Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
Microsoft-Patchday November: Ausgenutzte Outlook-Lücke und mehr als 1.000 Korrekturen
Microsoft hat am 10. November seine monatlichen Sicherheitsupdates veröffentlicht. Je nach Zählung schließen sie 1.235 Lücken (BleepingComputer) oder 1.260 (SANS Internet Storm Center), jeweils inklusive Edge. Ausgenutzt wird bereits CVE-2026-124194 in Outlook. Öffnet ein Opfer eine präparierte Nachricht, verbindet sich Outlook ohne die übliche Warnung mit einem Server des Angreifers und verrät dabei den NTLMv2-Hash des Kontos. Damit können sich Angreifer im Namen des Opfers anmelden oder das Passwort offline knacken. Die Vorschau löst den Fehler laut heise nicht aus. Kritisch ist außerdem CVE-2026-116928 in der Windows-Suche: Eine präparierte Mail an einen Exchange Server reicht, der Suchindexer verarbeitet den Anhang automatisch, und Schadcode läuft mit dessen Rechten, ohne dass jemand die Mail öffnet.
- Priorität: Sofort handeln (Outlook-Lücke wird ausgenutzt)
- Datum: 10.11.2026
- CVE: CVE-2026-124194, CVE-2026-116928
- Für wen relevant: Alle Unternehmen mit Windows und Microsoft Office. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Updates zügig verteilen, unter Windows 11 etwa KB5132061, unter Windows 10 mit erweitertem Support KB5131096. Office-Updates nicht vergessen. Ausgehende SMB-Verbindungen ins Internet an der Firewall sperren, damit NTLM-Hashes gar nicht erst nach außen gelangen.
- Quelle: BleepingComputer · heise online · SANS Internet Storm Center
Exchange Server: Sicherheitsupdate November behebt Codeausführung und den Oktober-Fehler
Microsoft hat am 10. November Sicherheitsupdates für Exchange Server veröffentlicht, nur noch für die Subscription Edition (SE). Geschlossen ist unter anderem die Lücke CVE-2026-118207 (CVSS 8.8), über die Angreifer Code auf dem Server ausführen können. Exchange 2016 und 2019 bekommen keine Updates mehr. Laut Borns IT-Blog beheben die Windows-Server-Updates vom November außerdem die Instabilität von Exchange, die die Oktober-Updates ausgelöst hatten. Exchange Online ist bereits geschützt.
- Priorität: Hoch (Updates nur noch für Exchange SE)
- Datum: 10.11.2026
- CVE: CVE-2026-118207
- Für wen relevant: Unternehmen, die Exchange Server im eigenen Haus betreiben. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Exchange SE und die Windows-Server-Updates vom November installieren, die Reihenfolge ist laut Microsoft egal. Wer noch Exchange 2016 oder 2019 betreibt, plant den Umstieg, denn diese Versionen bleiben ab jetzt ungeschützt.
- Quelle: Borns IT-Blog
Xen Orchestra: Präpariertes Cookie gibt Administratorrechte über XCP-ng-Server
Der Hersteller Vates hat am 10. November eine kritische Lücke in Xen Orchestra gemeldet und bestätigt, dass sie bereits ausgenutzt wird. Mit Xen Orchestra verwalten Unternehmen ihre virtuellen Maschinen auf XCP-ng, einer verbreiteten Alternative zu VMware. Über ein präpariertes Cookie können Angreifer die Anmeldung umgehen und als Administrator handeln. Laut Vates reicht das bis zur Übernahme der XCP-ng-Hosts mit Root-Rechten. Behoben ist die Lücke in Xen Orchestra 6.9.1 und 6.10.0. Eine CVE-Nummer gibt es noch nicht. Vates veröffentlicht Merkmale, an denen sich ein Einbruch erkennen lässt, etwa eine virtuelle Maschine namens „pivot2“.
- Priorität: Sofort handeln (Angriffe bestätigt)
- Datum: 10.11.2026
- Für wen relevant: Unternehmen, die virtuelle Maschinen mit XCP-ng und Xen Orchestra betreiben. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Xen Orchestra sofort auf 6.9.1 oder 6.10.0 aktualisieren. Die Verwaltungsoberfläche nur aus einem eigenen Verwaltungsnetz erreichbar machen. Die Hosts mit den Prüfbefehlen aus der Vates-Meldung auf Spuren eines Angriffs untersuchen.
- Quelle: Vates · BleepingComputer
Railway: Angreifer mit KI-Agenten erbeuten Schlüssel und verursachen 740.000 Dollar KI-Kosten
Der Cloud-Hoster Railway hat am 10. November einen ausführlichen Bericht zu einem Einbruch vom 20. Oktober veröffentlicht. Die Angreifer nutzten zuerst eine unbekannte Lücke in der Build-Umgebung, lasen den Quellcode und fanden darin weitere Wege ins System. Am Ende kamen sie an die entschlüsselten Umgebungsvariablen von höchstens rund 100.000 Kunden-Workspaces. Sie suchten gezielt nach Schlüsseln für KI-Anbieter und verursachten damit rund 740.000 US-Dollar an KI-Kosten. Railway beschreibt den Angriff als etwa 26 Stunden langes Kräftemessen, bei dem die Angreifer mit KI-Agenten parallel nach Lücken suchten und die eigenen Leute diese Wege ebenso parallel schlossen. Railway will Kosten übernehmen, die KI-Anbieter nicht erstatten.
- Priorität: Erhöht (KI-Agenten auf beiden Seiten)
- Datum: 10.11.2026
- Für wen relevant: Unternehmen, die Anwendungen bei Railway oder ähnlichen Cloud-Plattformen betreiben und dort Schlüssel für KI-Dienste hinterlegen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Bei Railway hinterlegte Schlüssel erneuern, falls noch nicht geschehen. Bei allen KI-Anbietern Ausgabelimits setzen, damit ein gestohlener Schlüssel keine fünf- oder sechsstelligen Rechnungen erzeugt.
- Quelle: Railway · BleepingComputer
Thunderbird 160 und 153.7 ESR schließen Sicherheitslücken
Mozilla hat am 10. November Thunderbird 160 und Thunderbird 153.7 ESR veröffentlicht. Beide schließen Sicherheitslücken, die Mozilla in der Gesamtwertung als hoch einstuft. Zusätzlich behebt die neue Version unter anderem einen Absturz beim Öffnen von Fenstern und Fehler bei der automatischen Exchange-Erkennung.
- Priorität: Beobachten (Mailprogramm mit Sicherheitskorrekturen)
- Datum: 10.11.2026
- Für wen relevant: Unternehmen, die Thunderbird als Mailprogramm einsetzen. (für KMU: niedrig – nur für Betroffene)
- Warum wichtig: Thunderbird über Hilfe > Über Thunderbird aktualisieren oder die neue Version über die Softwareverteilung ausrollen.
- Quelle: Mozilla (Thunderbird 160) · Mozilla (Thunderbird 153.7) · Deskmodder
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
