Microsoft dicht ruim 1.400 kwetsbaarheden in grootste Patch Tuesday ooit

Microsoft heeft op dinsdag 13 oktober de grootste Patch Tuesday uit zijn geschiedenis uitgebracht. In het officiele CVRF-bestand van het Microsoft Security Response Center staan voor oktober 1.759 CVE's; de release notes bij deze patchronde zelf spreken van ruim 1.400 kwetsbaarheden. BleepingComputer, dat alleen de meldingen van Patch Tuesday zelf meetelt, komt uit op 1.411, naast 348 lekken die Microsoft eerder deze maand al dichtte. Volgens BleepingComputer komt die groei doordat Microsoft AI inzet om kwetsbaarheden in zijn eigen producten op te sporen en te repareren.

Waar de lekken zitten

Microsoft publiceert in de release notes een verdeling per productfamilie. Windows spant de kroon met 1.102 kwetsbaarheden, verdeeld over 39 losse updates. Daarna volgen Office (134), Developer Tools (61), SharePoint Server (36), SQL Server (22), Azure (15) en Exchange Server (7). In totaal gaat het om 176 verschillende updates.

Gesorteerd op type gaat het vooral om rechtenverhoging: 677 keer. Verder zijn er 317 kwetsbaarheden waarmee code op afstand kan worden uitgevoerd, 254 die informatie laten weglekken, 73 denial-of-service-lekken, 40 beveiligingsomzeilingen, 29 gevallen van manipulatie en 28 van spoofing.

Een lek wordt actief misbruikt

Van de hele stapel wordt er precies een aangevallen. CVE-2026-96951 zit in de Windows Shell, heeft bij Microsoft de status "Exploitation Detected" en een CVSS-score van 8.8. Aanvallers konden er de Mark of the Web omheen werken, het kenmerk waarmee Windows bestanden markeert die van internet komen en waarop de waarschuwing bij het openen is gebaseerd. Microsoft heeft niet gemeld hoe dat misbruik eruitzag of wie het lek aandroeg.

Twee andere lekken waren al openbaar voordat er een patch was. CVE-2026-108398 zit in het .NET Framework, heeft score 8.8 en is gevonden door James Forshaw van Google Project Zero. Een aanvaller die al op een systeem zit, kan er volgens Microsoft Windows Defender Application Control mee omzeilen en code laten uitvoeren binnen een beschermd proces, zonder dat de gebruiker iets hoeft te doen. Het tweede is CVE-2026-92707, een denial-of-service in MessagePack-CSharp met score 5.3.

Microsoft groepeert de lekken nu zelf

Bij zulke aantallen is "patch alles" geen bruikbaar advies meer. Het MSRC publiceerde daarom op dezelfde dag een blogpost over risk cohorts: groepen verwante kwetsbaarheden die moeten helpen bepalen wat voorrang krijgt. Voor oktober zijn er vijftien van die cohorten. De grootste zijn Windows-bestandssystemen, opslag en back-up (136 kwetsbaarheden), Office-documenten en mailclients (135) en Windows-grafiek, media en contentverwerking (131). Microsoft noemt de aanpak expliciet experimenteel en waarschuwt dat de omvang van een groep niets zegt over de werkelijke urgentie. Die hangt af van of een lek wordt misbruikt, van de ernst en van hoe een organisatie de software gebruikt.

Twee versies vallen van de lijst

Deze ronde is ook de laatste voor twee Windows-versies. Op de release health-pagina van Microsoft staat Windows 11 24H2 voor Home, Pro, Pro Education en Pro for Workstations nu op "End of updates". De Enterprise-, Education- en IoT Enterprise-edities van 24H2 krijgen nog updates tot 12 oktober 2027. Ook Windows 10 Enterprise LTSB 2016 is klaar.

De updates zelf: KB5127648 voor Windows 11 26H2, 25H2 en 24H2, KB5126653 voor 23H2, en KB5126657 voor Windows 10 21H2 en 22H2 onder het betaalde ESU-programma. Dat 23H2 voor de zakelijke edities in november zijn laatste update krijgt, stond eerder op deze site.

Bronnen: Microsoft Security Update Guide, de release health-pagina voor Windows 11 en BleepingComputer.