Microsoft heeft tijdens de recente Microsoft Patch Tuesday 1.413 fixes een recordaantal kwetsbaarheden gerepareerd. In totaal gaat het om 1.413 CVE’s, met een opvallende piek in Windows-issues en meerdere productlijnen die tegelijk zijn bijgewerkt. Voor IT-teams betekent dat: snel triage, gerichte installaties en extra aandacht voor de kwetsbaarheid die al actief wordt misbruikt.
In dit artikel zetten we de belangrijkste cijfers op een rij, zoomen we in op de Windows zero-day (CVE-2026-96951) en leggen we uit hoe Microsoft nieuwe prioriteringstechniek ‘risk cohorts’ inzet om updates beter te plannen.
Recordupdate: 1.413 CVE’s in één ronde
Volgens Microsoft lossen de patches in deze ronde 1.413 CVE’s op. Daarvan zijn er 1.102 gerelateerd aan Windows, 134 aan Office, 61 aan developer tools en 36 aan SharePoint Server. Daarnaast zijn ook Exchange Server, Azure, Defender en andere producten opgenomen in de updategolf.
Microsoft geeft aan dat het aantal gefixeerde kwetsbaarheden dit jaar inmiddels al boven de 4.000 uitkomt. Het bedrijf wijst erop dat deze toename samenhangt met het groeiende tempo van ontdekkingen en de bredere dynamiek in het kwetsbaarheidslanschap.
Windows zero-day actief misbruikt: CVE-2026-96951
De meest urgente patch is de Windows-kwetsbaarheid CVE-2026-96951, met een CVSS-score van 8.8/10. Microsoft beschrijft dit probleem als een Windows shell security feature bypass die aanvallers helpt om beveiligingen rond Mark of the Web (MotW) te ontwijken.
MotW is een label dat aangeeft dat een bestand via internet is gedownload. Dat label wordt vervolgens gebruikt door beveiligingsfuncties om het automatisch uitvoeren van inhoud te beperken—denk aan mechanismen zoals Defender SmartScreen en Office Protected View.
Als MotW-beveiligingen worden omzeild, kunnen schadelijke bestanden makkelijker starten zonder dat gebruikerssystemen de verwachte waarschuwingen of beschermingsstappen activeren.
Hoe ziet het aanvalsscenario eruit?
Microsoft schetst dat een aanvaller in een phishing- of berichtendienstscenario een gebruiker een speciaal vervaardigd bestand kan aanbieden. Daarbij kan de kwetsbaarheid het pad openen richting het uitvoeren of verwerken van content, zonder dat de aanvaller de gebruiker dwingt om een inhoud te bekijken. In plaats daarvan draait het (zoals vaker bij dit soort issues) om het overtuigen van een gebruiker om een actie uit te voeren.
Belangrijk voor je response: omdat deze zero-day al misbruikt wordt, is de kans groter dat het onderwerp in campagnes terugkomt. Dat vraagt om snelle installatie en controle van endpoints die direct of indirect te maken kunnen krijgen met internetgedownloade bestanden.
Onderzoekers melden onafhankelijk; CISA zet het op KEV
De kwetsbaarheid is volgens Microsoft onafhankelijk gemeld door onderzoekers van Fujitsu, Anthropic en een onafhankelijke expert. Hoewel Microsoft geen details heeft gedeeld over concrete aanvallen, is bekend dat MotW-bypass-kwetsbaarheden vaak bruikbaar zijn in campagnes.
Daarnaast heeft CISA CVE-2026-96951 opgenomen in zijn KEV-catalog. CISA heeft daarbij federale organisaties aangespoord om de maatregel voor 16 oktober te hebben afgerond.
Andere nieuw gepatchte punten: WDAC-bypass en DoS
Naast de actief misbruikte zero-day zijn er ook twee andere kwetsbaarheden in deze Patch Tuesday-rondes die extra aandacht verdienen, omdat ze al openbaar zijn gemaakt of omdat ze een specifieke impact hebben.
CVE-2026-108398: WDAC-beleid omzeilen
CVE-2026-108398 maakt het mogelijk om Windows Defender Application Control (WDAC)-handhaving te omzeilen. Microsoft geeft aan dat het onwaarschijnlijk is dat deze kwetsbaarheid actief misbruikt wordt.
CVE-2026-92707: DoS in MessagePack-CSharp
De tweede is CVE-2026-92707, een Denial of Service-kwetsbaarheid in de MessagePack-CSharp component in Visual Studio en .NET. Microsoft heeft deze kwetsbaarheid niet beoordeeld op exploitability. Voor planning betekent dat: zet hem wel in je backlog, maar rangschik op basis van omgeving en risico.
Prioriteit bepalen met ‘risk cohorts’
Om klanten te helpen bij het kiezen van volgorde, introduceert Microsoft ‘risk cohorts’. Het idee: updates groeperen op basis van de manier waarop je ze in jouw organisatie moet beoordelen, ook al delen de CVE’s niet per se dezelfde root cause of dezelfde CVSS-score.
Microsoft omschrijft een risk cohort als een verzameling CVE’s die een vergelijkbare klantbeoordeling vragen. Tegelijkertijd benadrukt het bedrijf dat dit slechts een startpunt is: je moet elke CVE blijven bekijken op actieve exploitatie, ernst, aanvalvector, gebruikersinteractie en product-specifieke richtlijnen.
Als je dit praktisch vertaalt naar Patch Tuesday: combineer de ‘risk cohort’-indeling met jullie eigen signalen (bijvoorbeeld exposure van endpoints, aanwezigheid van kwetsbare producten en historische exploit-trends) en kies daarna de installatieronde.
Zo pak je Microsoft Patch Tuesday 1.413 fixes aan
Met zoveel CVE’s is de grootste uitdaging niet alleen installeren, maar ook goed prioriteren. Hieronder staat een werkwijze die past bij de aard van deze ronde.
- Start met de zero-day: behandel CVE-2026-96951 als topprioriteit, zeker als je endpoints Windows shell features blootstellen aan internetgedownloade bestanden.
- Inventariseer de betroffen productgroepen: kijk naar Windows, Office, SharePoint Server en developer tools, en filter daarna naar wat echt in jouw omgeving draait.
- Gebruik ‘risk cohorts’ als structuur: zet kwetsbaarheden in groepen voor beoordeling, maar beslis per CVE op basis van actieve exploitatie en jullie context.
- Plan voor hercontrole: na installatie is verificatie nodig—bijvoorbeeld dat de relevante componenten daadwerkelijk zijn bijgewerkt.
- Communiceer met gebruikers: omdat veel MotW-gerelateerde scenario’s rond gebruikersactie draaien, helpt duidelijke communicatie over wat wel en niet veilig is bij het openen van bestanden.
Wil je meer context over patchen en security updates in dezelfde realiteit van exploitatie, dan kan dit artikel je helpen om je aanpak te scherpen: Microsoft Patch Tuesday 1.413 fixes: wat je moet doen.
Waarom dit soort patchrondes extra aandacht vragen
Dat Microsoft in één ronde zoveel CVE’s oplost, onderstreept hoe snel het dreigingslandschap kan opschalen. De aanwezigheid van een actief misbruikte Windows zero-day maakt duidelijk dat tijdigheid cruciaal is: elke dag vertraging vergroot de kans dat aanvallers al voordeel halen uit omzeiling van beveiligingsmechanismen zoals MotW.
Ook het tempo in 2026—met een totaal boven 4.000 gefixeerde kwetsbaarheden tot nu toe—wijst erop dat security teams hun patchproces als doorlopend traject moeten zien: triage, release management, validatie en learnings.
Voor teams die hun risico’s rond platformen en integraties verder willen structureren, is het zinvol om patchen te koppelen aan de bredere beveiligingsvisie, bijvoorbeeld rond identiteits- en runtime-control. Als je daar dieper op wilt ingaan, bekijk dan ook AI-gedreven privilege escalatie stoppen met runtime identity.
Conclusie
Microsoft Patch Tuesday 1.413 fixes levert een enorme hoeveelheid security updates op: 1.413 CVE’s in totaal, met 1.102 Windows-issues en ook patches voor Office, SharePoint Server en developer tools. De echte prioriteit ligt bij de actief misbruikte Windows zero-day CVE-2026-96951, die Mark of the Web-beveiligingen helpt te ontwijken.
Door ‘risk cohorts’ te gebruiken voor de eerste ordening, maar per CVE te blijven beoordelen op exploitatie en context, kun je jouw patchplanning realistischer en effectiever maken. Start daarbij meteen met de zero-day en borg daarna verificatie, zodat je organisatie niet alleen update, maar ook veilig blijft.
