude von Anthropic“ arbeitete – und die Schwachstelle wurde bereits ausgenutzt, als sie entdeckt wurde. Im gleichen Zeitfenster nutzten Angreifer KI-Unterstützung, um die „php2shell“-Exploit-Kette zu erstellen, mit der sie sich Root-Zugriff auf Palo-Alto-Firewalls verschafften. Sowohl die Entdeckung als auch die Ausnutzung der Schwachstelle wurden im selben Nachrichtenzyklus beschleunigt.

4. Der eigentliche Schaden in diesem Monat ging von PHP aus, nicht von Microsoft

CVE-2026-109618 und CVE-2026-109619 sind nicht authentifizierte RCE-Schwachstellen im PHP-Kern selbst — EPSS 0,9999, der höchste Wert aller CVEs in diesem Zeitraum. Der Honeypot von Amazon hat vier Tage vor der öffentlichen Bekanntgabe, also noch während der Sperrfrist, einen Ausnutzungsversuch abgefangen. Mindestens 25 Firewalls von Palo Alto wurden kompromittiert. Nichts davon taucht in einem „Patch Tuesday“-Feed auf.

5. Das Handelsvolumen geht im Risikobereich weiter zurück

1.095 Microsoft-CVEs, davon eine ausgenutzt – 0,09 %. Die Daten von VulnCheck zeigen, dass die Zahl der veröffentlichten CVEs im Vergleich zum Vorjahr um 45 % gestiegen ist, während die Zahl der bestätigten Ausnutzungen um 10 % zunahm und der Anteil der ausgenutzten Schwachstellen von einem Höchststand von 2,7 % auf 1,4 % gesunken ist. Allerdings sank die Medianzeit von der Veröffentlichung bis zur Ausnutzung von 120 Tagen auf 80 Tage. Der Rückstand schmilzt dahin; die Zündschnur wird immer kürzer.

Leitlinien zur Schadensminderung

Die fünf Microsoft-Sicherheitsupdates, die einen Plan erfordern – nicht nur einen Patch. Zu jedem einzelnen: Was ein Angreifer damit tatsächlich anstellt, worauf Sie in Ihrer eigenen Infrastruktur achten sollten und was Sie über die Installation des Updates hinaus tun müssen.

CVE-2026-124194 – Microsoft Outlook, Offenlegung von NTLM-Hash-Werten

AUSGENUTZT · CVSS 6,5 · Ausnutzungsreife: Hoch · KEV fällig am 24. November 2026 · CWE-356

Microsoft stuft dies als Spoofing ein; funktional handelt es sich jedoch um einen Verlust von Anmeldedaten. Eine speziell gestaltete Nachrichtendatei veranlasst Outlook, ohne die übliche Warnung vor externen Inhalten eine Verbindung zu einem vom Angreifer kontrollierten Ort herzustellen, woraufhin Windows automatisch eine Authentifizierung durchführt und den NTLMv2-Hash des Benutzers übermittelt. Die Bewertung 6,5 spiegelt lediglich die Auswirkungen auf die Vertraulichkeit sowie die erforderliche Interaktion wider – sie sagt nichts darüber aus, welchen Wert weitergeleitete Domänen-Anmeldedaten haben.

Wie Angreifer diese Schwachstelle ausnutzen

• Senden Sie eine speziell gestaltete Nachrichtendatei; der Benutzer öffnet sie. Der Vorschaubereich ist kein Vektor – die Datei muss geöffnet werden.
• Outlook stellt eine Verbindung zum Postausgang her, und Windows führt eine automatische Authentifizierung durch, wodurch der NTLMv2-Hash offengelegt wird.
• Leiten Sie es live an jeden Dienst weiter, der keine SMB-/LDAP-Signierung oder „Extended Protection for Authentication“ unterstützt, oder knacken Sie es offline in aller Ruhe.

Worauf Sie achten sollten

• Ausgehende SMB-Verbindungen (Port 445) zu externen Zielen kurz nach dem Öffnen einer Nachrichtendatei.
• NTLM-Authentifizierungsversuche bei Internet-Zielen – überprüfen Sie das Ereignisprotokoll „NTLM-Betrieb“.
• Ob SMB-Signierung, LDAP-Signierung und EPA tatsächlich durchgesetzt werden. Sie sind es, die einen durch einen Datenleck bekannt gewordenen Hash zu einem echten Ärgernis machen.
• Es wurden keine IOCs veröffentlicht und kein Akteur namentlich genannt, daher bleibt nur die Suche anhand des Verhaltens.

Leitlinien zur Schadensminderung

• Installieren Sie das Office-Update, nicht nur das Windows-Rollup. Microsoft 365 Apps for Enterprise und Office LTSC 2021/2024 enthalten den Fix. Dies ist der häufigste Grund dafür, dass man fälschlicherweise annimmt, das Update sei installiert, obwohl dies nicht der Fall ist.
• Endgeräte vor Servern. Die Zustellung erfolgt per E-Mail, und der Empfänger ist eine Person.
• Aktivieren Sie die SMB- und LDAP-Signierung sowie den erweiterten Schutz für die Authentifizierung, falls Sie dies noch nicht getan haben. Diese Maßnahmen unterbinden Relay-Angriffe für alle zukünftigen Varianten dieser Schwachstelle, nicht nur für diese CVE.
• Blockieren Sie ausgehenden SMB-Verkehr am Netzwerkperimeter. Es gibt selten einen berechtigten Grund dafür.

CVE-2026-116928 – Windows-Suchkomponente, Remote-Codeausführung

KRITISCH · CVSS 9,8 · AV:N / PR:N / UI:N · Auslöser: indizierter Anhang · Bislang noch nicht ausgenutzt

RCE vor der Authentifizierung ohne Benutzerinteraktion. Was diese Schwachstelle von den anderen 9,8ern unterscheidet: Ein an einen Exchange-Server gesendeter bösartiger Anhang wird bei der Indizierung automatisch verarbeitet. Niemand öffnet irgendetwas. Um die Schwachstelle vollständig zu schließen, sind sowohl der Windows- als auch der Exchange-Patch erforderlich.

Wie Angreifer diese Schwachstelle ausnutzen

• Senden Sie einen erstellten Anhang an ein beliebiges Postfach auf einem Exchange-Server, auf dem die Indizierung aktiviert ist.
• Der Suchindexierer wertet die Nachricht aus und führt sie aus, noch bevor ein Mensch sie zu Gesicht bekommt.

Worauf Sie achten sollten

• Exchange-Server, bei denen die Inhaltsindizierung aktiviert ist – was auf die meisten von ihnen zutrifft.
• Unerwartete untergeordnete Prozesse des Such-Indexers oder der Exchange-Transportkomponenten.
• Dateiserver, auf denen Windows Search für Freigaben aktiviert ist, die Uploads zulassen.

Leitlinien zur Schadensminderung

• Patch sowohl Windows als auch Exchange. Die Hälfte der Korrektur lässt den Pfad offen.
• Behandeln Sie dies mit derselben Dringlichkeit wie die ausgenutzte Schwachstelle – keine Authentifizierung, keine Interaktion und ein Übertragungsweg, den jedes Unternehmen bereits nutzt.
• Vergewissern Sie sich, dass das Update auf allen Servern der DAG angekommen ist, nicht nur auf dem, den Sie getestet haben.

CVE-2026-119958 – Windows LDAP, Remote-Codeausführung

KRITISCH · CVSS 9,8 · Schreibzugriff außerhalb des zulässigen Bereichs · AV:N / PR:N / UI:N · Bislang noch nicht ausgenutzt

Nicht authentifiziertes Schreiben außerhalb des zulässigen Bereichs im LDAP-Dienst. LDAP läuft auf jedem Domänencontroller, wodurch dies das November-Äquivalent zum DNS-Problem darstellt: Der anfällige Dienst und die „Kronjuwelen“ befinden sich auf demselben Host.

Wie Angreifer diese Schwachstelle ausnutzen

• Senden Sie speziell gestalteten LDAP-Datenverkehr an einen erreichbaren Domänencontroller. Keine Anmeldedaten, kein Klick erforderlich.
• Im LDAP-Dienstkontext ausführen – auf einem DC ist das das Verzeichnis selbst.

Worauf Sie achten sollten

• Welche Netzwerke können die Ports 389/636 auf Ihren DCs erreichen? Die Antwort lautet in der Regel: „Mehr, als Ihnen lieb ist.“
• Der LDAP-Dienst stürzt ab oder startet neu, ohne dass eine entsprechende Änderung vorgenommen wurde.
• DCs, die mit Gast-, Fernzugriffs- oder OT-Segmenten verbunden sind.

Leitlinien zur Schadensminderung

• Zuerst die Domänencontroller, dann erst die übrigen Server. Alles andere im Verzeichnis hängt von ihnen ab.
• Schränken Sie die LDAP-Erreichbarkeit während der Einführung ein. Netzwerkmaßnahmen verschaffen Zeit; nur der Patch behebt den Fehler.
• Wenn Sie schon dabei sind: Falls die LDAP-Signierung nicht erzwungen wird, gibt es in diesem Monat zwei unabhängige Gründe, dies zu ändern.

CVE-2026-88218 – Windows-DNS- Server, Remote-Codeausführung

KRITISCH · CVSS 9,8 · AV:N / PR:N / UI:N · 4 DNS-CVE-Einträge in diesem Zyklus · Bislang noch nicht ausgenutzt

Nicht authentifizierte Remote-Codeausführung in Windows DNS, eine von vier DNS-Sicherheitslücken in diesem Zyklus und Teil der 30 CVEs, die ZDI als „wormable“ einstuft. In den meisten Umgebungen läuft der DNS- Server -Dienst auf Domänencontrollern, sodass diese Sicherheitslücke denselben Bereich betrifft wie die oben genannte LDAP-Sicherheitslücke – was bedeutet, dass beide im Rahmen eines einzigen Wartungsfensters behoben werden können.

Wie Angreifer diese Schwachstelle ausnutzen

• Senden Sie ein manipuliertes Paket an einen beliebigen erreichbaren Windows-DNS-Server.
• Im DNS-Dienstkontext ausführen; auf einem im selben System befindlichen Domänencontroller stellt dies einen direkten Weg zur Kompromittierung der Domäne dar.

Worauf Sie achten sollten

• DNS-Server, die sich einen Host mit Active Directory teilen – Bestandsaufnahme vor der Planung, nicht währenddessen.
• Windows-DNS ist von Benutzer-VLANs, Fernzugriffsbereichen oder dem Internet aus erreichbar.
• Die anderen drei DNS-CVEs in dieser Version sollten als Einheit behoben werden.

Leitlinien zur Schadensminderung

• Kombinieren Sie dies mit dem LDAP-Patch in einem einzigen Wartungsfenster für den Domänencontroller. Zwei 9,8er-Werte auf demselben Host rechtfertigen eine Vorverlegung des Zeitfensters.
• „Nur intern“ stellt keine Schutzmaßnahme dar, wenn der erste Angriffspunkt ein durch Phishing kompromittierter Laptop ist.
• Überprüfen Sie den Betriebszustand des Dienstes nach dem Rollup – vier DNS-Korrekturen in einem Zyklus stellen eine größere Regressionsfläche dar als üblich.

CVE-2026-119952 – Windows Schannel, Remote-Codeausführung

KRITISCH · CVSS 8.1 · Ausnutzung eher wahrscheinlich · AV:N / PR:N / UI:N · Bislang noch nicht ausgenutzt

Schannel ist die TLS-Implementierung von Windows – sie bildet die Grundlage für alle Anwendungen, die eine verschlüsselte Verbindung herstellen. Die Schwachstelle weist zwar eine niedrigere Bewertung auf als die oben genannten, gehört jedoch zu den wenigen Einstufungen mit der Bewertung „Exploitation More Likely“ in dieser Veröffentlichung. Damit gibt Microsoft einen Hinweis darauf, woher die nächste Ausnutzung voraussichtlich kommen wird.

Wie Angreifer diese Schwachstelle ausnutzen

• Greifen Sie auf jeden Dienst zu, der TLS über Schannel nutzt – IIS, RDP, LDAPS, SMB über TLS.
• Während des Handshakes ausführen, bevor die Authentifizierung erreicht ist.

Worauf Sie achten sollten

• Jeder Windows-Dienst mit Internetanbindung, der TLS beendet. Die betroffene Fläche ist größer, als es der Name eines einzelnen Produkts vermuten lässt.
• In den Systemereignisprotokollen häufen sich Schannel-Fehler oder Handshake-Fehler.

Leitlinien zur Schadensminderung

• Gewichten Sie die Microsoft-Einstufung höher als die 8,1. „Ausnutzung wahrscheinlicher“ ist eine zukunftsorientierte Einschätzung; CVSS ist eine statische Beschreibung.
• Zuerst die TLS-Terminatoren mit Internetanbindung, dann die internen.
• Es gibt keine Umgehungslösung in der Konfiguration – Schannel lässt sich nicht deaktivieren. Das Update ist die Lösung.

Veröffentlichungen von Drittanbietern

Wo die Ausnutzung tatsächlich stattfindet. 42 der 43 CVEs, bei denen in diesem Zeitraum eine Ausnutzung bestätigt wurde, stammten von außerhalb von Microsoft. Neun davon sind Edge- oder Perimeter-Geräte.

PHP und Palo Alto

php2shell · EPSS 0,9999 · AUSGENUTZT

CVE-2026-109618 und CVE-2026-109619 sind nicht authentifizierte RCE-Schwachstellen im PHP-Kern selbst, die am 21. Oktober bekannt gegeben wurden. Die eine führt bei der Bereinigung von Anfragen nach einem Speicherengpass zu einer Speicherbeschädigung; die andere nutzt einen veralteten Anfragestatus auf einem wiederverwendeten Worker. Sie betreffen jede PHP-Installation, die Webanfragen bedient – PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed –, wobei mod_php am stärksten betroffen ist, da die Ausnutzung erfolgt, bevor der Anwendungscode ausgeführt wird. Behoben in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.

Der „MadPot“-Honeypot von Amazon verzeichnete am 17. Oktober, vier Tage vor der Veröffentlichung und noch unter Embargo. Die Angreifer kombinierten diesen mit einem Kernel-Schwachstelle namens „Fragnesia“, die eine Ausweitung von Berechtigungen ermöglicht, um Root-Webshells auf den Verwaltungsschnittstellen von Palo-Alto-Firewalls zu installieren; Dream Research stellte fest, dass mindestens 25 davon kompromittiert waren. Palo Alto: „Es ist keine spezielle Konfiguration erforderlich, um betroffen zu sein.“ Laut SecurityWeek nutzten die Angreifer KI-Unterstützung, um die Angriffskette aufzubauen.

Ivanti

Secure verbinden · Kette geschlossen · AUSGENUTZT

Im Oktober-Bericht wurde darauf hingewiesen, dass die „Connect Secure “-Kette eine ungepatchte Schwachstelle aufwies. Diese ist nun behoben. CVE-2026-111357 (CVSS 8,8, fehlende Authentifizierung im dsinvoked-Root-Wartungsdienst) und CVE-2026-118527 (4,3, vorhersehbare Bezeichner, die das „Upload-Race“ ermöglichen) wurden am 29. Oktober in den Versionen 25.1.1.3 und 22.8R2.6 behoben. Beide wurden am 30. Oktober in das KEV aufgenommen; die Frist für 118527 endet am 13. November – in zwei Tagen.

Die detaillierten Informationen von Volexity zu UTA0576 sind lesenswert: In der „dsinvoked“-Phase wurde eine Python-Payload ausgeführt, die vorübergehend eine Bibliothek im Arbeitsspeicher modifizierte, eine Wartungsaufgabe so umleitete, dass sie als Root ausgeführt wurde, und anschließend die ursprüngliche Konfiguration und den ursprünglichen Speicherzustand wiederherstellte. Keine Webshell, keine persistente Backdoor – Befehle wurden über wiederholte HTTPS-Anfragen übertragen. Im Rahmen der Nachausnutzung wurden Windows-LAPS-Administratorpasswörter und BitLocker-Wiederherstellungsschlüssel abgegriffen. Das kompromittierte Gerät war zum Zeitpunkt des Vorfalls vollständig gepatcht. „Ein einwandfreies Ergebnis der Integritätsprüfung allein schließt eine Kompromittierung nicht aus.“

Adobe

110 CVEs · 9 Sicherheitsmitteilungen · KRITISCH

Adobe Connect steht im Mittelpunkt — APSB26-191, 24 CVEs, von denen 18 als „kritisch“ eingestuft sind, mit einem CVSS-Wert von bis zu 10,0 und über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar. ZDI bezeichnet dies als das größte und schwerwiegendste Adobe-Bulletin des Monats. Experience Manager (APSB26-189) fügt weitere 14 hinzu, darunter vier mit einem CVSS-Wert von 9,9, für deren Ausnutzung lediglich ein Konto mit geringen Berechtigungen erforderlich ist.

Nur diese beiden gehören zur Prioritätsstufe 2; die übrigen sieben Sicherheitshinweise haben die Prioritätsstufe 3. In der aktuellen Adobe-Patch-Runde dieses Monats gibt es keine ausgenutzten Schwachstellen – allerdings wurde CVE-2026-48356, ein uneingeschränkter Datei-Upload in Commerce und Magento, am 27. Oktober mit einem EPSS von 0,475 in den KEV aufgenommen. Das ist der dritter Monat in Folge , in dem bestätigt wurde, dass eine Schwachstelle in Adobe Commerce ausgenutzt wurde.

SAP

43 Notizen · 12 HotNews · KRITISCH

Onapsis spricht von einem Rekord: 43 neue und aktualisierte Sicherheitshinweise, 12 HotNews und vier CVSS-10.0-Schwachstellen, die alle ohne Authentifizierung ausnutzbar sind. Zwei davon sind das ICM2SHELL-Paar mit Speicherbeschädigungen – CVE-2026-76964 (NetWeaver AS ABAP) und CVE-2026-89126 (Web Dispatcher und HANA XSA). CVE-2026-89103 ist PROXYGATE, eine fehlerhafte Zugriffskontrolle im SAP Gateway, und CVE-2026-120017 ist eine fehlende Authentifizierung im NetWeaver-SAML2-Service-Provider.

Zwei operative Fallen. PROXYGATE erfordert nach dem Patchen eine manuelle Änderung der Profilparameter – der Patch allein schließt die Lücke nicht. Und die Workaround-Lösung zur Deaktivierung von WebSockets für ICM2SHELL wird von SAP ausdrücklich nicht empfohlen. Forscher haben SAP funktionierende Exploits übergeben; bisher wurden noch keine Ausnutzungen in freier Wildbahn gemeldet.

Edge-Geräte

Citrix · SonicWall · Barracuda · AUSGENUTZT

Barracuda ist die neueste: CVE-2026-116606 (Umgehung der Authentifizierung) und CVE-2026-111560 (OS-Befehlsinjektion) sind explizit miteinander verknüpft, Barracuda bestätigt Angriffe auf „eine kleine Anzahl von Organisationen“, watchTowr hat Exploit-Code veröffentlicht, und beide sind für den 13. November vorgesehen.

Die SonicWall-Sicherheitslücke CVE-2026-19868 (7.1) ermöglicht es einem Benutzer mit gültigen Nicht-SAML-Anmeldedaten, die durch SAML erzwungene MFA bei SSL-VPN zu umgehen. Es gibt keine Abhilfe; die Korrekturen sind 7.3.4-7013 und 8.2.3-8015, die am 20. November erscheinen sollen. Citrix hat am 8. Oktober CVE-2026-107406 (CVSS 9,5, SAML-konfigurierter NetScaler) veröffentlicht sowie ein separates „php2shell“-Rollup in den Versionen 14.1-73.49 / 13.1-64.32, das auch die Korrekturen für September und Oktober enthält.

Mozilla Firefox

160 · 99 CVEs · KEINE AUSNUTZUNG

Firefox 160 (MFSA 2026-125) wurde am Patch Tuesday mit 99 CVEs veröffentlicht – 57 mit dem Schweregrad „Hoch“, 24 mit „Mäßig“, 18 mit „Niedrig“ und keine mit „Kritisch“. ESR 115.45 und 153.7 wurden ebenfalls veröffentlicht, ebenso wie Thunderbird 160 und 153.7. 99 CVEs in einer einzigen Browser-Version liegen weit über dem historischen Durchschnitt von Mozilla und entsprechen dem gleichen Volumenmuster wie bei Microsoft, obwohl Mozilla dies öffentlich nicht auf KI-gestützte Erkennung zurückgeführt hat.

Apple

Eine CVE aus dem Jahr 2024, die nun ausgenutzt wird · AUSGENUTZT

Apple hat am 9. November die Versionen 27.2.1, 26.7.3 und 18.7.12 für iOS/iPadOS sowie drei macOS-Zweige veröffentlicht. Dass es drei parallele iOS-Zweige gibt, ist an sich schon ein Signal – Lee Neely von SANS: „Ich werde aufmerksam, wenn Apple Korrekturen für mehr als zwei Versionen veröffentlicht.“

Der interessantere Eintrag ist älter. CVE-2024-27834 – eine Umgehung der Pointer-Authentifizierung mit einem CVSS-Wert von 5,5, die Apple im Mai 2024 behoben hat – wurde am 4. November in die KEV aufgenommen. Sekoia führt die Ausnutzung auf APT29 / Midnight Blizzard, die über kompromittierte legitime Websites und eine Kompromittierung der Lieferkette des Plerdy-SEO-Trackers erfolgte – in einer Zero-Click-Kette, die mit einem Cookie-stehlenden Infostealer endete. Ein zweieinhalb Jahre alter Fehler mittlerer Schwere, der von einem staatlichen Akteur ausgenutzt wurde.

Was das für Sie bedeutet, wenn Sie Waren versenden Software

Das prägende Merkmal dieses Monats ist nicht das Volumen. Es ist vielmehr die Tatsache, dass die beiden folgenreichsten Ereignisse – die Entdeckung der einzigen ausgenutzten Sicherheitslücke bei Microsoft und der Angriff auf die Firewalls von Palo Alto – beide innerhalb von drei Wochen nacheinander stattfanden und dabei KI-Unterstützung auf gegensätzlichen Seiten zum Einsatz kam. Ein Forscher nutzte sie, um einen Fehler zu finden, der bereits ausgenutzt wurde. Ein Angreifer nutzte sie, um eine Angriffskette aufzubauen, mit der er sich Zugriff auf Produktionsgeräte verschaffte.

Und was tatsächlich zu Sicherheitsverletzungen führte, war PHP: eine Abhängigkeit, kein Produkt. Es kommt darauf an, bereits vor der Veröffentlichung einer CVE zu wissen, was sich in Ihrem Produkt und auf Ihren Endgeräten befindet. Genau diese Kette bildet das OESIS Detection & Patching Dashboard ab: Welche Anwendung ist installiert, welche CVEs sind darin enthalten und ob bereits ein Patch verfügbar ist.

Prioritätsmatrix

Vier Kategorien, beginnend mit der höchsten Schwere. Die Einstufung erfolgt anhand der Bekanntheit und der Ausnutzung, nicht anhand des CVSS-Werts – weshalb ein Wert von 6,5 ganz oben steht und ein Wert von 10,0 ganz unten. Der Fokus liegt auf der Software, die die meisten Unternehmen tatsächlich einsetzen; der vollständige Datensatz umfasst alle 43 ausgenutzten CVEs und jeden Anbieter in diesem Zyklus.

P1 – JETZT Innerhalb von 24 Stunden 19 von 43 ausgenutzt

Ausnutzung in der Praxis bestätigt – beobachtet, nicht vorhergesagt. Nach Aktualität sortiert: Die obersten Zeilen beziehen sich auf Aspekte, die im letzten Zyklus nicht behandelt wurden.

Die Zeilen „Microsoft“ und „Chrome“ weisen keine EPSS-Werte auf, da das Modell diese zum Zeitpunkt der Erstellung dieser Momentaufnahme noch nicht bewertet hatte. Die übrigen 24 ausgenutzten CVEs betreffen Medienserver, Backup-Geräte, Entwicklertools und den Legacy-Batch vom 8. Oktober; alle 43 sind im CVE-Dashboard unter „ OPSWAT “ durchsuchbar.

P2 – DIESE WOCHE Innerhalb von 72 Stunden 12 von 32

Windows, nicht authentifiziert, über das Netzwerk erreichbar, keine Benutzerinteraktion. Es muss nichts angeklickt werden, damit sich Ihr Sicherheitsrisiko ändert. Zuerst die „ Server “-Rollen – und beachten Sie, dass sowohl DNS als auch LDAP auf Domänencontrollern landen.

In diesem Monat gibt es keine EPSS-Kolumne. Zum Zeitpunkt dieser Momentaufnahme hatte das Modell nur 1 von 1.095 Microsoft-CVEs bewertet – im Gegensatz zur nahezu vollständigen Abdeckung im Oktober, die bei einem Lauf zur fast gleichen Uhrzeit ermittelt wurde. EPSS-Bewertungen werden nach ihrem eigenen Zeitplan bereitgestellt, und eine Spalte mit Strichen würde eher ein geringes Risiko als fehlende Daten bedeuten. Für bestätigte Ausnutzungen war dies ohnehin nie das richtige Ranking-Signal.

P3 – DIESER ZYKLUS Innerhalb von 7 Tagen 8 CVEs

Entscheidend und erreichbar, aber für jede davon ist eine Voraussetzung erforderlich – eine Berechtigung, eine authentifizierte Sitzung, eine übermittelte Datei. Die Zeile „Proof-of-Concept“ gehört unabhängig von ihrer Punktzahl hier in den Bereich „Ausnutzungsreife“ ein.

P4 – KEINE MASSNAHMEN Nur zur Information 4 CVEs

Auf der Serviceseite: Microsoft hat diese Probleme in seiner eigenen Infrastruktur behoben; für Kunden ist keine Bereitstellung erforderlich. Das Unternehmen veröffentlicht jeden Monat eine ungefilterte CVSS-Sortierung – genau aus diesem Grund werden sie hier aufgeführt, anstatt sie so zu belassen, dass sie bei jemandem Verwirrung stiften könnten.

Der 72-Stunden-Plan

Was die Prioritätsmatrix Ihnen nicht verrät.

Was steht als Nächstes auf dem Programm?

Quellen

Zunächst die Hinweise der Hauptanbieter.

1. Microsoft Security Response Center, CVRF-Dokument 2026-Nov, Revision 2026-11-11 – kanonische CVE-Liste, von Microsoft zugewiesene CVSS-Werte und zeitliche Vektoren.
2. CISA-Katalog bekannter ausgenutzter Sicherheitslücken und FIRST EPSS.
3. Zero Day Initiative: Rückblick auf die Sicherheitsupdates vom November 2026.
4. Tenable, Patch Tuesday im November 2026 behebt 1.093 CVEs; Krebs on Security; Rapid7.
5. PHP Group-Sicherheitshinweise zu CVE-2026-109618 und CVE-2026-109619; NCSC-NL-Produkt-Tracker „php2shell“; SecurityWeek über die Sicherheitsverletzungen bei Palo Alto.
6. Volexity zu UTA0576 und Ivanti Connect Secure; Sicherheitshinweise von Ivanti zu CVE-2026-111357 und CVE-2026-118527.
7. Onapsis, SAP-Sicherheitspatch-Tag, November 2026.
8. Adobe-Sicherheitsmitteilungen (APSB26-191, -189 und weitere).
9. Mozilla, MFSA 2026-125 (Firefox 160).
10. Citrix CTX697191; SonicWall SNWLID-2026-0014; Barracuda-Sicherheitshinweise; The Hacker News zu CVE-2024-27834 und APT29.
11. VulnCheck zu durch KI entdeckten Sicherheitslücken und Ausnutzungsraten.

Methodik. Die Anzahl der Einträge entspricht den von Microsoft im CVRF mit einer Auswirkungsbewertung klassifizierten CVEs, wobei 267 erneut veröffentlichte CVEs von Drittanbietern nicht berücksichtigt sind. Die CVSS- und Exploit-Maturity-Werte von Microsoft werden vom Hersteller anhand des CVRF zugewiesen; CVSS-Werte von Drittanbietern stammen vom NVD oder vom jeweiligen Hersteller, sofern die CISA keine Werte veröffentlicht. EPSS ist ein Vorhersagemodell und wird lediglich berichtet, jedoch niemals zur Einstufung bestätigter Ausnutzungen herangezogen – in diesem Monat hatte es zum Zeitpunkt der Datenerhebung nur eine von 1.095 Microsoft-CVEs bewertet, weshalb es in den Microsoft-Tabellen nicht aufgeführt ist. Die Prioritätsmatrix ist auf gängige Unternehmenssoftware beschränkt; der zugrunde liegende Datensatz umfasst alle 43 CVEs, deren Ausnutzung zwischen dem 8. Oktober und dem 10. November bestätigt wurde, sowie jeden Hersteller in diesem Zyklus. Der Ausnutzungsstatus spiegelt die CISA-KEV-Einstufung und die Bestätigung durch den Hersteller selbst wider, nicht die Angaben von Drittanbietern.

Stand: 11. November 2026. CISA KEV und EPSS werden kontinuierlich aktualisiert, und Microsoft überarbeitet die CVRF nach der Veröffentlichung – die hier angegebenen Zahlen spiegeln die Überarbeitung vom 11. November und den Stand des Katalogs an diesem Morgen wider. Die Empfehlungen zur Risikominderung sind allgemeiner Natur und leiten sich aus den veröffentlichten Merkmalen der jeweiligen Sicherheitslücke ab; sie ersetzen nicht die Durchführung von Tests in Ihrer eigenen Umgebung.