Microsoft Patch Tuesday oktober 2026 dicht 1.411 lekken

De Patch Tuesday van Microsoft voor oktober 2026 (de vaste maandelijkse beveiligingsupdate van het bedrijf) verhelpt 1.411 kwetsbaarheden, een nieuw record. Drie daarvan zijn zerodays: een wordt actief misbruikt en twee waren al openbaar gemaakt voordat er een oplossing beschikbaar was.

Zeventig van de lekken hebben de classificatie "Critical". Daarvan maken er 57 het uitvoeren van code op afstand mogelijk, 11 het verhogen van rechten en 2 betreffen spoofing.

Per categorie bevat de update ongeveer 677 lekken waarmee rechten kunnen worden verhoogd, 317 lekken voor het uitvoeren van code op afstand, 254 lekken waardoor informatie kan uitlekken, 73 denial-of-serviceproblemen, 40 manieren om beveiligingsfuncties te omzeilen en 28 spoofingkwetsbaarheden.

In het totaal zijn de 348 lekken die Microsoft eerder deze maand al dichtte niet meegeteld. Die zaten in diensten en producten als Azure App Service, Azure Event Grid, Azure SRE Agent, Microsoft Dataverse en Microsoft Exchange Server. Volgens BleepingComputer komt het recordaantal op een moment dat Microsoft steeds vaker AI-platforms inzet om kwetsbaarheden in zijn software op te sporen en te verhelpen.

Einde verhaal voor enkele Windows-edities

Microsoft bevestigde ook dat Windows 11 versie 24H2 Home en Pro en Windows 10 Enterprise LTSB 2016 vanaf nu geen ondersteuning meer krijgen.

"De maandelijkse beveiligingsupdate van oktober 2026 is de laatste update die voor deze edities beschikbaar is", aldus het bedrijf.

Eerder in oktober waarschuwde Microsoft al dat Windows 11 23H2 Enterprise, Education en IoT Enterprise vanaf volgende maand geen beveiligingsupdates meer ontvangen. Organisaties die deze edities gebruiken, wordt aangeraden te upgraden.

De zeroday die wordt misbruikt

Het actief misbruikte lek, CVE-2026-96951, is een omzeiling van een beveiligingsfunctie in Windows Shell. Aanvallers kunnen daarmee Mark of the Web omzeilen, de Windows-functie die bestanden die van internet zijn gedownload markeert, zodat ze voorzichtiger worden behandeld.

Microsoft omschrijft het als een command-injectionprobleem dat "een onbevoegde aanvaller in staat stelt een beveiligingsfunctie via een netwerk te omzeilen". Het bedrijf heeft niet gezegd hoe het lek bij aanvallen is gebruikt of wie het heeft gemeld.

Twee openbaar gemaakte lekken

De eerste openbaar gemaakte zeroday, CVE-2026-108398, zit in het .NET Framework. Het gaat om een probleem met een onbetrouwbaar zoekpad, waarmee Windows Defender Application Control (WDAC) kan worden omzeild, de Windows-functie die bepaalt welke applicaties mogen draaien.

"Een geauthenticeerde aanvaller zou een speciaal geprepareerde .NET-assembly op een getroffen systeem kunnen plaatsen en die laten registreren om door een beschermd proces te worden geladen", legt Microsoft uit. Bij een geslaagde aanval kan de aanvaller code uitvoeren binnen het beschermde proces, en daar is geen handeling van de gebruiker voor nodig. James Forshaw van Google Project Zero ontdekte het lek.

De tweede, CVE-2026-92707, is een denial-of-servicelek in MessagePack-CSharp. Door onvoldoende gecontroleerde geheugentoewijzing in .NET kan een niet-geauthenticeerde aanvaller via het netwerk een dienst platleggen. Microsoft maakte niet bekend wie het lek openbaar heeft gemaakt.

Lekken gebundeld in "risicocohorten"

Gezien de omvang van deze update test Microsoft een nieuwe manier om beheerders te helpen bepalen wat ze als eerste moeten patchen. Het bedrijf bundelt verwante kwetsbaarheden in "risicocohorten" en publiceerde er voor oktober 15.

De grootste cohorten betreffen Windows-bestandssystemen, opslag en back-up (136 lekken), Office-documenten en mailclients (135), Windows-graphics, -media en -contentverwerking (131), privilegegrenzen in de Windows-core en -kernel (109) en Windows-installatie-, deployment- en updatediensten (103).

Microsoft benadrukte dat een cohort niets zegt over welke lekken het gevaarlijkst zijn. Het werkelijke risico hangt nog altijd af van actief misbruik, de ernst en de manier waarop een organisatie de software gebruikt. Het bedrijf noemt de aanpak experimenteel en zegt dat die de bestaande richtlijnen aanvult, niet vervangt.

Andere leveranciers deze maand

Microsoft stond niet alleen. Fortinet, Ivanti en SonicWall dichtten allemaal lekken die door aanvallers werden misbruikt, en Citrix verhielp een zeroday in NetScaler met het kenmerk CVE-2026-88779. Ook Adobe, Atlassian, Cisco, Dell, Docker, GitLab, Kiteworks, Progress Software en SAP brachten beveiligingsupdates uit.

Onze analyse

Ruim 1.400 fixes op een enkele dag is een zware last voor elk patchteam, en de sprong ten opzichte van de 966 lekken in september wijst erop dat AI-ondersteunde bugjacht nu resultaten oplevert op een schaal die leveranciers nauwelijks nog behapbaar kunnen verpakken. Het experiment met risicocohorten leest als een erkenning dat kale aantallen en ernstlabels verdedigers op zichzelf niet veel meer helpen.

De eerste prioriteit is nog steeds duidelijk: de omzeiling van Mark of the Web wordt misbruikt, en vergelijkbare omzeilingen zijn vaak gecombineerd met phishinglokkertjes. Ook de einddata van de ondersteuning verdienen aandacht, zeker in combinatie met het verlopen van het Windows Update-certificaat dat oudere machines zal treffen. Het is de moeite waard om in de gaten te houden of de maandtotalen blijven stijgen, en of Microsofts cohorten nuttig genoeg blijken om een vast onderdeel van zijn richtlijnen te worden.