Microsoft heeft 62 kwetsbaarheden verholpen in onderdelen van de Developer Tools, met .NET en Visual Studio als grootste blokken. Dat meldt het NCSC in advisory NCSC-2026-0426, gepubliceerd op 13 oktober 2026.
De ernstigste fout, CVE-2026-102238 in Visual Studio Code, scoort 9,6 en laat willekeurige code uitvoeren. In ASP.NET Core zit een beveiligingsomzeiling met kenmerk CVE-2026-70188 (9,1) en een fout voor gegevensmanipulatie, CVE-2026-88092 (9,4). Binnen .NET zelf draait het merendeel van de 24 kwetsbaarheden om codeuitvoering, rechtenverhoging of denial-of-service, met scores tot 8,8. Visual Studio Code telt naast de kritieke RCE nog tien andere fouten, vooral omzeilingen van beveiligingsmaatregelen en toegang tot gevoelige gegevens.
Ook kleinere componenten komen aan bod: Windows AppX Deployment Extensions en -Service (samen zeven fouten), de combinatie .NET Framework (vijf fouten, tot CVSS 8,8) en een enkele kwetsbaarheid in Visual Studio Tools for Applications en SQL Server Management Studio. De onderliggende problemen lopen sterk uiteen, van path traversal en command injection tot race conditions, deserialisatie van niet-vertrouwde data en type confusion.
Getroffen zijn onder meer .NET 8 tot en met 11 op Windows, Linux en macOS, ASP.NET Core 8 tot en met 11, .NET Framework 3.5 tot en met 4.8.1 op diverse Windows- en Serverversies, Visual Studio 2022 versie 17.14, Visual Studio Code, en afzonderlijke NuGet-pakketten zoals System.Security.Cryptography.Xml en de WebAssembly-serverscomponent. Microsoft heeft voor alle genoemde onderdelen updates beschikbaar gesteld. Over actief misbruik of een publieke proof-of-concept is niets gemeld.
Voor developmentteams is dit een update die verspreid zit over meerdere update-paden: de IDE zelf, NuGet-pakketten in bestaande projecten en de onderliggende .NET- of ASP.NET Core-runtime op servers. Azure API Center duikt in deze advisory opnieuw op, net als in de Azure-advisory van dezelfde dag.
Bron: NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Werkt uw team met .NET, ASP.NET Core of Visual Studio Code? Update VS Code met voorrang vanwege de fout met CVSS 9,6, en ga na welke .NET- en ASP.NET Core-runtimes uw build- en CI/CD-omgevingen gebruiken: een deel van de fixes zit in losse pakketten zoals System.Security.Cryptography.Xml, niet in de IDE zelf.
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.