Die als kritisch eingestuften Fehler lassen sich ausnutzen, um mit wenig oder gar keiner Mithilfe der Nutzer die Kontrolle über ein Windows-System zu übernehmen. Fast die Hälfte davon erlaubt die Ausführung von Schadcode aus der Ferne. Insgesamt 535 der behobenen Lücken ermöglichen es Angreifern, auf einem verwundbaren Gerät ihre Rechte auszuweiten. Die aktiv ausgenutzte Outlook-Lücke CVE-2026-124194 betrifft laut Microsofts Sicherheitshinweis Microsoft 365 Apps for Enterprise sowie Editionen von Microsoft Office.

In diesem Jahr hat Microsoft damit bereits mehr als 5100 Sicherheitspatches veröffentlicht, im Vormonat waren es über 1400. Vor einem Jahr lag der Schnitt noch bei rund 100 Patches pro Monat. Microsoft führt die große Zahl gefundener und behobener Fehler in den vergangenen Monaten auf Fortschritte bei der künstlichen Intelligenz zurück.

Apple hat außerhalb des üblichen Rhythmus Updates veröffentlicht, die mindestens neun Schwachstellen in iOS/iPadOS, macOS, watchOS und visionOS beheben. Darunter ist ein iMessage-Fehler, über den ein entfernter Angreifer einem Gruppenchat beitreten und dessen Nachrichten empfangen konnte, sowie eine weitere iMessage-Lücke, durch die neu hinzugefügte Gruppenmitglieder auf Nachrichten zugreifen konnten, die vor ihrem Beitritt verschickt wurden. Lee Neely, Dozent am SANS Institute, wies darauf hin, dass Apple die Korrektur auch auf iOS 18 zurückportiert hat. „Ich werde aufmerksam, wenn Apple Fixes für mehr als zwei Versionen veröffentlicht“, schrieb Neely in einem SANS-Newsletter. Nutzer müssten auf Version 27.2.1 der Betriebssysteme aktualisieren, und wer an Geräten festhalte, auf denen die aktuelle Version nicht läuft, solle zum Umstieg gedrängt werden. Oft sei es am besten, ein Austauschdatum für alte Hardware festzulegen. Alle Apple-Geräte sollten überprüft werden, statt davon auszugehen, dass die Updates automatisch installiert wurden.

Google hat Chrome 157.0.8103.50 veröffentlicht, das neun Lücken schließt, darunter CVE-2026-125350 – die sechste Zero-Day-Schwachstelle in Chrome in diesem Jahr. Der Fehler wird auch in Chromium-basierten Browsern wie Edge behoben. Bereits mit der Version vom 3. November hatte Google 213 Lücken geschlossen. Mozilla behebt mit Firefox 160 knapp 100 CVEs, etwa die Hälfte davon mit hohem Schweregrad.

Adobe hat Patches für mindestens 110 Schwachstellen in verschiedenen Produkten bereitgestellt, fast die Hälfte davon mit hohem Schweregrad. Nach Angaben des Unternehmens gibt es keine Hinweise darauf, dass eine der in diesem Monat behobenen Lücken aktiv ausgenutzt wird.

Chris Goettl, Vice President Product Management bei Ivanti, räumte ein, dass sich Sicherheitsteams großer Unternehmen angesichts von Menge und Schwere der jüngsten Microsoft-Patches leicht überfordert fühlen könnten. Er verweist jedoch darauf, dass in diesem Jahr herstellerübergreifend rund 95.000 Schwachstellen eine CVE-Nummer erhalten haben, aber bislang nur 217 in den Katalog bekannter ausgenutzter Schwachstellen (KEV) der US-Behörde CISA aufgenommen wurden. „Etwa vier von zehn der in diesem Jahr ausgenutzten Schwachstellen liegen in Betriebssystemen, Endpunktsoftware, Browsern und Serverplattformen, die sich mit einer kontinuierlichen Patch-Strategie schnell schließen lassen“, sagte Goettl. Der Rest erfordere zusätzlich ein Exposure-Management, insbesondere die 44 Prozent in Edge-Geräten sowie IT-Verwaltungs- und Fernzugriffswerkzeugen – also in aus dem Internet erreichbaren Systemen mit privilegiertem Zugang. Teams, die solche Systeme schnell identifizieren, ihre Angreifbarkeit bestätigen und bei nachgewiesener Ausnutzung handeln, könnten sich auf den kleinen Anteil tatsächlich genutzter Lücken konzentrieren, während der Rest im normalen Patch-Rhythmus bleibe.

Vor dem Einspielen von Betriebssystem-Updates empfiehlt es sich, wichtige Daten zu sichern.