Microsoft heeft kwetsbaarheden verholpen in diverse Dynamics-componenten. Dat meldt het NCSC in advisory NCSC-2026-0424, gepubliceerd op 13 oktober 2026.
De ernstigste fout, CVE-2026-88131 in Microsoft Dataverse, scoort 9,8 op de CVSS-schaal en laat een aanvaller willekeurige code uitvoeren. In Dynamics Business Central zitten drie fouten met een score van 8,8: CVE-2026-100214 (codeuitvoering), CVE-2026-102226 en CVE-2026-105727 (beide rechtenverhoging), plus een vierde, CVE-2026-105728 (7,5), die toegang geeft tot gevoelige gegevens. Microsoft Dynamics 365 on-premises bevat een rechtenverhoging met kenmerk CVE-2026-102848 (8,1) en Power Apps een fout voor codeuitvoering met kenmerk CVE-2026-70213 (8,0).
De onderliggende problemen variëren van path traversal en SQL-injectie tot een origin-validatiefout en onveilige deserialisatie. De advisory noemt specifiek Dataverse, Dynamics 365 (on-premises) versie 9.1, en de wat gedateerde Dynamics NAV 2017 en 2018 op Windows Server 2012 als getroffen producten. Over actief misbruik of een publiek bekende proof-of-concept meldt het NCSC niets.
Voor veel organisaties loopt Dataverse als onderdeel van Dynamics 365 of Power Platform via Microsofts eigen cloudomgeving, waar updates doorgaans automatisch landen. Voor on-premises installaties van Business Central of oudere NAV-omgevingen ligt dat anders: daar is een eigen update-actie nodig. Dezelfde patchronde raakte ook Microsoft Azure, waar Dataverse en Power Apps als clouddiensten op draaien.
Bron: NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Beheert u Dynamics 365, Business Central, Dataverse of Power Apps? Geef de Dataverse-fout voorrang: die is op afstand als willekeurige code uit te voeren en scoort 9,8. Draait u nog Dynamics NAV 2017 of 2018 op Windows Server 2012, houd er dan rekening mee dat dat besturingssysteem zelf al jaren geen reguliere support meer krijgt.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.