Microsoft heeft op 13 oktober 2026 de Patch Tuesday-updates voor oktober uitgebracht en daarmee een recordaantal kwetsbaarheden gedicht. Het gaat om ruim 1.400 beveiligingslekken, waaronder een Windows-zero-day die al in aanvallen wordt gebruikt. Voor veel beheerders is dit bovendien de laatste maandelijkse beveiligingsupdate voor Windows 11 24H2 Home en Pro.
Een nieuw record aan kwetsbaarheden
Het precieze aantal verschilt per bron: BleepingComputer telt 1.411 kwetsbaarheden, andere media komen op 1.413. Daarmee is dit de grootste Patch Tuesday ooit. Volgens BleepingComputer zijn 70 lekken als kritiek beoordeeld, waarvan 57 externe code-uitvoering. De meeste meldingen betreffen rechtenverhoging (ruim 670) en externe code-uitvoering (ruim 300).
Beveiligingsonderzoekers adviseren om niet naar het totaal te kijken, maar te prioriteren op uitbuitbaarheid en impact.
De actief misbruikte zero-day
Het belangrijkste lek is CVE-2026-96951, een kwetsbaarheid in de Windows Shell waarmee aanvallers de beveiliging Mark of the Web (MotW) kunnen omzeilen. MotW markeert bestanden die van internet komen, zodat Windows en Office er extra voorzichtig mee omgaan. Wie die markering omzeilt, kan een bestand laten overkomen als vertrouwd.
Voor misbruik is wel handelen van de gebruiker nodig, bijvoorbeeld het openen van een gemanipuleerde bijlage of een link in e-mail of chat. Microsoft heeft geen details gedeeld over de waargenomen aanvallen.
Twee andere openbaar bekende lekken
Naast de misbruikte zero-day waren er twee kwetsbaarheden die al openbaar bekend waren, maar niet zijn misbruikt:
- CVE-2026-108398: een omzeiling van Windows Defender Application Control (WDAC) via een speciaal samengestelde .NET-assembly, gemeld door een onderzoeker van Google Project Zero.
- CVE-2026-92707: een denial-of-service-lek in MessagePack-CSharp, met een lage ernst.
Welke updates zijn er?
Voor Windows 11 24H2, 25H2 en 26H2 gaat het om KB5127648; voor 26H1 om KB5127646. De update bevat ook de eerdere septemberfixes en lost bekende problemen op, zoals een zwart scherm na inloggen in multi-user-omgevingen en storingen bij Always On VPN. Microsoft meldt dat sommige USB Audio Class 1.0-apparaten nog steeds geen geluid kunnen geven.
Einde van de updates voor 24H2 Home en Pro
Voor Windows 11 24H2 Home en Pro is oktober de laatste maand met beveiligingsupdates. Gebruikers moeten overstappen op een nieuwere versie, zoals 26H2, om beschermd te blijven. Dat gaat bij 24H2 via een klein enablement package.
Wat betekent dit voor gebruikers en beheerders?
Een praktische aanpak:
- Installeer KB5127648 of KB5127646 zo snel mogelijk via Instellingen > Windows Update; een herstart is nodig.
- Test de update bij beheerde omgevingen kort, met voorrang voor de zero-day.
- Controleer of pc's met 24H2 Home of Pro naar 26H2 zijn bijgewerkt.
- Blijf voorzichtig met bijlagen en links, ook als een bestand er vertrouwd uitziet.
Op internet melden enkele beheerders problemen met Wi-Fi-authenticatie na de update. Microsoft heeft dit niet bevestigd, maar een proefuitrol is verstandig.
Wat kun je hieruit meenemen?
De oktoberupdate is met ruim 1.400 gedichte kwetsbaarheden de grootste in de geschiedenis van Patch Tuesday. Het zwaartepunt ligt bij CVE-2026-96951, de al misbruikte omzeiling van Mark of the Web, die snel gepatcht moet worden.
Daarnaast markeert deze update het einde van de beveiligingsupdates voor Windows 11 24H2 Home en Pro. Wie die versie nog gebruikt, loopt vanaf nu risico en moet upgraden. Wie beheer doet, doet er goed aan te prioriteren op echte uitbuitbaarheid in plaats van op het totaalaantal.
