Microsoft heeft tijdens de Patch Tuesday van oktober maar liefst 1.416 beveiligingslekken gedicht. Het is de eerste keer dat het bedrijf in één maand meer dan duizend kwetsbaarheden aanpakt. Daarvan zijn er 85 als kritiek bestempeld, waaronder 67 lekken waarmee aanvallers vanop afstand code kunnen uitvoeren. Eén kwetsbaarheid in Windows wordt bovendien al actief misbruikt. Gebruikers doen er dan ook goed aan de laatste update zo snel mogelijk te installeren.
De patches treffen een brede waaier aan Microsoft-producten. Naast Windows en Office gaat het onder meer om Exchange Server, SQL Server, Hyper-V, Microsoft Defender, het .NET Framework, Visual Studio en verschillende clouddiensten. Twee kwetsbaarheden waren al publiek bekend voordat Microsoft de oplossingen uitbracht. De volgende Patch Tuesday staat gepland voor 10 november 2026.
Meer dan duizend van de verholpen kwetsbaarheden zitten in verschillende versies van Windows, waaronder Windows 10, Windows 11 en Windows Server. Microsoft heeft 42 Windows-lekken als kritiek aangemerkt. Daarvan maken er 30 het mogelijk om op afstand code uit te voeren, in bepaalde gevallen zonder dat het slachtoffer eerst een bestand moet openen of een andere actie moet uitvoeren.
Extra aandacht gaat naar CVE-2026-96951, een kwetsbaarheid in de Windows Shell die al actief wordt uitgebuit. Aanvallers kunnen de herkomst van een uitvoerbaar bestand van het internet verhullen en zo beveiligingsmaatregelen omzeilen die gebruikers voor potentieel gevaarlijke downloads moeten waarschuwen. Die bescherming staat bekend als Mark of the Web.
Ook SharePoint krijgt belangrijke beveiligingsreparaties. Een van de lekken, CVE-2026-102866, laat aanvallers toe hun rechten te verhogen en is door Microsoft als kritiek geclassificeerd. Het is volgens de beschikbare informatie de enige SharePoint-kwetsbaarheid van deze maand die zonder een gebruikersaanmelding kan worden misbruikt. Daarvoor moet de aanvaller wel over een geldig gebruikerstoken beschikken en dat aanpassen om zich op de server als die gebruiker voor te doen.
Microsoft heeft daarnaast 194 kwetsbaarheden in verschillende Office-producten aangepakt. Daarvan zijn er 25 kritieke lekken waarmee aanvallers op afstand code kunnen uitvoeren. Bij dit soort problemen kan het voorbeeldvenster van Office een aanvalsvector vormen: in bepaalde gevallen hoeft een gebruiker een besmet bestand niet eens te openen om gevaar te lopen. Het bekijken van een voorbeeld kan dan al volstaan.
Voor Exchange Server zijn zeven kwetsbaarheden verholpen. Zes daarvan vallen in de categorie hoog risico, waaronder vijf lekken waarmee aanvallers hun toegangsrechten kunnen verhogen. Het zevende probleem, CVE-2026-70571, is een kritieke kwetsbaarheid voor het uitvoeren van code op afstand.
Ook Microsoft Edge krijgt beveiligingsverbeteringen. De update naar versie 155.0.4283.45, uitgebracht op 8 oktober, bevat oplossingen voor 247 kwetsbaarheden uit Chromium. Die zijn niet opgenomen in het totaal van 1.416 lekken dat Microsoft met de oktoberupdate heeft aangepakt.
Wie nog Windows 11 24H2 gebruikt, moet bovendien rekening houden met het einde van de ondersteuning voor die versie. Volgens Microsoft ontvangt Windows 11 24H2 Home en Pro vanaf oktober geen reguliere beveiligingsupdates meer. Een upgrade naar Windows 11 25H2 of 26H2 is daarom aangewezen. Windows 10-gebruikers kunnen onder bepaalde voorwaarden nog beveiligingsupdates ontvangen via het Extended Security Updates-programma, dat loopt tot 12 oktober 2027.
De omvang van de oktoberupdate onderstreept hoe belangrijk het is om beveiligingsupdates niet uit te stellen. Vooral omdat een Windows-lek al actief wordt misbruikt, is het verstandig om via Windows Update te controleren of de nieuwste patches geïnstalleerd zijn.
Schrijf je in op onze nieuwsbrief en ontvang elke week het beste van Clickx in je mailbox.
Krijg Clickx magazine 10 keer per jaar (waarvan 2 extra dikke dubbelnummers) keurig thuisbezorgd.
