Windows-Suche: Microsoft schließt Zero-Click-Lücke mit CVSS 9,8

Microsoft hat mit den Sicherheitsupdates im November eine schwerwiegende Zero-Click-Schwachstelle in der Windows-Suche behoben. Die unter der Kennung CVE-2026-116928 geführte Sicherheitslücke weist mit einem CVSS-Wert von 9.8 die höchste technische Risikobewertung des aktuellen Patchdays auf. Sie beruht auf einem Speicherfehler durch Schreibvorgänge außerhalb der Grenzen (CWE-787 Out-of-bounds-Write) und erlaubt Angreifern eine unauthentifizierte Codeausführung aus der Ferne, ohne dass betroffene Nutzer selbst aktiv werden müssen.

Gefährdung durch automatische E-Mail-Indexierung

Die Sicherheitslücke in der Windows-Suche birgt erhebliche Risiken für Unternehmensnetzwerke. Für einen erfolgreichen Angriff muss der Empfänger eine präparierte Nachricht weder öffnen noch einen bösartigen Anhang manuell ausführen. Stattdessen verarbeitet die automatische Exchange-Indexierung eingehende E-Mail-Anhänge selbstständig. Bei diesem Vorgang führt das System den Schadcode mit den Rechten des Such-Indexierungsdienstes aus.

Da für CVE-2026-116928 kein alternativer Workaround existiert, müssen Administratoren die Aktualisierungen direkt einspielen. Die Fehlerbehebung erfolgt dabei über ein Windows-Update und nicht über einen Exchange-Patch.

Betroffen sind Windows 10, Windows 11 sowie Windows Server in den Versionen 2016, 2019, 2022 und 2025, jeweils einschließlich der Server-Core-Installationen. Zu den bereitgestellten fehlerbereinigten Systemversionen zählen unter anderem:

• Windows 10 Version 1607 sowie Windows Server 2016 (Build 10.0.14393.9688)
• Windows 10 Version 22H2 (Build 10.0.19045.7846)
• Windows 11 Version 24H2 (Build 10.0.26100.9974)
• Windows 11 Version 25H2 (Build 10.0.26200.9974)
• Windows Server 2022 (Build 10.0.20348.5870)
• Windows Server 2025 (Build 10.0.26100.33822)

Für Windows 11 stellen die Pakete KB5132061 und KB5131087 für 26H2, 25H2, 24H2 und 23H2 Pflicht-Updates dar, welche die Sicherheitskorrekturen enthalten. Das Microsoft Security Response Center (MSRC) stuft eine tatsächliche Ausnutzung der Lücke zwar als weniger wahrscheinlich ein, und bisherige Angriffe waren zum Berichtsstand nicht bekannt. Dennoch gilt das Einspielen der Patches als dringend erforderlich.

Ein Klick auf den falschen Link oder eine automatisierte Indexierung kann bereits reichen, um das System zu kompromittieren. Dieser kostenlose Report zeigt Ihnen, wie Sie den integrierten Windows Defender richtig einstellen, um Ihren PC wirksam vor Viren und Trojanern zu schützen. Experten-Anleitung für optimalen Virenschutz jetzt herunterladen

Umfangreiches Update-Paket und weitere Schwachstellen

Insgesamt deckt das aktuelle Update-Paket von Microsoft je nach Zählweise und Einbeziehung von Edge sowie Chromium zwischen 1.093 und 1.235 Schwachstellen ab. Davon sind 63 bis 66 als kritisch eingestuft. Rund 639 bis 726 der gemeldeten Lücken betreffen das Windows-Betriebssystem selbst, während 174 Schwachstellen auf Microsoft Office entfallen.

Neben der Windows-Suche erreichen drei weitere Fehler einen CVSS-Wert von 9.8, darunter eine unauthentifizierte Remotecodeausführung im Windows LDAP (CVE-2026-119958), durch die Domänencontroller gefährdet sind, sowie eine Lücke im Xbox Live Networking Service (CVE-2026-112967).

Weitere priorisierte Sicherheitslücken umfassen Schannel (CVE-2026-119952, CVSS 8.1), SharePoint (CVE-2026-120002, CVSS 9.9) sowie Microsoft Exchange (CVE-2026-118207, CVSS 8.8).

Zudem zählt die Zero Day Initiative (ZDI) im aktuellen Zyklus 30 potenziell wurmfähige Schwachstellen, darunter fünf im Message Queuing und vier im Domain Name System (DNS), nachdem im Vormonat noch 59 solcher Lücken verzeichnet worden waren.

Wer sich mit der Absicherung seiner Systeme gegen aktuelle Cyberbedrohungen und neue rechtliche Vorgaben befasst, benötigt fundierte Informationen. Dieses kostenlose E-Book enthüllt, wie Sie Sicherheitslücken proaktiv schließen und Ihr Unternehmen langfristig schützen. Gratis-E-Book zur Stärkung der IT-Sicherheit anfordern

Aktive Angriffe und Empfehlungen für Administratoren

Als einzige Schwachstelle des aktuellen Patchdays wird eine Lücke in Microsoft Outlook aktiv ausgenutzt: Der Spoofing-Zero-Day CVE-2026-124194 (CVSS 6.5) ermöglicht den Diebstahl von NTLMv2-Hashes.

Microsoft führt die Entdeckung dieses Fehlers auf einen Forscher von Anthropic unter Einsatz von Claude zurück. Die US-Behörde CISA nahm die Schwachstelle in ihren Katalog bekannter ausgenutzter Lücken (KEV) auf und setzte US-Bundesbehörden eine Frist zur Umsetzung bis zum 24.11.2026.

Auch internationale Stellen reagierten: Laut einem Bericht vom 11.11.2026 gab NHS England die Warnmeldung CC-4889 mit mittlerem Schweregrad heraus. Das zugehörige CSOC hält eine künftige Ausnutzung der Outlook-Schwachstelle für hoch wahrscheinlich und rät zur schnellstmöglichen Aktualisierung nach den MSRC-Leitfäden.

Zudem fordern Sicherheitsforscher eine risikobasierte Priorisierung der Maßnahmen, während Microsoft auf seinen Risikokohorten-Ansatz verweist. Sicherheitsdienste raten dazu, Domänencontroller und Exchange-Server binnen 48 Stunden abzusichern.