IT-Wochenrückblick KW 46/2026: Outlook-Zero-Day am Patchday, SonicWall- und Barracuda-Lücken unter Angriff & achte Chrome-Zero-Day-Lücke 2026

Microsoft-Patchday mit aktiv ausgenutzter Outlook-Lücke und über 1.000 Korrekturen, Angreifer nutzen Schwachstellen in SonicWall-Firewalls und Barracuda-E-Mail-Gateways aus und Google schließt die achte Chrome-Zero-Day-Lücke des Jahres

Die wichtigsten IT- und Sicherheitsthemen der Woche – kompakt und verständlich für kleine und mittlere Unternehmen sowie Privatanwender.

Liebe Leserinnen und Leser,

diese Woche stand ganz im Zeichen der Updates: Microsoft hat zum November-Patchday weit über 1.000 Sicherheitslücken geschlossen – eine davon in Outlook wird bereits aktiv ausgenutzt. Gleichzeitig greifen Kriminelle gezielt die „Eingangstore“ von Unternehmensnetzen an: Schwachstellen in SonicWall-Firewalls und Barracuda-E-Mail-Gateways werden ausgenutzt, bei SonicWall lässt sich damit sogar die Mehrfaktor-Anmeldung aushebeln. Und Google musste Chrome erneut gegen eine bereits angegriffene Lücke absichern – die achte in diesem Jahr. Wir haben die drei wichtigsten Themen für Sie eingeordnet und die kompakten Quick News zusammengestellt.

Top 1: Microsoft-Patchday November – Outlook-Lücke wird aktiv ausgenutzt, über 1.000 Schwachstellen geschlossen

Am 10. November hat Microsoft seinen monatlichen Patchday veröffentlicht – je nach Zählweise mit rund 1.100 bis über 1.200 geschlossenen Sicherheitslücken, mehr als 60 davon als kritisch eingestuft. Besonders dringlich ist die Schwachstelle CVE-2026-124194 in Outlook, denn sie wird bereits für Angriffe genutzt; die US-Behörde CISA hat sie noch am selben Tag in ihren Katalog aktiv ausgenutzter Lücken aufgenommen. Angreifer verschicken eine manipulierte Nachrichtendatei. Öffnet der Empfänger sie, sendet Outlook ohne Warnhinweis den sogenannten NTLMv2-Hash – eine Art verschlüsselter Fingerabdruck der Windows-Anmeldung – an einen Server der Angreifer. Damit können diese sich unter Umständen als der betroffene Benutzer anmelden. Über das reine Vorschaufenster gelingt dieser Angriff nicht.

Daneben behebt Microsoft drei weitere kritische Outlook-Lücken (Bedrohungswert jeweils 8,8), bei denen schon das Auswählen einer manipulierten Mail im Vorschaufenster genügt, um Schadcode auszuführen – Angriffe darauf sind bislang nicht bekannt. Für Unternehmen mit eigenem Mailserver besonders relevant: Eine Lücke in Windows Search (CVE-2026-116928, Bedrohungswert 9,8) erlaubt das Ausführen von Code auf Exchange-Servern über einen präparierten Mail-Anhang, ohne dass jemand die Nachricht öffnet. Hinzu kommen kritische Schwachstellen in Kerberos, LDAP, DNS und im DHCP-Server von Windows sowie in Exchange Server SE und SharePoint.

Außerdem wichtig: Windows 11 Version 23H2 erhält in den Editionen Enterprise und Education mit diesem Patchday zum letzten Mal Sicherheitsupdates. Und Microsoft treibt die Härtung des älteren Anmeldeverfahrens NTLM voran: Windows-Clients bieten ab sofort Signaturen an, ab Mai 2027 sollen Windows-Server diese verpflichtend verlangen.

Was bedeutet das für Sie?

• Spielen Sie die November-Updates für Windows und Microsoft Office zeitnah auf allen Arbeitsplätzen ein – die Office-/Outlook-Updates mit Vorrang – und kontrollieren Sie, ob die automatischen Updates tatsächlich erfolgreich durchgelaufen sind.
• Betreiben Sie einen eigenen Exchange-Server oder Domänencontroller, installieren Sie die Windows- und Exchange-Updates dort umgehend. Prüfen Sie außerdem, ob noch Rechner mit Windows 11 23H2 Enterprise oder Education laufen, und planen Sie das Upgrade auf eine aktuelle Version.
• Öffnen Sie keine unerwarteten Nachrichtendateien oder Anhänge und lassen Sie an der Firewall ausgehende SMB-Verbindungen (Port 445) ins Internet sperren – das erschwert den Diebstahl von Anmelde-Hashes erheblich.

Top 2: Angriffe auf Firewalls und E-Mail-Gateways – SonicWall und Barracuda betroffen

SonicWall hat am 6. November eine Schwachstelle im SSL-VPN seiner Firewalls (CVE-2026-19868) gemeldet, die bereits ausgenutzt wird; die CISA hat sie am selben Tag in ihren Katalog aufgenommen. Ist die VPN-Anmeldung per SAML an einen Identitätsanbieter wie Microsoft Entra ID oder Okta angebunden, können Angreifer mit gültigen Zugangsdaten für eine alternative Anmeldemethode die SAML-Prüfung umgehen – und damit auch die dort erzwungene Mehrfaktor-Authentifizierung. Praktisch reicht dann ein gestohlenes Kennwort. Betroffen sind Firewalls der Generationen 7 und 8 bis Firmware 7.3.3-7015 bzw. 8.2.2-8015; die Korrekturen stecken in den Versionen 7.3.4-7013 und 8.2.3-8015. Eine Übergangslösung gibt es nicht.

Parallel warnt Barracuda, dass zwei vor rund einer Woche geschlossene Lücken in seinem Email Security Gateway (ESG) angegriffen werden (CVE-2026-116606, Bedrohungswert 9,3, und CVE-2026-111560). In Kombination erlauben sie, die Anmeldung zu umgehen und Befehle mit vollen Administratorrechten (Root) auf dem Gerät auszuführen. Voraussetzung ist der Zugriff auf die Verwaltungsoberfläche. Die zweite Lücke betrifft zusätzlich weitere Barracuda-Produkte wie Load Balancer ADC, Message Archiver, Web Application Firewall und Web Security Gateway. Die CISA führt beide Schwachstellen seit dem 10. November als aktiv ausgenutzt.

Firewalls, VPN-Zugänge und E-Mail-Gateways sind seit Jahren ein bevorzugtes Ziel – insbesondere von Ransomware-Gruppen. Wer das „Tor“ zum Unternehmensnetz kontrolliert, gelangt oft unbemerkt ins Innere und kann dort in Ruhe Daten stehlen oder Systeme verschlüsseln.

Was bedeutet das für Sie?

• Nutzen Sie eine SonicWall-Firewall, aktualisieren Sie die Firmware umgehend auf 7.3.4-7013 (Gen7) bzw. 8.2.3-8015 (Gen8). Geräte der Generation 6 erhalten keine Updates mehr und sollten ersetzt werden.
• Lassen Sie die VPN-Anmeldungen der letzten Wochen prüfen: Gab es erfolgreiche Logins ohne passende Anmeldung und MFA-Prüfung beim Identitätsanbieter? Setzen Sie die Kennwörter betroffener Konten sofort zurück und prüfen Sie, worauf zugegriffen wurde.
• Nutzen Sie Barracuda-Geräte, stellen Sie sicher, dass die bereitgestellten Patches installiert und automatische Updates aktiviert sind. Verwaltungsoberflächen von Firewalls und Gateways sollten grundsätzlich nur aus dem internen Netz erreichbar sein.

Top 3: Chrome – achte aktiv ausgenutzte Zero-Day-Lücke des Jahres, Update auf Version 157

Google hat am 9. November ein Sicherheitsupdate für Chrome veröffentlicht (Version 157.0.8103.50/.51), das neun Schwachstellen schließt. Eine davon, CVE-2026-125350, wird bereits für Angriffe genutzt. Es handelt sich um einen Speicherfehler in der XML-Verarbeitung des Browsers, den Google als „hoch“ einstuft. Berichten zufolge genügt der Besuch einer präparierten Webseite, um Schadcode im Browser auszuführen. Gemeldet wurde die Lücke erst am 6. November – Google hat also binnen weniger Tage reagiert.

Es ist bereits die achte Chrome-Lücke in diesem Jahr, die schon vor Erscheinen eines Updates angegriffen wurde. Die CISA hat sie am 10. November in ihren Katalog aufgenommen. Wer hinter den Angriffen steckt und wer betroffen war, hat Google nicht mitgeteilt – das ist üblich, um Nachahmern keine Hinweise zu liefern.

Da Microsoft Edge, Brave, Opera und Vivaldi auf demselben technischen Unterbau (Chromium) beruhen, sind auch diese Browser grundsätzlich betroffen. Zum Zeitpunkt der ersten Berichte stand für Edge noch keine Korrektur bereit; Microsoft liefert solche Updates in der Regel wenige Tage später nach.

Was bedeutet das für Sie?

• Aktualisieren Sie Chrome über „Hilfe > Über Google Chrome“ auf Version 157.0.8103.50 oder neuer und starten Sie den Browser neu – erst der Neustart aktiviert das Update.
• Halten Sie auch Edge und andere Chromium-Browser aktuell und installieren Sie deren nächste Updates sofort. In Unternehmen sollten Browser-Updates zentral verteilt und der Versionsstand regelmäßig kontrolliert werden.
• Nutzen Sie für sensible Tätigkeiten wie Onlinebanking oder Verwaltungsportale einen aktuellen Browser ohne unnötige Erweiterungen und schließen Sie den Browser regelmäßig vollständig, damit Updates greifen.

⚡ Quick News der Woche

• SAP-Patchday mit vier Höchstwert-Lücken: Zum Patchday am 10. November hat SAP rund 35 Sicherheitshinweise veröffentlicht, darunter vier Schwachstellen mit dem Höchstwert 10,0 in NetWeaver, Web Dispatcher und Gateway (u. a. CVE-2026-89103 und CVE-2026-89126). Teils ist keine Anmeldung nötig, um Systeme vollständig zu übernehmen. SAP-Anwender sollten die Updates vorrangig einspielen und den Netzwerkzugriff auf die betroffenen Dienste bis dahin einschränken.
• Maersk bestätigt Datenleck: Die Ransomware-Gruppe WhiteArmor fordert von der Reederei 5 Millionen US-Dollar und droht mit der Veröffentlichung von rund 100 GB Daten. Laut Maersk wurde ein Altsystem eines zuvor übernommenen Unternehmens kompromittiert, der Vorfall sei isoliert. Ein Lehrstück auch für den Mittelstand: Vergessene oder übernommene Altsysteme gehören ins Sicherheitskonzept – oder abgeschaltet.
• Datenleck bei Beratungsgesellschaft Baker Tilly: Das Wirtschaftsprüfungs- und Beratungsunternehmen informiert Mandanten über einen Vorfall, bei dem personenbezogene Daten von Kunden und deren Angehörigen betroffen sind. Der Umfang wird noch untersucht. Mandanten solcher Dienstleister sollten in den kommenden Wochen besonders aufmerksam bei Mails und Anrufen mit Bezug auf Steuer- oder Finanzthemen sein.
• Phishing-Wellen im Namen von ELSTER, Banken und CHECK24: Die Verbraucherzentralen warnen aktuell vor gefälschten Mails zu einem angeblich verpflichtenden ELSTER-Datenabgleich, vor falschen Kontobestätigungen der Consorsbank und der easybank sowie vor einer vermeintlichen CHECK24-Rückerstattung über 102,99 Euro. Dazu kommen Schockanrufe im Namen von Amazon und PayPal zu angeblich bevorstehenden Überweisungen. Niemals auf Links klicken oder Daten am Telefon herausgeben – stattdessen direkt über die offizielle App oder Website prüfen.

💡 Fazit & Empfehlung

Diese Woche zeigt: Angreifer zielen auf die Stellen, über die Ihr Unternehmen mit der Außenwelt kommuniziert – Postfach, Browser, VPN-Zugang und E-Mail-Gateway. Achten Sie auf drei Stellschrauben:

✓ Patchday konsequent umsetzen: Windows-, Office- und Server-Updates gehören nicht auf die lange Bank. Legen Sie fest, wer Updates verteilt, wer den Erfolg kontrolliert und bis wann kritische Lücken geschlossen sein müssen – auch für Exchange, Domänencontroller und SAP.

✓ Zugänge von außen absichern: Firewalls, VPN und E-Mail-Gateways brauchen aktuelle Firmware, nicht öffentlich erreichbare Verwaltungsoberflächen und eine regelmäßige Kontrolle der Anmeldungen. Mehrfaktor-Authentifizierung bleibt wichtig – ersetzt aber keine Updates.

✓ Browser und Postfach als Einfallstor ernst nehmen: Browser automatisch aktualisieren und regelmäßig neu starten, unerwartete Anhänge nicht öffnen und Mitarbeitende für aktuelle Phishing-Maschen sensibilisieren. Ein kurzer Anruf beim vermeintlichen Absender verhindert viele Schäden.

Sprechen Sie uns an – wir prüfen den Patch-Stand Ihrer Arbeitsplätze und Server, kontrollieren Firmware und Konfiguration Ihrer Firewall und VPN-Zugänge und schulen Ihr Team im Erkennen von Phishing. Ihr Team von IT Navigator.

📚 Quellen

• Security-Insider: Microsoft Patchday November 2026 – Outlook-Lücke aktiv ausgenutzt (11.11.2026); BleepingComputer: Microsoft November 2026 Patch Tuesday fixes 1,235 flaws, Outlook zero-day (10.11.2026); Tenable: Microsoft November 2026 Patch Tuesday (10.11.2026)
• Help Net Security: Exploited SonicWall SSL-VPN flaw lets attackers bypass SAML-enforced MFA (CVE-2026-19868) (09.11.2026); SonicWall PSIRT: SNWLID-2026-0014 (06.11.2026)
• BleepingComputer: Hackers now exploit critical Barracuda ESG flaws to gain root access (10.11.2026); Barracuda Trust Center: Pre-Authentication Authorization Bypass & Command Injection (Update 09.11.2026)
• BleepingComputer: Google patches eighth Chrome zero-day exploited in attacks this year (10.11.2026); Deskmodder: Google Chrome 157.0.8103.50/.51 korrigiert 9 Sicherheitslücken (10.11.2026)
• BleepingComputer: SAP patches four maximum-severity security vulnerabilities (10.11.2026)
• BleepingComputer: Maersk confirms data breach as WhiteArmor ransomware demands $5 million (11.11.2026); SC World: Baker Tilly data breach exposes client information (12.11.2026)
• Verbraucherzentrale Phishing-Radar: Warnungen ELSTER, Consorsbank, easybank, CHECK24 (Stand 12.11.2026)

👉 Letzte Woche verpasst? Hier geht’s zum vorherigen Wochenrückblick: Wochenrückblick KW 44/2026.

© IT Navigator · Wochenrückblick KW 46/2026 · Stand: 13.11.2026