Microsoft lost meer dan duizend kwetsbaarheden op en bevestigt actieve uitbuiting

turned on Acer laptop on table near cup — Anete Lūsiņa / Unsplash

Microsoft heeft zijn maandelijkse beveiligingsupdate voor oktober uitgebracht die in totaal 1415 kwetsbaarheden verhelpt in diverse softwareproducten. Onder deze fouten bevindt zich één specifiek lek in de Windows-shell dat reeds actief wordt misbruikt door aanvallers in het wild. Het bedrijf classificeert 85 van de gemelde problemen als kritiek, wat betekent dat ze onmiddellijke aandacht vereisen om ernstige schade aan systemen te voorkomen. De update bestrijkt een breed scala aan onderdelen binnen het ecosysteem van het technologiebedrijf.

De getroffen producten omvatten het Windows-besturingssysteem, de Office-suite, Exchange-servers, het .NET-raamwerk en de Edge-webbrowser. Daarnaast worden mogelijk ook componenten van Hyper-V en Azure-cloudservices beïnvloed door deze beveiligingsproblemen. De omvang van deze patchronde is uitzonderlijk groot en legt een zware last op de teams die verantwoordelijk zijn voor de beveiliging van bedrijfsnetwerken. Experts waarschuwen dat het grote volume aan meldingen het moeilijk maakt om de meest urgente dreigingen eruit te filteren.

Het specifiek lek dat actief wordt uitgebuit, staat bekend onder de aanduiding CVE-2026-96951 en stelt kwaadwillenden in staat speciale elementen in de Windows-shell te injecteren. Deze techniek maakt het mogelijk om een beveiligingsfunctie te omzeilen die bekendstaat als het Merkteken van het Web, welke normaal gesproken beschermt tegen inhoud van het internet. Een aanvalsvector zou bijvoorbeeld een e-mailbericht of instant-bericht kunnen zijn dat een kwaadaardig vervaardigd bestand bevat. Een aanvaller kan echter geen gebruiker dwingen om de inhoud te bekijken en moet de ontvanger overhalen om op een koppeling te klikken of een bijlage te openen.

Veiligheidsdeskundigen benadrukken dat het tijdsvenster tussen de openbaarmaking van deze kwetsbaarheden en mogelijke uitbuiting effectief nul is. Er wordt geadviseerd om alle problemen met een ernstscore hoger dan 9,0 direct prioriteit te geven bij het oplossen ervan. Een ander aandachtspunt is een lek in het .NET-raamwerk, aangeduid als CVE-2026-108398, dat eerder publiek werd bekendgemaakt. Hoewel dit aanvallers theoretisch voorsprong gaf, heeft Microsoft tot nu toe geen bewijs gevonden dat dit specifieke lek daadwerkelijk wordt misbruikt.

Gebruikers melden echter ook negatieve gevolgen na het installeren van de nieuwe updates. Sommige organisaties ondervonden problemen waarbij clients niet langer verbinding konden maken met draadloze netwerken die beveiligd zijn met WPA-Enterprise. Het verwijderen van de update loste deze connectiviteitsproblemen weer op. Andere meldingen wijzen op storingen in IPSec-VPN-verbindingen op laptops, wat collega's belette om veilig te verbinden met het bedrijfsnetwerk. Deze incidenten onderstrepen het belang van het gefaseerd uitrollen van patches en het zorgvuldig monitoren op ongewenste neveneffecten voordat deze breed worden ingezet.