Microsoft Patch Tuesday november 2026: 1.093 kwetsbaarheden en een actief misbruikte Outlook zero-day

Microsoft heeft tijdens de Patch Tuesday van november 2026 maar liefst 1.093 kwetsbaarheden verholpen. Daarmee is het opnieuw een maand waarin securityteams flink wat werk te verzetten hebben. Van de gepatchte kwetsbaarheden zijn er 63 als Critical, 1.029 als Important en één als Moderate geclassificeerd. De updates hebben betrekking op in totaal 287 Microsoft-producten en -componenten.

Het enorme aantal CVE’s trekt uiteraard de aandacht, maar het is vooral belangrijk om te kijken naar de kwetsbaarheden die daadwerkelijk een risico vormen voor de eigen omgeving. Daarbij springen onder andere Microsoft Outlook, Active Directory, Exchange Server, SharePoint en Windows Schannel eruit.

Outlook zero-day wordt al actief misbruikt

De opvallendste kwetsbaarheid van deze maand is CVE-2026-124194, een spoofing-kwetsbaarheid in Microsoft Outlook. Op papier lijkt deze kwetsbaarheid misschien niet direct de hoogste prioriteit: Microsoft classificeert de kwetsbaarheid als Moderate en kent een CVSS-score van 6,5 toe.

De praktijk vertelt echter een ander verhaal. Microsoft bevestigt dat de kwetsbaarheid actief wordt misbruikt. Daarmee is CVE-2026-124194 een zero-day die direct aandacht verdient.

Een aanvaller kan een gebruiker verleiden om een speciaal geprepareerd bestand te openen. Outlook kan vervolgens verbinding maken met een door de aanvaller gecontroleerde netwerklocatie zonder de gebruikelijke waarschuwing voor externe content. Hierdoor kan de NTLMv2-hash van de gebruiker worden gelekt.

Die hash kan vervolgens worden gebruikt bij vervolgaanvallen, bijvoorbeeld om zich als de betreffende gebruiker te authenticeren. Voor misbruik is wel interactie van de gebruiker nodig; de Preview Pane van Outlook is volgens Microsoft geen aanvalsvector.

Dit is meteen een goed voorbeeld waarom organisaties bij het prioriteren van kwetsbaarheden niet uitsluitend naar de CVSS-score moeten kijken. Een kwetsbaarheid met een score van 6,5 die daadwerkelijk wordt aangevallen, kan in de praktijk urgenter zijn dan een kwetsbaarheid met een score van 9,0 waarvoor geen realistische aanvalsmogelijkheid bestaat.

Active Directory: remote code execution

Ook CVE-2026-118146 verdient hoge prioriteit. Het gaat om een kritieke kwetsbaarheid in Windows Active Directory Domain Services met een CVSS-score van 8,8.

Een reeds geauthenticeerde aanvaller kan misbruik maken van onjuiste autorisatie binnen Active Directory Domain Services om op afstand willekeurige code uit te voeren. Microsoft beoordeelt exploitatie van deze kwetsbaarheid als Exploitation More Likely.

Juist vanwege de centrale rol van Active Directory binnen vrijwel iedere Microsoft-omgeving kan de impact groot zijn. Active Directory vormt vaak het hart van authenticatie en autorisatie. Een aanvaller die daar zijn positie weet uit te breiden, kan zich potentieel verder door de omgeving bewegen en toegang krijgen tot andere bedrijfskritische systemen.

Ook Exchange Server en Schannel kwetsbaar

Naast Active Directory zijn er deze maand meerdere andere kritieke kwetsbaarheden waarvoor snelle beoordeling noodzakelijk is.

CVE-2026-118207 is een remote-code-executionkwetsbaarheid in Microsoft Exchange Server. Een geauthenticeerde aanvaller kan speciaal gevormde invoer naar een kwetsbare Exchange Server sturen en daarmee willekeurige code laten uitvoeren. De kwetsbaarheid heeft een CVSS-score van 8,8 en Microsoft beschouwt exploitatie als waarschijnlijker.

Daarnaast is er CVE-2026-119952 in Windows Schannel. Schannel is de Windows-component die onder andere verantwoordelijk is voor beveiligde communicatie via protocollen als TLS. Deze kwetsbaarheid heeft een CVSS-score van 8,1 en kan door een niet-geauthenticeerde aanvaller over het netwerk worden misbruikt voor remote code execution. Ook hiervoor geldt Microsoft’s classificatie Exploitation More Likely.

SharePoint blijft een interessant doelwit

Ook Microsoft SharePoint komt opnieuw terug in de Patch Tuesday. CVE-2026-120002 is een kwetsbaarheid waarmee een geauthenticeerde aanvaller zijn rechten binnen Microsoft SharePoint Server kan verhogen.

Met een CVSS-score van 9,9 behoort deze kwetsbaarheid op basis van technische ernst tot de zwaarste van deze maand. Microsoft schat de kans op daadwerkelijke exploitatie op dit moment echter lager in dan bij sommige van de eerder genoemde kwetsbaarheden.

Ook hier wordt duidelijk waarom context belangrijk is: CVSS vertelt iets over de mogelijke technische impact, maar niet automatisch hoe groot het daadwerkelijke risico voor een specifieke organisatie is.

Bijna de helft van de kwetsbaarheden leidt tot privilege escalation

Wanneer we naar alle 1.093 kwetsbaarheden kijken, valt vooral het grote aandeel Elevation of Privilege-kwetsbaarheden op. Deze categorie vertegenwoordigt volgens Tenable 48,9% van alle kwetsbaarheden die Microsoft deze maand heeft opgelost.

Remote Code Execution volgt met 27,1%.

Microsoft Office Word voert de lijst aan wat betreft het aantal opgeloste kwetsbaarheden met 65 CVE’s, gevolgd door Excel met 64 en SQL Server met 53. Ook onder andere Windows Installer, de Windows Graphics Kernel, de Windows Kernel, SharePoint, DNS, Outlook en de Print Spooler komen veelvuldig terug in de update.

1.093 patches betekent niet 1.093 dezelfde prioriteiten

Een Patch Tuesday van deze omvang maakt opnieuw duidelijk hoe lastig traditionele vulnerability management kan worden. Het simpelweg presenteren van honderden of duizenden kwetsbaarheden helpt een securityteam nauwelijks verder. De belangrijkste vraag is welke kwetsbaarheden als eerste aangepakt moeten worden.

Daarvoor is meer context nodig. Wordt een kwetsbaarheid actief misbruikt? Is het kwetsbare systeem vanaf internet bereikbaar? Bevindt het systeem zich op een kritieke positie binnen de infrastructuur? Kan een aanvaller de kwetsbaarheid combineren met andere zwakke plekken? En welke rechten, systemen of data kunnen uiteindelijk worden bereikt?

CVE-2026-124194 is daar deze maand misschien wel het beste voorbeeld van. Op basis van alleen CVSS zou een Moderate-kwetsbaarheid gemakkelijk onder een grote hoeveelheid Critical en Important findings kunnen verdwijnen. Het feit dat Microsoft actieve exploitatie heeft vastgesteld, verandert die prioriteit volledig.

Van vulnerability management naar exposure management

Daarom wordt het steeds belangrijker om verder te kijken dan alleen vulnerability management. Exposure Managementcombineert kwetsbaarheden met informatie over assets, identities, configuraties, externe bereikbaarheid, attack paths, threat intelligence en de daadwerkelijke waarde van systemen voor de organisatie.

In plaats van de vraag “Welke kwetsbaarheden hebben we?” verschuift de aandacht daarmee naar “Via welke kwetsbaarheden en configuratiefouten kan een aanvaller daadwerkelijk onze kritieke systemen bereiken?”

Met meer dan duizend CVE’s in één Patch Tuesday is die verschuiving geen luxe. Het is noodzakelijk om beschikbare capaciteit te richten op de exposures die daadwerkelijk het grootste risico opleveren.

Advies voor organisaties

Voor de Patch Tuesday van november adviseren we organisaties om de updates zo snel mogelijk te beoordelen en uit te rollen, met bijzondere aandacht voor CVE-2026-124194, omdat hiervan actieve exploitatie is bevestigd. Daarnaast verdienen kwetsbare Active Directory-, Exchange-, SharePoint- en Schannel-systemen vanwege hun positie en potentiële impact een hoge prioriteit.

Controleer daarbij niet alleen of patches beschikbaar zijn, maar ook waar de kwetsbare systemen zich bevinden en hoe ze vanuit een aanvalsperspectief bereikbaar zijn. Door vulnerability data te combineren met dreigingsinformatie en inzicht in de attack surface ontstaat een veel realistischer beeld van de daadwerkelijke risico’s.

Patch Tuesday gaat daarmee al lang niet meer alleen over zoveel mogelijk patches zo snel mogelijk installeren. Het gaat vooral om het maken van de juiste keuzes: wat vormt nu het grootste risico voor de organisatie en wat moeten we daarom als eerste oplossen?