Patch Tuesday van oktober 2026: 1.413 CVE's, 1 misbruikte zero-day

Microsofts Patch Tuesday -release van oktober 2026 pakt 1.413 Microsoft CVE's aan, waarmee een nieuw record wordt gevestigd, slechts één maand na het vorige hoogtepunt van 974 in september. Dat is grofweg een stijging van 45% ten opzichte van de vorige maand. De release omvat Windows, Microsoft 365 en Office-apps, SharePoint Server, SQL Server, Exchange Server, Azure, Defender en ontwikkelaarstools. Microsoft publiceert ook opnieuw één niet-Microsoft CVE.

Eén kwetsbaarheid wordt al actief uitgebuit: CVE-2026-96951, een omzeiling van een beveiligingsfunctie in Windows Shell. Een tweede, CVE-2026-108398 in het .NET Framework, is openbaar gemaakt, dus technische details zijn al beschikbaar hoewel Microsoft nog geen aanvallen heeft waargenomen. Beide hebben de beoordeling Important, wat benadrukt waarom de exploitatiestatus voorrang moet krijgen op alleen ernstlabels.

Met meer dan 1.400 Microsoft-CVE's om te beoordelen, hebben IT-teams een risicogebaseerde uitrol nodig die begint met de kwetsbaarheden die aanvallers het meest waarschijnlijk zullen misbruiken en de systemen waar een inbreuk de meeste schade zou aanrichten.

Overzicht van Microsoft-patches voor oktober 2026

Van de 1.408 CVE's met ernstbeoordelingen classificeerde Microsoft er 78 als Critical, 1.329 als Important en 1 als Moderate. Voor alle 1.408 is actie van de klant vereist in de vorm van een update-installatie.

Verhoging van bevoegdheden en uitvoering van externe code zijn samen goed voor ongeveer 70% van deze release:

Kwetsbaarheden voor bevoegdheidsverhoging kunnen beperkte toegang omzetten in volledige controle over een systeem, en kwetsbaarheden voor uitvoering van code op afstand kunnen die initiële toegang verschaffen. Met bijna 1.000 van deze twee typen in één enkele release moeten IT-teams weten welke getroffen systemen zijn blootgesteld en welke over bevoorrechte toegang beschikken.

Waar de kwetsbaarheden geconcentreerd zijn

Windows is goed voor meer dan driekwart van de CVE's van deze maand. Office en SharePoint Server zijn samen goed voor nog eens 170, en ontwikkelaarstools zijn goed voor 61 verspreid over 60 afzonderlijke updates.

De door Microsoft gepubliceerde cijfers voor deze release verschillen licht: in de releasenotes staat 1.413 CVE's, de uitsplitsing per productfamilie komt uit op 1.414, en de gepubliceerde CVE-lijst bevat 1.411. Deze post gebruikt 1.413, het cijfer in de releasenotes van Microsoft.

Eén misbruikte zero-day en één openbaar gemaakte kwetsbaarheid

Microsoft heeft deze maand twee CVE's gemarkeerd met speciale aanduidingen voor uitbuitbaarheid. Beide zijn kwetsbaarheden voor het omzeilen van beveiligingsfuncties met de beoordeling Belangrijk.

Kwetsbaarheden waarmee beveiligingsfuncties kunnen worden omzeild, voltooien zelden op zichzelf een aanval. Meestal werken ze samen met een andere kwetsbaarheid, zoals uitvoering van externe code of bevoegdheidsverhoging, door een beveiligingsmaatregel weg te nemen die anders de volgende stap zou blokkeren of ervoor zou waarschuwen. Door ze te patchen, sluit je een stap af die aanvallers mogelijk al gebruiken.

CVE-2026-96951 moet als eerste worden gepatcht op elk Windows-eindpunt, ongeacht de classificatie Belangrijk. Als Mark of the Web wordt omzeild, kan een schadelijk bestand dat via e-mail of chat is verzonden worden geopend zonder de waarschuwingen die gebruikers normaal zien. De gebruiker moet het bestand nog steeds openen, dus deze kwetsbaarheid past van nature goed bij phishing en bij de bestandsgebaseerde kwetsbaarheden die later in dit bericht aan bod komen.

CVE-2026-108398 is niet misbruikt, maar omdat deze openbaar is gemaakt, zijn technische details al beschikbaar. Daardoor neemt de kans op misbruik toe. Een aanvaller heeft eerst een account op het systeem nodig, dus deze update is vooral belangrijk voor organisaties die vertrouwen op Windows Defender Application Control of vergelijkbare allowlisting om een indringer die al voet aan de grond heeft gekregen in te dammen.

Geen van beide CVE's staat op het moment van publicatie in de catalogus met Known Exploited Vulnerabilities van CISA. Aanvullingen volgen vaak binnen enkele dagen na een dergelijke aanduiding, dus controleer de catalogus wanneer je je uitrol plant.

Kritieke kwetsbaarheden om hierna prioriteit aan te geven

Microsoft heeft deze maand 78 kwetsbaarheden als kritiek beoordeeld. Vijfenzestig daarvan zijn kwetsbaarheden voor uitvoering van externe code, en de overige 13 betreffen bevoegdheidsverhoging of spoofing. Behandel ze niet als één groep, maar geef prioriteit op basis van de getroffen infrastructuur, hoe blootgesteld die is en wat er op het spel staat bij een compromis.

Windows DHCP- en netwerkgerichte services

Vijf kritieke kwetsbaarheden voor uitvoering van externe code treffen Windows DHCP Server:

• CVE-2026-96934

• CVE-2026-88117

• CVE-2026-88120

• CVE-2026-88119

• CVE-2026-88171

DHCP Server is vaak bereikbaar via interne netwerksegmenten, waardoor het een frequent draaipunt is voor netwerkbrede compromittering. De release bevat ook een Critical kwetsbaarheid voor uitvoering van externe code in de DHCP Client (CVE-2026-70250).

Verschillende andere netwerkgerichte services bevatten deze maand kritieke kwetsbaarheden voor uitvoering van externe code:

QUIC vormt de basis van HTTP/3 en ander netwerktransport, dus deze kwetsbaarheden zijn vooral van belang voor internetgerichte Windows Server-workloads. Remote Desktop Gateway bevindt zich aan de rand van veel implementaties voor externe toegang. Breng in kaart waar deze services zijn ingeschakeld en zet systemen die extern bereikbaar zijn bovenaan de prioriteitenlijst.

Identiteits- en certificaatinfrastructuur

Kritieke kwetsbaarheden treffen ook de services die authenticatie, federatie en certificaatinschrijving beheren:

Elk komt slechts één keer voor in de release, maar elk treft een doelwit van hoge waarde. Een gecompromitteerde domeincontroller of certificaatinschrijvingsservice kan een aanvaller bereik geven over de hele omgeving. AD FS-spoofing kan het federatieve single sign-on-vertrouwen ondermijnen waarop veel organisaties vertrouwen. Domeincontrollers, AD FS-servers en NDES-servers zouden tot de eerste servers moeten behoren die worden geëvalueerd na de uitgebuite zero-day.

Exchange Server en implementatie-infrastructuur

Exchange Server (CVE-2026-70571) en Windows Deployment Services (CVE-2026-88174) hebben elk een kritieke kwetsbaarheid voor uitvoering van externe code. SharePoint Server heeft een kritieke kwetsbaarheid voor bevoegdheidsverhoging (CVE-2026-102866).

Exchange en SharePoint bevatten vaak gevoelige bedrijfsgegevens en zijn verbonden met andere interne resources. Deployment Services kan gevolgen hebben voor elk endpoint dat erop vertrouwt voor imaging of provisioning. Geef prioriteit aan implementaties met externe blootstelling of toegang tot waardevolle gegevens.

Hyper-V en VBS Enclave

De updates van deze maand omvatten code-uitvoering op hostniveau in Hyper-V en kritieke kwetsbaarheden voor bevoegdheidsverhoging in Windows Virtualization-Based Security (VBS) Enclave en kernonderdelen van de kernel.

Hyper-V-hosts ondersteunen vaak productieworkloads met strikte beschikbaarheidseisen. Gebruik gefaseerde tests en gecoördineerde onderhoudsvensters wanneer een onmiddellijke uitrol services kan verstoren, maar laat die vensters patches op hostniveau niet lang vertragen.

Microsoft 365- en Office-applicaties

Office-toepassingen zijn goed voor 34 van deze maand kritieke kwetsbaarheden voor uitvoering van externe code:

Excel valt op, met een ongewoon hoge concentratie kritieke kwetsbaarheden in één app. Kwaadaardige documenten blijven een van de meest voorkomende door phishing aangedreven toegangsroutes tot gebruikersomgevingen. Dat risico is deze maand groter omdat de misbruikte Mark of the Web-omzeiling de waarschuwingen kan verwijderen die gebruikers normaal gesproken bij gedownloade bestanden zouden zien. Visio staat vaak lager op patch-prioriteitenlijsten dan Word, Excel of Outlook, maar brengt hetzelfde documentgebaseerde risico met zich mee.

Media, grafische componenten en printerstuurprogramma's

Tien kritieke kwetsbaarheden voor uitvoering van externe code treffen media-, grafische en documentrenderingcomponenten, waaronder Media Foundation, GDI+, Codecs, Windows PDF, Text Shaping en Raw Image Extension (CVE-2026-96202 and CVE-2026-96943). Deze kunnen worden geactiveerd door een gemanipuleerde afbeelding, video, lettertype of PDF te openen, zonder macro's of scripting.

De PostScript Printer Driver heeft ook drie kritieke kwetsbaarheden voor uitvoering van externe code: CVE-2026-70153, CVE-2026-70147 en CVE-2026-108467. Printerdrivers worden op grote schaal ingezet en zijn in patchcycli makkelijk over het hoofd te zien, dus controleer of ze in dezelfde uitrol zijn opgenomen als de rest van de release.

Zo geef je prioriteit aan patches van oktober 2026

Er is geen vaste tijdlijn die bij elke omgeving past. Gebruik deze niveaus als uitgangspunt en pas ze vervolgens aan op basis van blootstelling, bedrijfsimpact en testvereisten.

Patch binnen 72 uur

• CVE-2026-96951 (Windows Shell) op elk Windows-endpoint, gevolgd door CVE-2026-108398 (.NET Framework)

• Windows DHCP Server en DHCP Client

• Remote Desktop Gateway, NDES en Active Directory Domain Services

• Microsoft QUIC op internetgerichte Windows Server-workloads

• Exchange Server en SQL Server, te beginnen met extern bereikbare systemen of systemen met gevoelige gegevens

• Hyper-V-hosts

• Elke CVE die later wordt toegevoegd aan de CISA KEV-catalogus of wordt gemarkeerd als Exploitation More Likely

Patch binnen 1 tot 2 weken

• Office-applicaties, te beginnen met Excel, daarna Outlook, PowerPoint, Word en Visio

• Kwetsbaarheden voor bevoegdheidsverhoging in Kernel en VBS Enclave

• Media-, grafische en documentrenderingcomponenten, plus het PostScript Printer Driver

• Visual Studio, Visual Studio Code en .NET op werkstations van ontwikkelaars

• Kwetsbaarheden voor bevoegdheidsverhoging in Azure en Entra

Blootstelling moet nog steeds zwaarder wegen dan de standaardtijdlijn. Gebruikers die regelmatig externe documenten openen, hebben Office-updates mogelijk eerder nodig.

Reguliere patchcyclus

• Als Important beoordeelde kwetsbaarheden voor bevoegdheidsverhoging en openbaarmaking van informatie in componenten met beperkte blootstelling

• Problemen met alleen lokale toegang en apparaatstuurprogramma's op systemen met beperkte fysieke toegang

• Niet naar het internet gerichte systemen met compenserende beheersmaatregelen

Opvallende updates van derden

Microsoft publiceert deze maand opnieuw slechts één niet-Microsoft CVE, tegenover 25 in september: CVE-2026-21413, een kwetsbaarheid voor uitvoering van code op afstand in Raw Image Extension, toegeschreven aan Cisco Talos. Deze heeft invloed op hetzelfde onderdeel als de twee hierboven behandelde kritieke Raw Image Extension-kwetsbaarheden van Microsoft (CVE-2026-96202 en CVE-2026-96943), dus alle drie kunnen als één enkele herstelactie worden afgehandeld.

Microsoft Edge heeft in deze release geen nieuwe CVE's uitgebracht. Teams moeten nog steeds volgens hun eigen schema's bevestigen dat browser-, ontwikkelaarstool- en applicatie-updates van derden zijn uitgevoerd, en ze in dezelfde workflow voor kwetsbaarheidsbeheer houden als updates van het besturingssysteem. Afzonderlijke processen kunnen blinde vlekken veroorzaken, zelfs wanneer Windows-patching actueel is.

Waarom Patch Tuesday in oktober belangrijk is voor IT-teams

De release van oktober brengt twee operationele kwesties met zich mee die verder gaan dan een afzonderlijke CVE.

1. Recordvolume maakt handmatige triage onrealistisch

Dit is de tweede recordbrekende release op rij, en de sprong van 974 naar 1.413 CVE's in één maand laat weinig ruimte voor handmatige beoordeling. Teams moeten snel weten welke apparaten getroffen software draaien, welke kwetsbaarheden worden misbruikt en welke systemen identiteit, externe toegang of kritieke workloads ondersteunen. Dat hangt af van een nauwkeurige inventarisatie van hardware en software.

Microsoft reageert ook op de omvang hiervan. Met deze release heeft het risicocohorten geïntroduceerd, een experimentele manier om gerelateerde CVE's te groeperen rond gedeelde blootstellingsvragen, zoals welke systemen niet-vertrouwde bestanden verwerken. Microsoft merkt op dat cohorten geen rangorde van gevaar aangeven, dus de exploitatiestatus en blootstelling moeten nog steeds de volgorde van het werk bepalen.

2. Sommige systemen hebben zojuist hun laatste beveiligingsupdate ontvangen

De update van oktober is de laatste beveiligingsupdate voor Windows 11 versie 24H2 Home en Pro en voor Windows 10 Enterprise LTSB 2016. Windows 11 versie 23H2 Enterprise, Education en IoT Enterprise bereiken in november het einde van de updateperiode. Apparaten met deze edities ontvangen na hun einddatum geen fixes meer, hoe snel een team ook patcht. Breng ze nu in kaart en plan upgrades, want de zero-day-fix van deze maand kan de laatste bescherming zijn die ze krijgen.

Hoe Splashtop AEM kan helpen bij het prioriteren en uitrollen van patches

Een release met 1.413 CVE's en een misbruikte zero-day geeft IT-teams twee taken: uitzoeken wat ertoe doet in hun omgeving en snel de juiste updates uitrollen. Splashtop AEM (Autonomous Endpoint Management) regelt beide vanuit een gecentraliseerde console.

• Vind blootgestelde apparaten: Splashtop AEM scant Windows- en macOS-endpoints continu op CVE's, waaronder kwetsbaarheden in de catalogus met Known Exploited Vulnerabilities van CISA, samen met patchstatus en hardware- en software-inventaris.

• Prioriteer wat aanvallers gebruiken: Door AI aangestuurde CVE-samenvattingen en risicosignalen helpen teams kwetsbaarheden zoals CVE-2026-96951 voorrang te geven boven de rest van de release.

• Sneller implementeren en verifiëren: Realtime patching van het besturingssysteem en applicaties van derden, geautomatiseerd beleid, onderhoudsvensters en updaterringen laten teams Office- of serverupdates eerst testen op een kleinere groep apparaten. Teams kunnen de uitrol daarna uitbreiden en bijhouden welke installaties zijn geslaagd of mislukt.

• Versterk bestaande workflows: Splashtop AEM kan Microsoft Intune versterken door realtime patching, CVE-zichtbaarheid en herstel toe te voegen. Teams die een RMM gebruiken, kunnen die inzetten om hiaten in patchzichtbaarheid en automatisering op te vullen.

Blijf recordvolumes tijdens Patch Tuesday voor met Splashtop AEM

De release van oktober laat zien hoe snel patchbeheer een triageprobleem wordt. Met 1.413 CVE's en een uitgebuite zero-day in de mix moeten IT-teams blootgestelde apparaten vinden, eerst de meest urgente updates uitrollen en bevestigen dat elk endpoint gedekt is.

Start een gratis proefperiode van Splashtop AEM om te zien welke endpoints kwetsbaar zijn, updates met een hoog risico te prioriteren en patches sneller uit te rollen.