微软2026年11月补丁星期二解析：1094个 CVE、Outlook 零日 CVE-2026-124194 与修复优先级

微软2026年11月补丁星期二共发布1094个 CVE，数量仅次于10月的1413个，位列补丁星期二历史第二，覆盖 Windows、Office、SQL Server、Azure 等多条产品线；另有165条非微软 CVE 同步重新发布（10月仅1条）。

本月最需要优先处理的不是评级最高的漏洞，而是唯一确认在野利用的 Outlook 欺骗漏洞 CVE-2026-124194。它只被评为"中等"，修复也不在 Windows 月度累积更新里。这已是连续第三个月，真正被攻击者利用的漏洞评级低于"严重"，补丁排期如果只按评级排序，很容易把它排到后面。

一、本月数据概览

1094个 CVE 中，1093个有明确的严重性评级：

严重性	数量
严重	63
重要	1029
中等	1

按漏洞类型分布：

漏洞类型	数量
权限提升	535
远程代码执行	296
信息泄露	156
拒绝服务	46
安全功能绕过	27
欺骗	22
篡改	11

权限提升与远程代码执行合计831个，约占总量的76%。远程代码执行负责突破入口，权限提升负责扩大控制权，两者叠加就是一条完整的攻击链，也是补丁排期的核心关注对象。

按产品线分布：

产品线	修复漏洞数
Windows	726
Office	174
SQL Server	59
开发者工具	53
SharePoint Server	27
其他组件	25
Azure	20
Exchange Server	9
Defender	1

Windows 约占三分之二；Office 与 SharePoint 合计201个，文档型攻击的风险依旧突出。

二、重点漏洞：CVE-2026-124194（Outlook 欺骗漏洞）

项目	说明
漏洞类型	欺骗
微软评级	中等（本月唯一的"中等"评级漏洞）
CVSS	6.5
利用状态	已确认在野利用（本月微软产品中唯一一个）
攻击方式	用户打开特制邮件文件后，Outlook 不弹出常规外部内容警告，静默连接攻击者控制的网络地址，泄露用户的 NTLMv2 哈希
预览窗格	不是攻击途径，需用户主动打开文件
修复渠道	Microsoft 365 应用版、Office LTSC 2021/2024 安全更新，不包含在 Windows 月度累积更新中
CISA KEV	11月10日收录，联邦机构修复截止日为11月24日

泄露的 NTLMv2 哈希可被攻击者用来冒用用户身份开展后续攻击。排期时需要注意两点：

评级不能代表优先级。它的评级和 CVSS 都不高，但已经在野利用，实际风险高于大量"严重"级但尚未被利用的漏洞。
修复走的是 Office 通道。只部署了 Windows 累积更新的设备，在 Office 更新完成前会一直处于暴露状态。核查修复进度时，要单独确认每一台装有 Outlook 的设备上 Office 的更新状态。

企业可以参照 CISA 给出的11月24日这个节点，优先推进 Office 更新。

三、63个严重级漏洞：按暴露面分类处置

身份认证基础设施。Active Directory 域服务、LDAP、Schannel、CredSSP 均有相关漏洞，其中 Schannel 漏洞无需身份验证即可通过网络利用；Schannel 与 AD 域服务漏洞均被微软评估为"高利用可能性"，域控制器需第一时间修复。
面向互联网的服务。Exchange Server、IIS、Windows 部署服务各有1个严重级远程代码执行漏洞，其中 Exchange 漏洞被标记为"高利用可能性"；SharePoint 的 CVE-2026-120002 虽仅评为"重要"，CVSS 评分却高达9.9，风险不容低估。
网络监听服务。消息队列（MSMQ）、SMB 服务器、TCP/IP、NAT 等组件均有远程代码执行漏洞，建议先排查对外可达的设备并优先修补。
Hyper-V 与 Office。Hyper-V 有8个严重级权限提升漏洞，宿主机一旦失守，其上运行的所有虚拟机都会受到波及；Office 端有22个严重级远程代码执行漏洞，其中 Excel 最多（12个），恶意文档仍是最常见的初始入侵途径之一。

四、修复优先级建议

时间窗口	范围
72小时内	Outlook 零日漏洞（覆盖所有装有 Outlook 的设备）、域控与身份认证服务、面向互联网的 Exchange/IIS、对外可达的网络服务、Hyper-V 宿主机，以及 Chrome 零日漏洞 CVE-2026-125350
1--2周内	其余 Office 严重级漏洞（从 Excel 开始）、图形/媒体/搜索/打印组件漏洞、SharePoint、Azure 与 Defender 相关漏洞，以及开发者工具与 Adobe 产品漏洞
常规周期	暴露面有限的重要级漏洞、仅能本地利用的驱动类漏洞，以及已有补偿控制的内部系统漏洞

这三档是起点，具体仍要按各自环境的暴露面调整：对外开放的服务、经常打开外部文档的岗位，可以在默认时间表之上再提前。

五、第三方漏洞、系统停更与安全加固

第三方漏洞

Chrome 零日：CVE-2026-125350 是 XML 组件中的释放后使用漏洞，已遭在野利用，CISA 同样于11月10日将其列入 KEV 目录。其他 Chromium 内核浏览器共用同一套引擎代码，也要留意各家的更新推送。
Adobe：本月为9款产品修复约110个漏洞，其中 Adobe Connect 有6个 CVSS 满分漏洞；Adobe ColdFusion 2021 已于11月10日结束延长支持，需尽快安排升级。

系统停更

Windows 11 23H2 企业版与教育版的本次更新（KB5131087）是其最后一次安全更新。
Windows 10 22H2 商用设备需购买扩展安全更新（ESU）第二年许可，才能继续接收补丁。

建议尽快盘点存量设备，排期升级。

本月附带的两项安全加固

Windows 11 客户端对非匿名连接默认提供 NTLM 消息签名。
PowerShell 收紧了签名脚本的编码校验，UTF-8 编码不规范的脚本可能无法通过签名验证。建议提前将脚本另存为带字节顺序标记（BOM）的 UTF-8 格式并重新签名，先在小范围设备上验证，再全量推送，避免更新后业务中断。

六、把排期落到每一条更新通道

这个月的难点不在于知道该修什么，而在于确认修复是否真的落地：Windows 累积更新、Office 更新、Chrome 等第三方应用更新走的是不同通道，任何一条漏装，设备就仍然暴露。我们在这类场景下使用 Splashtop AEM（自动端点管理），主要解决三个问题：

找出暴露的设备。持续扫描受管 Windows 与 macOS 端点的 CVE 状态，同步 CISA 已知被利用漏洞目录，补丁状态与资产清单同屏呈现，停更系统、缺更设备可以直接筛出来。
按真实风险排序。AI 生成 CVE 风险摘要，结合 EPSS 利用概率与在野利用状态排序，像 Outlook 零日这类评级不高但已被利用的漏洞会排到前面，而不是按评级机械排队。
可控部署，装完可查。支持操作系统与第三方应用的实时补丁，可配置维护窗口、更新环与重启策略，先小范围灰度验证、再逐步全量推送，安装结果全程可追溯。已在使用 Microsoft Intune 或 RMM（远程监控与管理）工具的团队无需替换现有方案，Splashtop AEM 可与之互补，补齐实时补丁、CVE 可视化与修复能力。

七、小结

本月补丁量级仍处于历史高位，但优先级最高的是唯一在野利用的 CVE-2026-124194，评级只有"中等"。
它的修复随 Office 更新下发，不在 Windows 累积更新里，核查进度时要单独看 Office 通道。
其余漏洞按暴露面分三档推进：身份基础设施、面向互联网的服务和 Hyper-V 宿主机放在72小时内。
Chrome 零日、Adobe 漏洞、Windows 停更和 PowerShell 签名校验变化，也需要一并纳入本月的变更计划。

关于 Splashtop

Splashtop Inc.（中文名：浪桥科技）成立于2006年，是全球领先的远程连接解决方案提供商，专注于提供安全高效的跨设备远程访问与技术支持服务。公司总部位于美国硅谷，并在杭州、东京、新加坡、阿姆斯特丹和台北等区域设有分支机构，其核心团队来自英特尔、摩托罗拉、惠普、华尔街等机构，拥有前沿技术实力与丰富行业经验。

Splashtop 产品与服务严格遵循 ISO/IEC27001、GDPR、HIPAA、SOC2 和 PCI 等国际安全标准与法规，确保用户在任何场景下都能安全、高效地远程连接异地设备，其解决方案已广泛应用于远程办公、技术支持、IT 运维等多种场景。

作为独角兽企业，Splashtop 获得了 Storm Ventures、NEA、DFJ DragonFund 和 Sapphire Ventures 等知名机构的战略投资，其产品与服务已深度覆盖全球制造、娱乐、互联网、金融、零售、医疗等多个行业，累计服务超3000万用户及25万家企业，其中包括85%的世界500强企业，累计远程会话量突破8亿次。

在中国市场，Splashtop 通过中国子公司浪桥科技（杭州）有限公司提供本地化服务与技术支持，持续赋能企业提升远程连接效率与安全管控能力。