Microsoft hat mit dem Sicherheitsupdate vom 10. November 2026 eine kritische Schwachstelle in Windows Search geschlossen. Die unter CVE-2026-116928 geführte Lücke kann nach den veröffentlichten Schwachstelleninformationen die Ausführung von Schadcode über das Netzwerk ermöglichen. Mit einem CVSS-Wert von 9,8 zählt sie zu den schwerwiegenden Fehlern des November-Patchdays. Betroffen sind neben Windows 11 auch unterstützte Windows-Server-Versionen.
Für Administratoren lokal betriebener Exchange-Systeme ist die Schwachstelle besonders wichtig: Die Such- und Indexierungsfunktionen können Nachrichteninhalte und Anhänge im Hintergrund verarbeiten. Sicherheitsanalysen beschreiben deshalb einen möglichen Angriffsweg, bei dem ein manipulierter Anhang ohne aktives Öffnen durch den Empfänger verarbeitet wird. Microsoft stellt die Korrektur über die jeweiligen Windows-Sicherheitsupdates bereit.
Speicherfehler in Windows Search mit Netzwerkrisiko
Microsofts Security Update Guide ordnet CVE-2026-116928 der Windows-Suchkomponente zu. Beschrieben wird ein Schreibzugriff außerhalb eines vorgesehenen Speicherbereichs (Out-of-bounds Write). Unter geeigneten Bedingungen kann ein Angreifer darüber fremden Programmcode ausführen. Die veröffentlichte CVSS-3.1-Bewertung beträgt 9,8 von 10 Punkten.
Der CVSS-Vektor nennt einen netzwerkbasierten Angriff ohne erforderliche Anmeldung und ohne Nutzerinteraktion. Diese technische Bewertung bedeutet allerdings nicht, dass jeder Windows-Rechner ohne weitere Voraussetzungen aus dem Internet angreifbar wäre. Entscheidend sind die tatsächlich vorhandenen Dienste, die erreichbaren Verarbeitungswege und der jeweilige Update-Stand.
Exchange kann Anhänge ohne Öffnen indexieren
Besonders kritisch ist die mögliche Verknüpfung mit lokal betriebenem Exchange. Bei der Indizierung können Suchkomponenten Dateiinhalte verarbeiten, ohne dass ein Anwender den jeweiligen Anhang manuell öffnet. Eine Analyse zum November-Patchday beschreibt diesen Weg für CVE-2026-116928 als mögliches Szenario einer nicht authentifizierten Codeausführung über die Verarbeitung präparierter Nachrichtenanhänge.
Für die betriebliche Bewertung folgt daraus vor allem: Auf einem Exchange-Server reicht es nicht, ausschließlich die Sicherheitsupdates für Exchange selbst zu kontrollieren. Ebenso wichtig ist der Patchstand des darunterliegenden Windows Servers. Die CVE betrifft die Windows-Suchkomponente und wird deshalb über Windows-Updates behoben. Aus der möglichen Angriffskette lässt sich nicht ableiten, dass sämtliche Exchange-Konfigurationen oder jede Nachrichtendatei gleichermaßen anfällig sind.
Die Korrekturen stecken in den November-Updates
Microsofts Schwachstellenangaben nennen unter anderem Windows Server 2016, 2019, 2022 und 2025 sowie mehrere Windows-11-Versionen. Für Windows Server 2025 ist KB5131080 vom 10. November maßgeblich, für Windows Server 2022 KB5131090. Für ältere Servergenerationen gelten die jeweils passenden kumulativen November-Sicherheitsupdates; die KB-Nummer des neueren Betriebssystems darf nicht auf andere Versionen übertragen werden.
Windows 11 erhält die Fehlerkorrekturen ebenfalls über die regulären Sicherheitsupdates vom 10. November. Für die aktuellen Versionen 24H2 bis 26H2 verweist Microsoft auf den zugehörigen November-Patchstand, der unter anderem in KB5132061 dokumentiert ist. Unternehmen sollten die installierte Windows-Version und Buildnummer ermitteln, bevor sie den zutreffenden Updateeintrag kontrollieren.
Ein Update für Exchange Server ersetzt die Windows-Korrektur nicht. Umgekehrt behandelt diese Windows-Schwachstelle nicht automatisch weitere im November geschlossene Sicherheitslücken innerhalb von Exchange. Für beide Produktbereiche gelten getrennte Sicherheitsmeldungen und gegebenenfalls getrennte Installationsschritte.
Was Betreiber von Windows- und Exchange-Servern prüfen sollten
In der Praxis gehört die Installation der zugehörigen November-Windows-Updates auf erreichbaren und besonders exponierten Servern zu den vorrangigen Aufgaben. Auf Exchange-Hosts sollten Administratoren zusätzlich den Patchstand der Exchange-Installation und die Funktionsfähigkeit der Nachrichtenverarbeitung, Suche sowie der Dienste nach der vorgesehenen Wartung kontrollieren.
Ein Dienst- oder Netzwerkzugriff sollte nur in dem Umfang bestehen, den die jeweilige Anwendung benötigt. Sicherheitsverantwortliche sollten bekannte betroffene Systeme in ihrem Inventar identifizieren, den tatsächlichen Patchstatus dokumentieren und bei einer verzögerten Installation die vorhandene Netzwerksegmentierung sowie Protokollierung prüfen. Das Abschalten von Windows Search oder anderen Diensten ist keine allgemein bestätigte, herstellerseitig dokumentierte Ersatzmaßnahme für diesen Fall und kann Suchfunktionen erheblich beeinträchtigen.
Zum 12. November liegen in den hier geprüften Hersteller- und Schwachstelleninformationen keine belastbaren Angaben über eine bereits bestätigte aktive Ausnutzung dieser konkreten CVE vor. Der hohe technische Schweregrad rechtfertigt dennoch eine zeitnahe Installation. Er darf nicht mit einem bestätigten Angriff oder einer bereits eingesetzten Schadsoftware verwechselt werden.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten