Microsoft heeft tijdens de Patch Tuesday van oktober ruim 1400 beveiligingslekken in zijn software gedicht. Daarmee breekt het bedrijf opnieuw een record, amper een maand nadat september al uitzonderlijk zwaar uitviel. Toen werden 966 kwetsbaarheden aangepakt, waaronder twee actief misbruikte zero-days. De oktoberupdate maakt duidelijk dat de stroom beveiligingsproblemen voorlopig niet afneemt.
Van de kwetsbaarheden die Microsoft deze maand verholpen heeft, bevinden er ongeveer 1100 zich in Windows. Een van de belangrijkste is CVE-2026-96951 in de Windows Shell. Deze kwetsbaarheid werd al vóór het beschikbaar komen van de beveiligingsupdate daadwerkelijk bij aanvallen misbruikt. Het lek maakt het mogelijk om Mark of the Web, een belangrijke Windows-beveiligingsfunctie, te omzeilen.
Patches, patches, patches
Mark of the Web voorziet bestanden die van internet afkomstig zijn van een speciale markering. Windows kan daardoor extra waarschuwingen tonen wanneer een gebruiker zo’n bestand probeert te openen. Door de beveiliging te omzeilen, kunnen aanvallers bestanden betrouwbaarder laten overkomen dan ze in werkelijkheid zijn. Microsoft heeft geen details vrijgegeven over de aanvallen waarbij de kwetsbaarheid al werd ingezet.
Septemberrecord alweer voorbij
Opvallend is vooral de omvang van de maandelijkse reparatieronde. In september meldde Microsoft nog 966 gedichte kwetsbaarheden, destijds eveneens een record. Daarvan waren 105 problemen als kritiek aangemerkt. Slechts één maand later ligt het aantal verholpen beveiligingslekken alweer aanzienlijk hoger.
Microsoft waarschuwde eerder dit jaar al dat Patch Tuesday-releases structureel groter kunnen worden. Volgens het bedrijf neemt het aantal gemelde kwetsbaarheden toe doordat onderzoekers, geautomatiseerde analysetools en inmiddels ook AI meer softwarefouten weten op te sporen.
Voor IT-afdelingen betekent die ontwikkeling tegelijkertijd een steeds grotere patchlast. Grote aantallen updates moeten niet alleen snel worden uitgerold, maar ook worden getest om te voorkomen dat bedrijfskritische applicaties of infrastructuur na installatie problemen krijgen.
Honderd kritieke kwetsbaarheden
Ongeveer honderd beveiligingslekken van oktober worden als kritiek beschouwd. Een groot deel daarvan bevindt zich in Microsoft Office en kan remote code execution mogelijk maken. In verschillende gevallen hoeft een slachtoffer een speciaal geprepareerd bestand niet eens zelf te openen. Alleen weergave via het Voorbeeldvenster kan voldoende zijn om misbruik mogelijk te maken.
Veel van de overige kwetsbaarheden stellen aanvallers die al toegang tot een systeem hebben in staat hun rechten te verhogen. Daarmee kunnen zij uiteindelijk volledige controle over een computer krijgen.
Bedrijfsnetwerken
Volgens Dustin Childs van Zero Day Initiative zijn 59 van de kwetsbaarheden bovendien ‘wormable’. Dat betekent dat ze in theorie zonder tussenkomst van een gebruiker automatisch van systeem naar systeem kunnen worden misbruikt. Zulke kwetsbaarheden zijn vooral voor bedrijfsnetwerken riskant, omdat een succesvolle aanval zich snel kan verspreiden.
Ook een kritiek lek in Microsoft Office SharePoint, CVE-2026-102866, verdient volgens Childs extra aandacht. Daarbij kan een niet-geauthenticeerde aanvaller onder bepaalde voorwaarden toegang verkrijgen als een andere gebruiker wanneer diens token wordt buitgemaakt.
Advies
De beveiligingsupdates worden op de meeste Windows-systemen automatisch aangeboden. Voor organisaties blijft het echter zaak de installatie actief te volgen. Na de uitzonderlijk grote patchronde van september is oktober geen rustiger maand geworden, maar juist opnieuw een record.