Windows-Patchday November 2026: KB5132061, ausgenutzte Outlook-Lücke und NTLM

Microsoft hat am 10. November 2026 die Sicherheitsupdates für den November veröffentlicht. Windows 11 24H2, 25H2 und 26H2 erhalten KB5132061 (Builds 26100.9974, 26200.9974 und 26300.9974), Windows 10 22H2 (ESU) und Windows 10 Enterprise LTSC 2021 (21H2) KB5131096, Windows Server 2025 KB5131080. Eine Lücke wird laut Microsoft bereits ausgenutzt: CVE-2026-124194 in Outlook, über die Angreifer NTLMv2-Hashes abgreifen können.

Betroffen sind alle unterstützten Windows-Versionen sowie Microsoft 365 Apps und Office LTSC 2021 und 2024. Die Updates gehören in den regulären Patchzyklus dieser Woche, Outlook-Clients sollten zuerst drankommen. Zwei Änderungen können Betrieb und Skripte berühren: NTLM-Signierung ab Werk unter Windows 11 und Server 2025 sowie eine strengere Prüfung signierter PowerShell-Skripte. Für lokale Exchange-Server auf Windows Server 2025 führt Microsoft zudem ein bekanntes Problem.

Was ist passiert?

Microsofts maschinenlesbarer Datensatz für November führt 1.342 CVE-Einträge, 1.094 davon mit dem Veröffentlichungsdatum 10. November. Von diesen stuft Microsoft 63 als kritisch ein, darunter Lücken zur Codeausführung im TCP/IP-Stack von Windows (CVE-2026-113859), im SMB-Server (CVE-2026-113825), in den Active Directory Domain Services (CVE-2026-118146), in LDAP (CVE-2026-119958), im IIS (CVE-2026-119961), in Exchange Server (CVE-2026-118207) und mehrfach in Message Queuing. Dazu kommen kritische Rechteausweitungen in Hyper-V. Als öffentlich bekannt vor dem Patch markiert Microsoft keine Lücke.

Die ausgenutzte Lücke CVE-2026-124194 bewertet Microsoft nur als mittel (CVSS 6.5). Laut Microsoft muss ein Opfer eine präparierte Nachrichtendatei in Outlook öffnen. Outlook verbindet sich dann ohne die übliche Warnung vor externen Inhalten mit einem Ziel des Angreifers und kann dabei den NTLMv2-Hash des Nutzers preisgeben. Das Vorschaufenster ist laut Microsoft kein Angriffsweg. Betroffen sind Microsoft 365 Apps for Enterprise sowie Office LTSC 2021 und 2024.

Wer ist betroffen?

• Windows 11 24H2, 25H2 und 26H2: KB5132061, für Hotpatch-Geräte KB5132043 (Builds 26x00.9911).
• Windows 11 26H1: KB5132059 (Build 28000.3501). Windows 11 23H2: KB5131087 (Build 22631.7711).
• Windows 10 22H2 (ESU) und Windows 10 Enterprise LTSC 2021: KB5131096 (Builds 19045.7846 und 19044.7846). Firmengeräte mit 22H2 brauchen dafür eine ESU-Lizenz für das zweite Jahr. Der kostenlose Support für LTSC 2021 endet am 12. Januar 2027.
• Windows Server 2025: KB5131080 (Build 26100.33822), Hotpatch KB5131077. Server 2022: KB5131090, Server 2019 und Windows 10 LTSC 2019: KB5131085, Server 2016 und Windows 10 LTSB 2016: KB5131291.

Wie kritisch ist das?

Akut ist vor allem die Outlook-Lücke, weil sie angegriffen wird. Ein abgegriffener NTLMv2-Hash erlaubt laut Microsoft, sich als der betroffene Nutzer auszugeben. Die kritischen Lücken in TCP/IP, SMB, AD DS und LDAP betreffen zentrale Dienste. Für sie meldet Microsoft keine Ausnutzung, Domänencontroller und von außen erreichbare Server sollten trotzdem früh im Wartungsfenster liegen.

Zwei Änderungen nennt Microsoft in den Update-Hinweisen: Unter Windows 11 und Windows Server 2025 bieten Clients bei nicht anonymen Verbindungen jetzt standardmäßig NTLM-Signierung an, das soll NTLM-Relay-Angriffe erschweren. Und Windows prüft die Kodierung signierter PowerShell-Skripte strenger. Skripte mit ungültigem UTF-8 können die Signaturprüfung nun nicht mehr bestehen. Microsoft empfiehlt, sie in gültigem UTF-8 mit BOM zu speichern und neu zu signieren.

Was sollten Admins jetzt tun?

• Inventar: Windows-Builds und Office-Kanäle erfassen, Hotpatch-Geräte getrennt betrachten.
• Outlook zuerst: Microsoft 365 Apps und Office LTSC 2021 und 2024 aktualisieren, ausgehendes SMB und NTLM zu fremden Zielen an der Firewall prüfen.
• Domänencontroller, Exchange- und IIS-Server früh im Wartungsfenster patchen.
• Exchange auf Windows Server 2025: Laut KB5131080 können Nutzer sich eventuell nicht an OWA anmelden, Mails bleiben im Postausgang oder Warteschlangen wachsen. Ursache ist ein seit Oktober geltendes Limit des Endpoint Mappers. Microsoft beschreibt einen Workaround per Registry und untersucht das Problem weiter. Dieselbe Seite vermerkt an anderer Stelle einen Fix, das Problem steht aber weiter unter den bekannten Problemen.
• Signierte PowerShell-Skripte vorab auf einem Testsystem mit dem Update ausführen und bei Fehlern neu kodieren und signieren.
• Windows 10: Bei 21H2 und 22H2 führt Microsoft ein bekanntes Problem mit USB-Audiogeräten der Klasse 1.0 (Fehlercode 10 oder kein Ton). Für Windows 11 meldet Microsoft keine bekannten Probleme mit KB5132061, das USB-Audio-Problem ist dort behoben.
• Planung: Im Dezember 2026 gibt es laut Microsoft kein optionales Vorschau-Update, regulär geht es im Januar 2027 weiter.

Einordnung für Unternehmen

Mit 1.094 neu veröffentlichten CVE-Einträgen ist der Patchday sehr umfangreich, für die Priorisierung zählt aber vor allem die eine ausgenutzte Outlook-Lücke. NTLM-Hashes bleiben ein beliebtes Ziel, wer NTLM im Netz noch breit einsetzt, profitiert von der neuen Standard-Signierung, sollte aber Altanwendungen beobachten.

Passende Anleitungen auf S-EDV

• Windows 11 Oktober-Update: KB5127648 behebt VPN- und Explorer-Fehler
• Windows 11 KB5127936: Vorschauupdate behebt Always-On-VPN-Fehler
• Ungepatchte Windows-Lücke: Einzelner Klick stiehlt NTLMv2-Hash über Sucheingabe-Handler

Quellen

• Microsoft: Sicherheitsupdates November 2026 (CVRF-Daten)
• Microsoft: KB5132061 für Windows 11
• Microsoft: KB5131096 für Windows 10
• Microsoft: KB5131080 für Windows Server 2025
• Deskmodder: Bericht zu KB5132061