Microsoft heeft op dinsdag 10 november 2026 zijn maandelijkse beveiligingsupdates uitgebracht. Deze Patch Tuesday dicht volgens de telling van Tenable 1.093 kwetsbaarheden, waarvan er één al actief wordt misbruikt: een spoofinglek in Microsoft Outlook. Daarnaast zitten er tientallen kritieke lekken in serveronderdelen als Active Directory, DNS en DHCP.
Opnieuw ruim duizend lekken in één maand
Na het record van ruim 1.400 kwetsbaarheden in oktober is het aantal deze maand iets lager, maar het blijft uitzonderlijk hoog. Van de 1.093 lekken krijgen er 63 de status kritiek, 1.029 zijn als belangrijk aangemerkt en één als gemiddeld. De tellingen van verschillende beveiligingsbedrijven lopen uiteen (sommige komen hoger uit), omdat Microsoft ook kwetsbaarheden in software van derden, zoals Chromium en opensourcepakketten, opnieuw publiceert.
- Verhoging van rechten is met bijna de helft van alle lekken de grootste categorie.
- Remote code execution volgt met ruim een kwart.
- Windows is goed voor ruim 700 lekken, Office voor 174 en SQL Server voor ruim 50.
Actief misbruikt Outlook-lek lekt NTLM-hashes
De enige zero-day van deze maand is CVE-2026-124194, een spoofingkwetsbaarheid in Outlook met een CVSS-score van 6,5. Een aanvaller stuurt een speciaal geprepareerd Office-bestand. Opent het slachtoffer dat bestand, dan maakt Outlook zonder de gebruikelijke waarschuwing verbinding met een netwerklocatie van de aanvaller. Daarbij kan de NTLMv2-hash van de gebruiker uitlekken, die vervolgens offline gekraakt of voor relay-aanvallen gebruikt kan worden.
Het voorbeeldvenster is volgens de beschikbare analyses geen aanvalsroute: de gebruiker moet het bestand zelf openen. Het Amerikaanse CISA heeft het lek op 10 november toegevoegd aan zijn lijst van actief misbruikte kwetsbaarheden. Getroffen zijn Microsoft 365 Apps for Enterprise, Office LTSC 2021 en Office LTSC 2024. De oplossing komt via de Office-updates en zit dus niet in de cumulatieve Windows-update.
Kritieke lekken in serverinfrastructuur
Voor beheerders is vooral de lijst met ernstige serverlekken van belang. Een aantal daarvan scoort 9,8 op de CVSS-schaal en vereist geen inloggegevens:
- Kerberos (CVE-2026-85844) en LDAP (CVE-2026-119958)
- DNS (CVE-2026-88218) en DHCP Server (CVE-2026-88243)
- iSCSI (CVE-2026-88234) en SQL Server (CVE-2026-116945)
Verder vallen een kritiek lek in Active Directory Domain Services (CVE-2026-118146), een lek in Exchange Server (CVE-2026-118207) en een kwetsbaarheid in SharePoint Server met een score van 9,9 (CVE-2026-120002) op. Microsoft beoordeelt tientallen lekken als 'waarschijnlijker om misbruikt te worden'.
De updates per Windows-versie
De cumulatieve updates van november zijn via Windows Update, WSUS en de Microsoft Update-catalogus beschikbaar:
- Windows 11 24H2, 25H2 en 26H2: KB5132061
- Windows 11 26H1: KB5132059
- Windows 11 23H2: KB5131087
- Windows 10 21H2/22H2 (ESU): KB5131096
- Windows Server 2025: KB5131080
- Windows Server 2022: KB5131090
- Windows Server 2019: KB5131085
Voor Windows 11 23H2 Enterprise en Education is KB5131087 de laatste beveiligingsupdate, omdat de ondersteuning voor die versie op 10 november is gestopt. Windows 10-apparaten ontvangen de fixes alleen met een geldige Extended Security Updates-licentie.
Wat betekent dit voor gebruikers?
Thuisgebruikers en kleine bedrijven met automatische updates hoeven weinig te doen: Windows en Microsoft 365 installeren de patches vanzelf. Het is wel verstandig om te controleren of Office daadwerkelijk is bijgewerkt, omdat de Outlook-fix los van Windows Update binnenkomt. Wees daarnaast extra voorzichtig met onverwachte bijlagen.
Voor organisaties ligt een prioritering voor de hand:
- Werk Outlook en Microsoft 365 Apps zo snel mogelijk bij vanwege de actieve aanvallen.
- Patch daarna domeincontrollers en servers met DNS, DHCP of iSCSI.
- Volg met Exchange, SharePoint en SQL Server.
- Overweeg uitgaand SMB-verkeer naar internet te blokkeren om het lekken van NTLM-hashes te beperken.
Wat kun je hieruit meenemen?
De Patch Tuesday van november 2026 is na oktober de tweede maand op rij met meer dan duizend gedichte kwetsbaarheden. Het belangrijkste lek is het actief misbruikte Outlook-probleem CVE-2026-124194, dat via een kwaadaardig Office-bestand NTLM-hashes kan buitmaken.
Daarnaast verdienen de kritieke, zonder inloggegevens te misbruiken lekken in Kerberos, LDAP, DNS, DHCP en SQL Server voorrang op serverniveau. Wie zowel Windows als Office actueel houdt, is tegen de bekende risico's van deze maand beschermd.
