Sebastian Juul
Microsofts november-opdatering retter rekordmange sårbarheder, og en kritisk Outlook-fejl angribes lige nu.
Tirsdag den 10. november 2026 udrullede Microsoft sin største månedlige sikkerhedsopdatering nogensinde. Ifølge virksomhedens egne udgivelsesnoter lukker november-udgaven af Patch Tuesday 1.094 sårbarheder. Tilregner man opdateringer til Microsoft Edge og de Chromium-baserede komponenter, løber det samlede antal op omkring 1.235 fejl.
Én fejl skiller sig ud fra bunken. Ikke fordi den er den værste på papiret, men fordi hackere allerede udnytter den.
Åbner du en Outlook-fil, kan loginoplysninger lække
Sårbarheden har id’et CVE-2026-124194 og rammer Microsoft Outlook. Åbner du en specielt udformet mailvedhæftning, kan Outlook kontakte en server kontrolleret af angriberen uden den sædvanlige advarsel om eksternt indhold. Den forbindelse afslører brugerens NTLMv2-hash, en krypteret udgave af Windows-loginoplysninger, som en angriber kan knække offline eller bruge direkte til at udgive sig for brugeren på netværket.
Microsoft vurderer CVSS-scoren til 6,5 og klassificerer fejlen som “moderat”. Dermed er den den eneste moderat-ratede fejl i hele opdateringen og samtidig den eneste af de over tusind huller, der allerede bliver aktivt udnyttet.
En lille trøst: læseruden i Outlook er ikke en angrebsvej. Brugeren skal faktisk åbne filen, før skaden sker.
Fundet af en forsker, der brugte Claude
Fejlen er krediteret to parter: en forsker under aliasset “nono” og Benoît Sevens fra Anthropic, som brugte AI-modellen Claude som værktøj i sin sårbarhedsresearch. Det er et af de første tilfælde, hvor en AI-assisteret opdagelse bliver krediteret eksplicit i en officiel Microsoft-advisory om en aktivt udnyttet fejl.
CISA satte frist samme dag
Den amerikanske cybersikkerhedsmyndighed CISA føjede CVE-2026-124194 til sin liste over aktivt udnyttede sårbarheder samme dag, patchen udkom, og satte 24. november 2026 som frist for amerikanske forbundsmyndigheder. Danske organisationer har ingen tilsvarende juridisk frist, men angrebsvinduet er globalt.
Ud over Outlook-hullet omfatter november-opdateringen 63 sårbarheder klassificeret som kritiske, hvoraf flertallet muliggør fjernudførelse af kode. Mest almindelige kategorier er privilegie-eskalering med 535 fejl og fjernudførelse af kode med 296 fejl.
Sådan patcher du
Outlook-fejlen bliver ikke lukket, når du kører almindelig Windows Update. Berørte udgaver er Microsoft 365 Apps for Enterprise samt Office LTSC 2021 og Office LTSC 2024 i både 32- og 64-bit. I Outlook skal du selv klikke Filer > Office-konto > Opdateringsindstillinger > Opdater nu.
For resten af opdateringen tjekkes under Indstillinger > Windows Update > Søg efter opdateringer. Microsoft har i samme udrulning også sendt månedens udvidede sikkerhedsopdatering til Windows 10-brugere, der er tilmeldt den gratis ESU-ordning.
