Patch Tuesday van augustus 2026: 421 CVE's om prioriteit aan te geven

Microsofts Patch Tuesday -release van augustus 2026 behandelt 421 CVE's in Windows, Office, Azure, Exchange Server, SharePoint Server, Developer Tools en Microsoft Defender. Twee kwetsbaarheden springen eruit en verdienen direct aandacht: één waarvan bevestigd is dat die actief wordt misbruikt, en één die publiekelijk bekend is. Twee opnieuw gepubliceerde niet-Microsoft-CVE's die Windows TPM beïnvloeden, zijn ook gemarkeerd. Hier is onze kijk op waar je je eerst op moet richten.

Overzicht van Microsoft-patches voor augustus 2026

Zoals we in de meeste maanden zien, neemt Windows het grootste aandeel van deze release voor zijn rekening, met 236 verholpen kwetsbaarheden verspreid over 32 afzonderlijke updates. Office en Office 2016 bevatten elk 98 kwetsbaarheden, wat dezelfde onderliggende reeks problemen weerspiegelt die via twee verschillende servicemodellen wordt geleverd — cumulatieve updates voor momenteel ondersteunde Office-versies en afzonderlijke updates voor Office 2016. SharePoint Server en Developer Tools maken de lijst compleet met daarna de hoogste aantallen kwetsbaarheden: respectievelijk 30 en 26.

Hier is de release-uitsplitsing:

Als we nagaan waar de blootstelling van deze maand zich daadwerkelijk bevindt, zien we een vertrouwde reeks gebieden: kernonderdelen voor Windows-netwerken en -stuurprogramma's (DNS Server, DHCP Server, RRAS, SSTP, RMCAST, Telephony Service, Win32k), onderdelen voor documentverwerking in Office (Word, Excel, PowerPoint, Access en het gedeelde Graphics Component) en samenwerkingsplatforms (SharePoint Server en Exchange Server). Deze maand zien we ook een duidelijke concentratie van oplossingen in Developer Tools en .NET, wat het vermelden waard is als je organisatie interne build- of CI/CD-infrastructuur draait.

Omdat Office en Windows samen goed zijn voor meer dan driekwart van de verholpen kwetsbaarheden van deze maand, verwachten we dat het grootste deel van de patchvalidatie terechtkomt bij endpoint- en productiviteitsworkloads in plaats van bij serverinfrastructuur — al brengen de server-side fixes in SharePoint, Exchange en de kernservices voor Windows-netwerken door hun netwerkgerichte aard wel een extra groot risico met zich mee.

Zero-day-kwetsbaarheden en kwetsbaarheden die waarschijnlijker worden misbruikt

Elke maand letten we goed op CVE's waarbij Microsofts eigen signalen — openbaar bekende details of bevestigd misbruik — aangeven dat het risico in de praktijk groter is dan de ernstscore op basis van CVSS. Deze maand vallen twee kwetsbaarheden in die categorie:

Voor CVE-2026-68820 is actieve exploitatie bevestigd en CVE-2026-62832 is openbaar bekend, wat betekent dat technische details al beschikbaar zijn die de ontwikkeling van exploits kunnen versnellen. Beide zijn elevatie-van-privilegekwetsbaarheden met de beoordeling Important in plaats van Critical — een goede herinnering dat we niet alleen op ernstbeoordelingen vertrouwen om de urgentie te bepalen. Deze twee kwetsbaarheden horen bovenaan de patchqueue van deze maand, ongeacht hun CVSS-gedreven label.

Kritieke kwetsbaarheden in augustus 2026

Onze beoordeling van deze release identificeert 43 kwetsbaarheden met het predicaat Critical, waarvan het overgrote deel remote code execution (RCE)-lekken zijn. Verschillende hebben invloed op netwerkgerichte infrastructuur die we vaak blootgesteld zien binnen of aan de rand van bedrijfsnetwerken:

De overige CVE's met een Critical-classificatie die we volgen, zijn geconcentreerd in Microsoft Office (Word, Excel en het gedeelde Graphics Component), waar deze maand meer dan een dozijn kritieke RCE-kwetsbaarheden voorkomen. Omdat verschillende van deze kwetsbaarheden invloed hebben op services die vaak worden blootgesteld aan niet-vertrouwde netwerken — met name DNS, RRAS en DHCP — zouden we patchvalidatie en -uitrol voor domeincontrollers, edge-servers en infrastructuur voor externe toegang als topprioriteit behandelen.

Hoe je prioriteit geeft aan patches van augustus 2026

Met 421 CVE's die moeten worden verwerkt, is een risicogebaseerde aanpak essentieel. Zo raden we aan om de release van deze maand te prioriteren.

Patch binnen 72 uur

• Windows DNS Server, DHCP Server, RRAS, SSTP en RMCAST — kritieke RCE-kwetsbaarheden in netwerkgerichte services

• Active Directory Certificate Services (AD CS) en Microsoft QUIC — Critical RCE die identiteits- en transportinfrastructuur treft

• CVE-2026-68820 (WinSock AFD) en CVE-2026-62832 (User Profile Service) — respectievelijk actief misbruikt en openbaar bekend

• SharePoint Server en Exchange Server — Critical-kwetsbaarheden in samenwerkingsplatformen met internetgerichte implementaties

• Remote Desktop Client en iSCSI Target Service — kritieke RCE relevant voor infrastructuur voor externe toegang en opslag

Patch binnen 1-2 weken

• Microsoft Office (Word, Excel, PowerPoint, Access) — veelvoorkomende Critical- en Important-RCE-kwetsbaarheden waarvoor gebruikersinteractie vereist is

• Developer Tools en .NET — relevant voor interne build-, CI/CD- en applicatie-infrastructuur

• Windows Kernel, Win32k, NTFS en Telephony Service — kwetsbaarheden met de beoordeling Important en een brede aanwezigheid op endpoints

Reguliere patchcyclus

• Windows-componenten met een lagere ernst die minder vaak blootgestelde services beïnvloeden

• Kwetsbaarheden waarvoor lokale toegang of niet-standaardconfiguraties vereist zijn

• Systemen waarvoor al compenserende maatregelen zijn getroffen (netwerksegmentatie, beperkte toegang, EDR-dekking)

Opnieuw gepubliceerde opvallende niet-Microsoft-CVE's

Beide opnieuw gepubliceerde CVE's hebben invloed op Windows TPM-implementaties (Trusted Platform Module) en worden gevolgd onder MITRE in plaats van onder Microsoft's eigen CNA. Voor geen van beide zijn momenteel gedocumenteerde workarounds of mitigerende maatregelen beschikbaar, waardoor het tijdig toepassen van patches het belangrijkste hersteltraject is zodra leveranciersupdates beschikbaar zijn. Zoals we elke maand opmerken wanneer deze langskomen, raden we aan om componenten van derden en firmwaregerelateerde componenten zoals TPM-stacks te behandelen als onderdeel van dezelfde workflow voor kwetsbaarheidsbeheer die je gebruikt voor patches op OS-niveau, in plaats van als een apart spoor met lagere prioriteit.

Hoe Splashtop AEM kan helpen

Met 421 CVE's om deze maand door te nemen, is het niet realistisch om risico's voor elk endpoint handmatig te triëren. Dat is precies het gat dat Splashtop AEM (Autonomous Endpoint Management) helpt dichten:

• Breng risico's snel in kaart: Krijg gecentraliseerd inzicht in endpointkwetsbaarheden, patchstatus en software-/hardware-inventaris, zodat je weet waar je kwetsbaar bent voordat je begint met patchen.

• Geef prioriteit aan Critical-updates: AI-gestuurde CVE-inzichten laten zien welke kwetsbaarheden het belangrijkst zijn voor jouw omgeving — waaronder issues met de ernstgraad Critical en CVE's met bevestigde of waarschijnlijke exploitatie — zodat inspanningen eerst gaan naar waar het risico het hoogst is.

• Sneller patchen: Automatiseer patchbeleid en implementeer updates voor besturingssystemen en software van derden in realtime, met inzicht in succes en mislukking bij elke stap.

• Versterk bestaande workflows: Voeg snellere remediatie en beter inzicht toe in plaats van handmatig patchen of naast Microsoft Intune.

Probeer Splashtop AEM gratis

Zonder de juiste tooling kan het weken duren om één enkele Patch Tuesday volledig te verhelpen — en tegen de tijd dat dat klaar is, komt de volgende release er alweer aan. Met Splashtop AEM kun je:

• Detecteer kwetsbare endpoints in je hele omgeving

• Geef prioriteit aan kritieke CVE's op basis van het werkelijke risico op misbruik

• Automatiseer de uitrol van patches voor Windows, Office en applicaties van derden

• Patchsucces en -mislukkingen monitoren vanuit één dashboard

• Versterk de beveiliging in gedistribueerde en externe omgevingen