Beveiliging · 16 oktober 2026
Microsoft lost recordaantal van 1.411 kwetsbaarheden in oktober 2026
Microsoft heeft beveiligingspatches uitgebracht voor de Patch Tuesday van oktober 2026 om in totaal 1.411 kwetsbaarheden te herstellen, wat een nieuw record is. Van deze kwetsbaarheden is één zero day daadwerkelijk gebruikt voor aanvallen en zijn twee andere zero days publiekelijk bekendgemaakt.
Er zijn 70 kwetsbaarheden als kritiek geclassificeerd. Hiervan betreffen er 57 remote code execution, 11 elevation of privilege en 2 spoofing. Over het geheel genomen zijn elevation of privilege het meest voorkomend met ongeveer 677 gevallen, gevolgd door remote code execution met 317, information disclosure met 254, denial of service met 73, security feature bypass met 40 en spoofing met 28. Deze cijfers bevatten niet de 348 kwetsbaarheden die Microsoft eerder in dezelfde maand heeft opgelost voor diensten zoals Azure App Service, Azure Event Grid, Azure SRE Agent, Microsoft Dataverse en Microsoft Exchange Server.
Het recordaantal kwetsbaarheden is het gevolg van het gebruik van een kunstmatige intelligentie platform door Microsoft om kwetsbaarheden in eigen producten te vinden en op te lossen. De zero day die actief werd gebruikt, CVE-2026-96951, is een security feature bypass in Windows Shell veroorzaakt door onjuiste afhandeling van speciale elementen in commando's. Dit stelde ongeautoriseerde aanvallers in staat om via het netwerk de Mark of the Web beveiligingsmechanismen te omzeilen. Microsoft heeft geen details gedeeld over hoe de kwetsbaarheid werd gebruikt of wie deze heeft gemeld.
De publiekelijk bekende zero days omvatten CVE-2026-108398, een untrusted search path kwetsbaarheid in .NET Framework ontdekt door Google Project Zero. Geauthentiseerde aanvallers konden hiermee een speciaal gemaakte .NET assembly plaatsen en registreren zodat een protected process deze zou laden, waardoor Windows Defender Application Control werd omzeild en code kon worden uitgevoerd zonder interactie van de gebruiker. Daarnaast is er CVE-2026-92707, een denial of service kwetsbaarheid in MessagePack-CSharp door onjuiste controle op opeenvolgende geheugenreservering, waardoor diensten via het netwerk konden worden stopgezet.
Deze ronde bevat de laatste beveiligingsupdates voor Windows 11 24H2 Home en Pro, en Windows 10 Enterprise LTSB 2016, waarvan de ondersteuning op 13 oktober 2026 eindigde. Windows 11 23H2 Enterprise, Education en IoT Enterprise ontvangen vanaf november 2026 geen beveiligingsupdates meer.
Microsoft test een nieuwe methode genaamd risk cohorts om kwetsbaarheden in 15 groepen in te delen. Voorbeelden zijn Windows opslag en back-up met 136 items, Office documenten en mail clients met 135 items, Windows grafische en mediaverwerking met 131 items, Windows core en kernel privilege boundary met 109 items en Windows installatie en updates met 103 items. Microsoft stelt dat deze experimentele groepering niet aangeeft welke groep het gevaarlijkst is, omdat het werkelijke risico afhangt van de status van aanvallen, de ernst en het softwaregebruik per organisatie.