Microsoft verhelpt in november 2026 ruim duizend kwetsbaarheden, waaronder een actief misbruikte spoofing-zwakte in Outlook.
Microsoft heeft in de Patch Tuesday updates van november 2026 in totaal 1.094 kwetsbaarheden in diverse producten opgelost. Onder deze patches bevindt zich een zero-day kwetsbaarheid in Outlook, die volgens Microsoft reeds actief wordt misbruikt. Deze kwetsbaarheid, geregistreerd als CVE-2026-124194, betreft een spoofingfout waarbij Outlook gebruikers niet waarschuwt voordat een potentieel gevaarlijke actie wordt uitgevoerd.
De ernst van deze kwetsbaarheid is door Microsoft ingeschaald als 'matig' met een CVSS-score van 6,5. Volgens het advies van Microsoft zijn er geen details bekendgemaakt over de aanvallen die zijn waargenomen. Voor een succesvolle aanval moet het slachtoffer worden misleid om een kwaadaardig bestand te openen. Hierbij kan Outlook verbinding maken met een door de aanvaller gecontroleerde netwerklocatie zonder de gebruikelijke waarschuwing voor externe inhoud te tonen. Dit kan ertoe leiden dat authenticatiegegevens, in de vorm van NTLMv2-hashes, worden blootgesteld, waarmee de aanvaller zich kan voordoen als de gebruiker. De kwetsbaarheid kan niet worden geactiveerd via het Voorbeeldvenster van Outlook.
De getroffen producten omvatten onder meer Microsoft 365 Apps for Enterprise, Office LTSC 2021 en Office LTSC 2024. De ontdekking van deze kwetsbaarheid wordt toegeschreven aan een onderzoeker met de naam 'nono' en Benoît Sevens, waarbij voor de analyse gebruik is gemaakt van het AI-model Claude van Anthropic. Naast deze Outlook-kwetsbaarheid zijn er in Windows 726 zwakheden verholpen, gevolgd door 174 in Office. Verder zijn er patches uitgebracht voor SQL Server, ontwikkeltools, SharePoint Server, Azure en Exchange Server.
Microsoft heeft tevens 165 CVE's van derden opnieuw gepubliceerd, waarbij kwetsbaarheden in Chrome niet zijn opgenomen. De kritieke updates betreffen onder andere Windows 10, Windows 11, Windows Server 2016 tot en met 2025, Office, Exchange Server Subscription Edition, Edge en de Malware Protection Engine. Ook Azure OpenAI en Azure Managed Grafana zijn meegenomen in deze update. Deze novemberrelease is kleiner dan die van oktober, toen Microsoft een recordaantal van 1.413 kwetsbaarheden patchte. Met de huidige updates heeft Microsoft dit jaar meer dan 5.000 kwetsbaarheden verholpen.
Daarnaast markeert deze update de laatste maandelijkse beveiligingsupdates voor de Enterprise- en Education-edities van Windows 11 versie 23H2. Apparaten met deze edities ontvangen geen verdere maandelijkse beveiligingsupdates meer.
