Kwetsbaarheden verholpen in Microsoft Windows

Microsoft heeft tijdens de Patch Tuesday van oktober 1159 kwetsbaarheden verholpen in Windows. Dat meldt het NCSC in advisory NCSC-2026-0423, gepubliceerd op 13 oktober 2026.

Het NCSC licht daarvan 53 kwetsbaarheden nader toe: stuk voor stuk fouten met een CVSS-score van 9,0 of hoger. Voor misbruik is geen voorafgaande authenticatie nodig en een flink deel is op afstand te misbruiken zonder dat het slachtoffer iets hoeft te doen. Systemen die rechtstreeks vanaf het internet bereikbaar zijn, lopen daardoor verhoogd risico.

De ernstigste fouten

De hoogste score, 9,9, gaat naar CVE-2026-94510, waarmee een aanvaller zich verhoogde rechten kan toe-eigenen. Van de overige 52 fouten gaat het bij 45 om het op afstand uitvoeren van willekeurige code, met scores die vrijwel allemaal op 9,8 uitkomen, verspreid over uiteenlopende Windows-subcomponenten. Een kleiner aantal, waaronder CVE-2026-105008, CVE-2026-85818 en CVE-2026-96252 (allemaal CVSS 9,0 tot 9,1), stelt een aanvaller in staat zich voor te doen als een andere gebruiker. Drie fouten geven verhoogde rechten. CVE-2026-70188 (9,1) omzeilt een beveiligingsmaatregel en CVE-2026-88092 (9,4) maakt het mogelijk gegevens te manipuleren.

Onder de kritieke fouten met code-executie zitten onder meer stack- en heap-bufferoverlopen, een verkeerde validatie van array-indexen, integer-overflows, dubbele vrijgaves en use-after-free-problemen, en een fout die te maken heeft met het door elkaar interpreteren van HTTP-verzoeken, ook wel request smuggling genoemd. Microsoft noemt geen van de 53 fouten actief misbruikt en er is geen publieke proof-of-concept bekend. Omdat voor misbruik geen authenticatie nodig is en veel fouten zonder gebruikersinteractie op afstand werken, telt vooral de combinatie van schaal en bereikbaarheid mee in het risico.

Welke versies het treft

De kwetsbaarheden raken vrijwel het volledige actuele Windows-palet: Windows 10 vanaf versie 1607 tot en met 22H2, Windows 11 van 23H2 tot en met 26H1, en Windows Server van de 2012-reeks tot en met Server 2025, inclusief Server Core-installaties. Zowel 32-bit, x64- als ARM64-varianten staan in de lijst, al verschilt dat per Windows-versie.

Voor beheerders van Windows-werkplekken en -servers is dit geen update om op de lange baan te schuiven. De combinatie van ongeauthenticeerd, op afstand uitvoerbaar misbruik en het aantal kritieke fouten maakt dit een van de zwaardere patchrondes van dit jaar. Test de updates waar mogelijk eerst op een representatieve groep machines, maar stel uitrol naar internetgerichte servers niet langer uit dan nodig.

Dezelfde Patch Tuesday-ronde bracht ook updates voor onder meer Microsoft Office en Exchange Server, naast kleinere ronden voor Azure, SQL Server, Dynamics, System Center en de Developer Tools.

Bron: NCSC-NL Advisories

Wat betekent dit voor jouw bedrijf?

Beheert u Windows-werkplekken of -servers? Prioriteer deze patchronde, zeker op systemen die rechtstreeks vanaf het internet bereikbaar zijn: tientallen fouten zijn zonder authenticatie en op afstand te misbruiken.