Microsoft heeft in de Patch Tuesday van november 2026 beveiligingsupdates uitgebracht voor 1.235 kwetsbaarheden. Het gaat om een uitzonderlijk grote update, met onder meer 66 als kritiek beoordeelde kwetsbaarheden en één zero-day in Microsoft Outlook die al actief is misbruikt. Die Outlook-kwetsbaarheid kan worden ingezet om NTLM-authenticatiegegevens van gebruikers buit te maken.
Grote maandelijkse update met 66 kritieke lekken
Van de 1.235 verholpen kwetsbaarheden zijn er 66 als Critical aangemerkt. Binnen die groep gaat het volgens de beschikbare informatie om 48 kwetsbaarheden voor remote code execution, 15 voor elevation of privilege en drie use-after-free-problemen in Microsoft Edge.
De verdeling over de kwetsbaarheidscategorieën laat zien hoe breed de update is. Microsoft dichtte ongeveer 536 elevation-of-privilegelekken, 296 kwetsbaarheden voor remote code execution, 157 informatielekken, 46 denial-of-servicekwetsbaarheden, 27 security-feature-bypasslekken en 22 spoofingproblemen. Daarnaast zijn 142 kwetsbaarheden gerelateerd aan de op Chromium gebaseerde versie van Microsoft Edge.
Ongeveer 639 van de 1.235 kwetsbaarheden vallen onder Windows of Windows-producten en -componenten. Niet alle beveiligingsreparaties die Microsoft deze maand heeft uitgebracht, tellen mee in dit Patch Tuesday-totaal. Eerder in november waren al 108 kwetsbaarheden verholpen, waaronder één in Entra Device Registration, 82 in Mariner en 25 in Microsoft Edge.
Outlook-zero-day misbruikt voor NTLM-hashes
Het meest urgente onderdeel van deze update is CVE-2026-124194, een spoofingkwetsbaarheid in Microsoft Outlook. Microsoft heeft bevestigd dat dit lek al in aanvallen is uitgebuit. Het bedrijf classificeert een kwetsbaarheid als zero-day wanneer die publiek bekend is of actief wordt misbruikt terwijl er nog geen officiële oplossing beschikbaar is.
Bij CVE-2026-124194 kan een niet-geauthenticeerde aanvaller een speciaal geprepareerd berichtbestand sturen en een gebruiker ertoe brengen dit te openen in een kwetsbare versie van Outlook. Als het bestand wordt geopend, kan Outlook verbinding maken met een door de aanvaller beheerde netwerklocatie zonder de gebruikelijke waarschuwing voor externe inhoud te tonen. Daardoor kan authenticatie-informatie worden prijsgegeven die mogelijk kan worden gebruikt om zich als de gebruiker voor te doen.
Voor succesvolle exploitatie zijn volgens Microsoft netwerkconnectiviteit en interactie van de gebruiker nodig. Het risico zit vooral in het automatisch aanbieden van NTLMv2-authenticatiegegevens wanneer Windows verbinding maakt met een externe share. Een aanvaller kan de hash vastleggen en mogelijk offline proberen te kraken. Als dat lukt, kunnen de herwonnen inloggegevens worden gebruikt voor ongeautoriseerde toegang tot bedrijfsaccounts.
Analyse: waarom dit zwaar weegt voor organisaties
De combinatie van een zeer grote hoeveelheid kwetsbaarheden en een al misbruikte Outlook-zero-day maakt deze patchronde belangrijk voor organisaties met Microsoft-omgevingen. Outlook is een veelgebruikt doelwit omdat aanvallen via e-mail relatief eenvoudig bij eindgebruikers terechtkomen. In dit geval is geen directe uitvoering van code nodig om waardevolle authenticatiegegevens te kunnen lekken; het openen van een kwaadaardig bestand kan al voldoende zijn om een verbinding naar infrastructuur van de aanvaller op gang te brengen.
Voor beveiligingsteams is vooral de NTLM-component relevant. NTLM-hashes spelen nog steeds een rol in veel Windows-omgevingen. Wanneer dergelijke hashes in handen van aanvallers komen, kan dat bijdragen aan accountmisbruik of verdere verplaatsing binnen een netwerk. De broninformatie bevestigt niet welke sectoren of aantallen slachtoffers bij deze Outlook-aanvallen betrokken zijn.
De omvang van de Patch Tuesday past in een bredere trend van grote aantallen gemelde en verholpen kwetsbaarheden. In oktober 2026 bracht Microsoft updates uit voor 1.411 kwetsbaarheden. De huidige reeks volgt op die recordmaand, terwijl Microsoft kwetsbaarheden blijft vinden en verhelpen met inzet van AI.
Ook buiten Microsoft veel noodupdates
De patchdruk blijft niet beperkt tot Microsoft. In november 2026 verschenen ook updates en beveiligingsadviezen van meerdere andere leveranciers. Barracuda Networks bracht updates uit voor twee kwetsbaarheden waarmee aanvallers commando’s met rootrechten konden uitvoeren; een week later werden die lekken misbruikt. Google publiceerde noodupdates voor een Chrome-kwetsbaarheid die als zero-day werd aangevallen.
Verder kwamen er updates van onder meer Cisco, Ivanti, SAP, SonicWall, Vates en Zyxel. Ivanti repareerde twee Connect Secure-kwetsbaarheden die sinds ten minste 1 oktober in zero-dayaanvallen aan elkaar werden gekoppeld. SonicWall dichtte meerdere kwetsbaarheden in SonicOS-firewalls, waaronder een misbruikte authenticatie-bypass in SSL-VPN. Zyxel patchte een zero-day in GS1900-netwerkswitches die volgens de beschikbare informatie werd gebruikt om bijna 1.000 apparaten wereldwijd te compromitteren.
Bevestigd is dat Microsoft met de novemberupdates één actief misbruikte zero-day in Outlook heeft gedicht. De bredere analyse is dat organisaties deze updatecyclus niet alleen als reguliere onderhoudsronde moeten zien, maar als een moment waarop kwetsbaarheden in e-mailclients, Windows-componenten, cloudtools en netwerkapparatuur tegelijk aandacht vragen.
Bron: bleepingcomputer.com
