Microsoft lost een recordaantal van 1.411 kwetsbaarheden op Patch Tuesday van oktober 2026

brown wooden door with padlock — David Clode / Unsplash

Microsoft heeft beveiligingsupdates uitgebracht die een recordaantal van 1.411 kwetsbaarheden aanpakken. Deze updates omvatten één kwetsbaarheid die actief werd misbruikt en twee nuldagkwetsbaarheden die publiekelijk bekend waren gemaakt.

Van de opgeloste problemen zijn er 70 geclassificeerd als kritiek. Hiervan betreffen er 57 de uitvoering van code op afstand, 11 de verhoging van privileges en 2 het vervalsen van identiteiten. Het totale aantal herstelde fouten voor deze dag sluit 348 kwetsbaarheden uit die eerder in de maand waren opgelost in diensten zoals Azure App Service, Azure Event Grid, Microsoft Exchange Server en Microsoft Dataverse.

De actief misbruikte nuldagkwetsbaarheid, CVE-2026-96951, betrof een omzeiling van beveiligingsfuncties in Windows Shell. Hierdoor konden aanvallers via een netwerk de beveiligingsfunctie Mark of the Web omzeilen door middel van commando injectie. De twee publiekelijk bekende nulxdagen betroffen het .NET Framework en MessagePack-CSharp. In het .NET Framework kon een geautoriseerde aanvaller lokale beveiligingsfuncties omzeilen, wat het mogelijk maakte om Windows Defender Application Control te passeren en ongeautoriseerde applicaties uit te voeren. Deze fout werd ontdekt door Google Project Zero. De kwetsbaarheid in MessagePack-CSharp kon leiden tot een weigering van dienst via een netwerk door onjuist beheerde geheugenallocatie.

Microsoft introduceerde deze maand een experimentele methode genaamd risicocohorten om organisaties te helpen bij het prioriteren van updates. Hierbij worden vergelijkbare kwetsbaarheden gegroepeerd. Voor oktober 2026 zijn er 15 risicocohorten gepubliceerd, waaronder 136 kwetsbaarheden voor Windows bestandssystemen en opslag, 135 voor Office documenten en mailclients, en 131 voor Windows graphics en media. Microsoft benadrukte dat deze groepen niet direct aangeven welke fouten het gevaarlijkst zijn, omdat het risico afhangt van de ernst en het gebruik van de software.

Daarnaast kondigde Microsoft aan dat de ondersteuning is beëindigd voor Windows 11 versie 24H2 Home en Pro, evenals voor Windows 10 Enterprise LTSB 2016. De beveiligingsupdate van oktober 2026 is de laatste voor deze edities. Organisaties die Windows 11 23H2 Enterprise, Education en IoT Enterprise gebruiken, werden geadviseerd om te upgraden, aangezien zij vanaf volgende maand geen beveiligingsupdates meer ontvangen.