Microsoft heeft deze Patch Tuesday 174 kwetsbaarheden verholpen in Office en aanverwante producten: Word, Excel, Outlook, Access, Visio, SharePoint en PowerPoint, maar ook subonderdelen als Windows Shell, Azure Key Vault en Office Click-to-Run. Dat meldt het NCSC in advisory NCSC-2026-0422.
Eén fout springt eruit door bevestigd misbruik. Van CVE-2026-96951 in de Windows Shell-component, CVSS 8,8, meldt Microsoft al te weten dat deze beperkt en gericht wordt ingezet. Een publieke proof-of-concept of exploit is niet bekend en succesvol misbruik vereist dat het slachtoffer wordt verleid tot een actie, dus social engineering in plaats van een puur technische aanval. Voor de meeste overige fouten geldt dat de aanvaller het slachtoffer moet verleiden een kwaadaardig bestand te openen of op een link te klikken.
De zwaarste fouten
Qua CVSS-score steken vooral Outlook-fouten eruit met 9,8: CVE-2026-70242, CVE-2026-70291, CVE-2026-88156, CVE-2026-97016 en CVE-2026-97749 maken allemaal het op afstand uitvoeren van willekeurige code mogelijk zodra het slachtoffer een kwaadaardig bericht of bijlage opent, van in totaal tien Outlook-kwetsbaarheden. Ook in Word (CVE-2026-70300) en PowerPoint (CVE-2026-88178) zit een fout met dezelfde score, en in de gedeelde Windows Rich Text Edit Control (CVE-2026-70096), een component die door meerdere Office-onderdelen wordt hergebruikt. Excel telt met 68 kwetsbaarheden verreweg de langste lijst, grotendeels codeuitvoering via een geprepareerd werkblad met scores tot 8,8. SharePoint Server volgt met 35 fouten, waaronder meerdere rechtenverhogingen op 8,8 en een los geval van denial-of-service in Word (CVE-2026-102867, 6,5). Word zelf telt 22 kwetsbaarheden, Access 13 en Visio 3, en ook de oudere Skype for Business- en Lync-omgevingen komen in de tabellen terug.
Buiten de kernapplicaties bevat de advisory ook drie kwetsbaarheden in Azure Key Vault (tot CVSS 8,2) en één in de Azure DevOps CLI-extensie, beide gedeelde componenten die via afhankelijkheden in Office terechtkomen. OneNote kent één fout voor rechtenverhoging (CVE-2026-96997, 7,8).
Voor organisaties die Office via Microsoft 365 Apps gebruiken, rolt een groot deel van deze updates automatisch uit via Click-to-Run, meestal binnen enkele dagen na Patch Tuesday. SharePoint Server- en Skype for Business Server-omgevingen draaien doorgaans on-premises en vragen om een handmatige update, net als Office LTSC 2021 en 2024 voor wie geen abonnementsversie gebruikt. Microsoft heeft voor alle genoemde producten updates beschikbaar gesteld.
Deze patchronde viel samen met updates voor onder meer Windows en Exchange Server.
Bron: NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Beheert u Office via Microsoft 365 Apps of SharePoint Server on-premises? Rol de updates van deze maand met voorrang uit en waarschuw gebruikers extra voor bijlagen, de actief misbruikte Windows Shell-fout (CVE-2026-96951) vereist alleen social engineering, geen technisch exploit.
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.