Adobe – Patches für November 2026
Adobe veröffentlichte neun Bulletins mit insgesamt 110 einzigartigen CVEs für Adobe Connect, Experience Manager, After Effects, Audition, Dimension, Photoshop, Media Encoder, Premiere und Content Credentials SDK. Besonders auffällig ist Adobe Connect: Das Update behebt 24 Schwachstellen, davon 18 mit kritischem Schweregrad und einem maximalen CVSS-Wert von 10.0. Auch Adobe Experience Manager erhält ein umfangreiches Sicherheitsupdate mit vier kritischen Schwachstellen und einem CVSS-Wert von bis zu 9.9.
Wichtigste Punkte:
- Keine der Adobe-Schwachstellen wird aktiv in the wild ausgenutzt oder ist zum Zeitpunkt der Veröffentlichung öffentlich bekannt.
- Priorität 2: Adobe Connect (24 CVEs, 18 kritische Schwachstellen, CVSS 10.0) und Adobe Experience Manager (14 CVEs, vier kritische Schwachstellen, CVSS 9.9).
- Priorität 3: Audition, After Effects, Dimension, Photoshop, Premiere, Media Encoder und Content Credentials SDK.
- Besonders kritisch: Die CVSS-10-Schwachstellen in Adobe Connect sind über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion erreichbar.
- Die vier kritischen Schwachstellen in Experience Manager ermöglichen ebenfalls Codeausführung über das Netzwerk. Dafür ist allerdings ein Konto mit niedrigen Berechtigungen erforderlich.
Kritischste Adobe-Schwachstellen:
- Adobe Connect (APSB26-191) – 24 CVEs, CVSS 10.0, Kritisch, Priorität 2. 18 Schwachstellen sind als kritisch eingestuft. Die CVSS-10-Lücken ermöglichen Netzwerkangriffe ohne Authentifizierung und Benutzerinteraktion. Keine aktive Ausnutzung bekannt. Zeitnahe Aktualisierung empfohlen.
- Adobe Experience Manager (APSB26-189) – 14 CVEs, CVSS 9.9, Kritisch, Priorität 2. Vier kritische Schwachstellen, darunter zwei fehlerhafte Autorisierungsprüfungen und zwei Code-Injection-Bugs. Alle ermöglichen beliebige Codeausführung über das Netzwerk, setzen jedoch ein Konto mit niedrigen Berechtigungen voraus.
- Adobe Audition (APSB26-102) – 11 CVEs, CVSS 8.7, Hoch, Priorität 3.
- Adobe After Effects (APSB26-100) – 17 CVEs, CVSS 8.6, Hoch, Priorität 3.
Microsoft – Patches für November 2026
Microsoft veröffentlichte nach Einschätzung von Dustin Childs rund 1.090 neue CVEs. Damit liegt das Volumen zwar unter dem außergewöhnlich großen Oktober-Release mit rund 1.400 Schwachstellen, ist aber weiterhin enorm. Betroffen sind unter anderem Windows und Windows-Komponenten, Office, Windows-Netzwerk- und Remote-Access-Dienste, Azure, Exchange Server, .NET, Visual Studio, Visual Studio Code, Microsoft Defender, Dynamics und Xbox.
Wichtigste Punkte:
- Eine Schwachstelle wird aktiv in the wild ausgenutzt: CVE-2026-124194 in Microsoft Outlook.
- Keine der Microsoft-Schwachstellen ist zum Zeitpunkt der Veröffentlichung öffentlich bekannt.
- Besonders kritisch sind mehrere Remote-Code-Execution-Lücken, die ohne Authentifizierung und teilweise ohne Benutzerinteraktion ausgenutzt werden können.
- ZDI identifiziert insgesamt 30 potenziell „wormable“ Schwachstellen – deutlich weniger als die 59 des Vormonats, aber weiterhin eine erhebliche Angriffsfläche.
- Auffällig ist die hohe Zahl an Schwachstellen in Windows-Komponenten, Office und Visual Studio Code. Insbesondere Entwicklerumgebungen verdienen Aufmerksamkeit, da sie häufig Zugriff auf sensible Zugangsdaten und Quellcode haben.
Kritischste Microsoft-Schwachstellen:
- CVE-2026-124194 – Microsoft Outlook Spoofing, CVSS 6.5 — ⚠️ Aktiv in the wild ausgenutzt. Ein Angreifer versendet eine manipulierte Nachrichtendatei und muss einen Nutzer dazu bringen, diese zu öffnen. Outlook verbindet sich daraufhin ohne die übliche Warnung vor externen Inhalten mit einer vom Angreifer kontrollierten Netzwerkadresse. Dabei wird der NTLMv2-Hash des Nutzers offengelegt, den Angreifer zur Authentifizierung im Namen des Nutzers verwenden können. Die Preview Pane ist kein Angriffsvektor. Trotz des vergleichsweise niedrigen CVSS-Werts aufgrund der aktiven Ausnutzung höchste Patch-Priorität.
- CVE-2026-116928 – Windows Search RCE, CVSS 9.8 — Besonders gefährlich, da die Schwachstelle über Exchange Server erreicht werden kann. Ein nicht authentifizierter Angreifer kann eine E-Mail mit einem manipulierten Anhang versenden, der die Schwachstelle beim automatischen Indizieren durch den Server auslöst. Der Empfänger muss die Nachricht oder den Anhang nicht öffnen. Es handelt sich um eine Zero-Click-Schwachstelle auf einem besonders attraktiven Angriffsziel. Schnelles Patchen empfohlen.
- CVE-2026-119958 – Windows LDAP RCE, CVSS 9.8 — Ermöglicht einem nicht authentifizierten Angreifer, über manipulierte LDAP-Aufrufe aus dem Netzwerk einen Out-of-Bounds-Write (CWE-787) auszulösen. Benutzerinteraktion ist nicht erforderlich. Da der Angriff im Kontext des LDAP-Dienstes ausgeführt wird, kann die Schwachstelle insbesondere auf Domain Controllern erhebliche Auswirkungen haben. Schnellstmöglich testen und patchen.
- CVE-2026-119990 – Azure OpenAI Elevation of Privilege, CVSS 9.8 — Ein nicht authentifizierter Angreifer kann eine manipulierte Anfrage über das Internet an einen betroffenen Azure-OpenAI-Dienst senden. Benutzerinteraktion oder ein Benutzerkonto sind nicht erforderlich. Mögliche Auswirkungen sind der Zugriff auf Orchestrierungsinformationen, Änderungen an Workflows oder eine Unterbrechung des Dienstes. ZDI kritisiert, dass Microsoft zwar eine Kundenaktion verlangt, bislang aber keine konkreten Maßnahmen oder Workarounds nennt.
- CVE-2026-119952 – Windows Schannel RCE, CVSS 8.1 — Ermöglicht nicht authentifizierten Angreifern die Remote-Codeausführung über das Netzwerk ohne Benutzerinteraktion. Microsoft stuft eine Ausnutzung als „Exploitation More Likely“ ein. Die hohe Angriffskomplexität erklärt den vergleichsweise niedrigeren CVSS-Wert. ZDI empfiehlt dennoch, diese Schwachstelle weit oben auf die Patch-Prioritätenliste zu setzen.
- CVE-2026-95962 – Windows Virtual Filtering Platform (VFP) RCE — Eine Use-after-free-Schwachstelle, über die ein nicht authentifizierter Angreifer durch ein speziell präpariertes Netzwerkpaket Code auf betroffenen Systemen ausführen kann. Weder Authentifizierung noch Benutzerinteraktion sind erforderlich. ZDI hebt insbesondere hervor, dass die Schwachstelle eine bislang wenig dokumentierte Windows-Komponente betrifft.
- CVE-2026-112967 – Windows Xbox Live Networking Service RCE, CVSS 9.8 — Ein Heap-Overflow ermöglicht Remote-Codeausführung ohne Authentifizierung oder Benutzerinteraktion. Microsoft beschreibt einen Angriff durch einen Netzwerk-Angreifer, der beliebige Endpunkte aufrufen kann. ZDI hält eine tatsächliche Ausnutzung zwar für eher unwahrscheinlich, stuft die Schwachstelle aufgrund ihrer technischen Eigenschaften aber als bemerkenswert ein.
Besonders auffällig: 30 potenziell „wormable“ Schwachstellen
Die ZDI identifiziert in diesem Monat insgesamt 30 Schwachstellen, die als potenziell wurmfähig eingestuft werden können. 17 davon beschreiben ausdrücklich die Möglichkeit, dass ein nicht authentifizierter Angreifer über das Netzwerk Code ausführt, ohne dass eine Benutzerinteraktion erforderlich ist. Bei den übrigen 13 ergibt sich dieses Angriffsszenario aus abweichenden Formulierungen oder den CVSS-Angriffsvektoren.
Betroffen sind unter anderem:
- Message Queuing (5 Schwachstellen)
- DNS (4 Schwachstellen)
- Color Management, DHCP Server, DirectMusic und Xbox (jeweils 2 Schwachstellen)
- Exchange Server, LDAP, Schannel, CredSSP, Deployment Services, IIS, NAT, RPC Runtime, Media Foundation, iSCSI, Virtual Filtering Platform, eSCL Scanner und Modern Device Management (jeweils 1 Schwachstelle).
Die ZDI empfiehlt, die Patches für diese Schwachstellen besonders schnell zu testen und auszurollen. Das gilt insbesondere für netzwerkexponierte Dienste wie DNS, DHCP, LDAP und Exchange.
Zum vollständigen Artikel: https://www.zerodayinitiative.com/blog/2026/11/10/the-november-2026-security-update-review
Der nächste Patch Tuesday findet am 8. Dezember 2026 statt.
Diese Zusammenfassung wurde mithilfe von KI automatisiert erstellt und anschließend geprüft.
Über TrendAI™
TrendAI™, weltweit führender Anbieter von KI-Sicherheit und der Enterprise-Geschäftsbereich von Trend Micro, ermöglicht Organisationen vollständige Transparenz und Governance ihrer KI-Nutzung sowie konsolidierte Sicherheit.
AI Fearlessly.
AI Fearlessly.
Pressekontakt:
PER Connect GmbH
Christina M. Rottmair / Anna Magali Golling
Hofmannstraße 54
D-81379 München
Telefon: +49 (0) 89 17959 18 – 0
E-Mail: [email protected]
Internet: www.per-group.com
PER Connect GmbH
Christina M. Rottmair / Anna Magali Golling
Hofmannstraße 54
D-81379 München
Telefon: +49 (0) 89 17959 18 – 0
E-Mail: [email protected]
Internet: www.per-group.com
