Microsoft breekt opnieuw Patch Tuesday-record: 1.407 kwetsbaarheden in één maand

Microsoft heeft met de Patch Tuesday van oktober 2026 een nieuw en opmerkelijk record gevestigd. Maar liefst 1.407 kwetsbaarheden zijn deze maand verholpen. Daarmee wordt het vorige record van september, toen Microsoft 964 kwetsbaarheden adresseerde, alweer ruimschoots overtroffen. Een indrukwekkend aantal, maar tegelijkertijd een duidelijk signaal dat het beheren van kwetsbaarheden voor organisaties steeds uitdagender wordt.

Iedere tweede dinsdag van de maand publiceert Microsoft beveiligingsupdates voor zijn producten. Deze Patch Tuesday is voor IT- en securityteams een vast moment geworden om nieuwe kwetsbaarheden te beoordelen en noodzakelijke updates door te voeren. De afgelopen jaren zijn de aantallen kwetsbaarheden regelmatig toegenomen, maar wat we in 2026 zien, is uitzonderlijk.

In juli werden al 569 kwetsbaarheden verholpen, gevolgd door een recordaantal van 964 in september. Met de 1.407 kwetsbaarheden in oktober ligt de lat opnieuw aanzienlijk hoger. Voor de tweede maand op rij vestigt Microsoft daarmee een nieuw Patch Tuesday-record. De vraag is niet alleen hoe organisaties al deze updates moeten verwerken, maar vooral hoe zij kunnen bepalen welke kwetsbaarheden daadwerkelijk een risico vormen.

69 kritieke kwetsbaarheden en twee zero-days

Volgens onderzoek van Tenable bestaat de Patch Tuesday van oktober uit 69 kritieke kwetsbaarheden, 1.337 kwetsbaarheden met de classificatie Important en één kwetsbaarheid met een lage ernst. De updates hebben betrekking op maar liefst 301 verschillende producten en componenten.

Bijna 48 procent van de kwetsbaarheden betreft zogenoemde Elevation of Privilege-kwetsbaarheden. Hiermee kunnen aanvallers onder bepaalde omstandigheden hogere toegangsrechten verkrijgen binnen een systeem. Daarnaast heeft ruim 22 procent betrekking op Remote Code Execution (RCE), waarbij aanvallers mogelijk op afstand code kunnen uitvoeren.

Bijzonder zorgwekkend is dat Microsoft ook twee zero-daykwetsbaarheden heeft verholpen. Eén daarvan werd al actief misbruikt voordat de beveiligingsupdate beschikbaar kwam.

Het gaat om CVE-2026-96951, een kwetsbaarheid in Windows Shell met een CVSS-score van 8,8. Via social engineering kunnen aanvallers gebruikers verleiden een schadelijk bestand te openen. Daarbij kan de beveiligingsmaatregel Mark of the Web worden omzeild, waardoor een belangrijke beschermingslaag van Windows wordt gepasseerd.

De tweede kwetsbaarheid, CVE-2026-108398, bevindt zich in het .NET Framework. Deze kwetsbaarheid was al publiekelijk bekend voordat een patch beschikbaar kwam en kan worden gebruikt om Windows Defender Application Control (WDAC) te omzeilen.

Dat één van deze kwetsbaarheden daadwerkelijk werd misbruikt, onderstreept opnieuw hoe belangrijk het is om snel inzicht te hebben in de blootstelling van systemen aan actuele dreigingen.

Ook bedrijfskritische infrastructuur geraakt

De beveiligingsupdates beperken zich niet tot Windows-werkstations. Ook componenten die een belangrijke rol spelen binnen bedrijfsnetwerken worden geraakt. Zo zijn er kwetsbaarheden verholpen in onder andere Microsoft Exchange Server, Active Directory Domain Services, Windows Kernel, DNS Server, SQL Server en Microsoft Office.

Een opvallend voorbeeld is CVE-2026-70229, een kritieke kwetsbaarheid in Active Directory Domain Services. Onder bepaalde omstandigheden kan een aanvaller via speciaal geconstrueerd netwerkverkeer code uitvoeren op een kwetsbaar systeem.

Ook CVE-2026-70571 in Microsoft Exchange Server verdient aandacht. Deze kwetsbaarheid kan mogelijk worden misbruikt door een schadelijk e-mailbericht naar een kwetsbare Exchange-server te sturen, waarna verwerking van het bericht tot uitvoering van code kan leiden.

Voor organisaties zijn dit belangrijke aandachtspunten. Active Directory vormt immers vaak het hart van identiteits- en toegangsbeheer, terwijl Exchange nog altijd een belangrijke rol speelt binnen communicatie-infrastructuren.

Daar komt bij dat oktober 2026 ook het einde markeert van de Extended Security Updates voor Windows Server 2012 en 2012 R2. Organisaties die deze systemen nog gebruiken, moeten rekening houden met het feit dat er geen reguliere beveiligingsupdates meer beschikbaar komen.

1.407 kwetsbaarheden: waar begin je?

Het aantal kwetsbaarheden is indrukwekkend, maar misschien nog belangrijker is wat dit betekent voor de dagelijkse praktijk van IT- en securityteams. Het is simpelweg niet realistisch om iedere kwetsbaarheid met dezelfde urgentie te behandelen. Organisaties beheren vaak honderden of duizenden systemen, verspreid over on-premises infrastructuur, cloudomgevingen en hybride architecturen. Updates moeten worden beoordeeld, getest en uitgerold, terwijl de continuïteit van bedrijfsprocessen gewaarborgd moet blijven. Bovendien vertelt een hoge CVSS-score niet het volledige verhaal.

Een kwetsbaarheid met een kritieke score op een geïsoleerd systeem vormt mogelijk minder direct risico dan een lager beoordeelde kwetsbaarheid op een publiek toegankelijk systeem dat toegang biedt tot bedrijfskritische infrastructuur.

Daarom is het belangrijk om verder te kijken dan alleen de ernst van een kwetsbaarheid. Wordt deze al actief misbruikt? Is het betreffende systeem vanaf internet bereikbaar? Welke rechten zijn beschikbaar? En kan een aanvaller via deze kwetsbaarheid verder doordringen in de organisatie? Juist deze context bepaalt welke kwetsbaarheden als eerste aandacht verdienen.

Van Vulnerability Management naar Exposure Management

Deze recordbrekende Patch Tuesday laat opnieuw zien waarom traditioneel Vulnerability Management alleen niet meer voldoende is. Het identificeren van kwetsbaarheden is belangrijk, maar uiteindelijk gaat het om het daadwerkelijk verminderen van risico’s. Met Exposure Management kijken we daarom naar het volledige aanvalsoppervlak van een organisatie. Niet alleen naar bekende kwetsbaarheden, maar ook naar configuratiefouten, blootgestelde systemen, identiteiten en mogelijke aanvalspaden.

Door deze informatie te combineren met actuele dreigingsinformatie ontstaat een beter beeld van de risico’s die voor een specifieke organisatie daadwerkelijk relevant zijn. Dat maakt het mogelijk om gerichter te prioriteren. In plaats van IT-teams te confronteren met duizenden kwetsbaarheden, wordt duidelijk welke problemen als eerste moeten worden opgelost en waarom.

Daarbij is het belangrijk om na het installeren van updates opnieuw te controleren of de kwetsbaarheden daadwerkelijk zijn verholpen. Patchen is immers geen doel op zichzelf. Het doel is om de blootstelling aan cyberdreigingen aantoonbaar te verminderen.

Cybersecurity vraagt om continue aandacht

Met 1.407 kwetsbaarheden in één maand wordt opnieuw duidelijk hoe dynamisch het cybersecuritylandschap is. Tegelijkertijd betekent een recordaantal gepubliceerde kwetsbaarheden niet automatisch dat iedere organisatie ook daadwerkelijk aan 1.407 nieuwe risico’s wordt blootgesteld.

Dat hangt volledig af van de gebruikte technologie, de inrichting van systemen en de aanwezige beveiligingsmaatregelen.

Bij Access42 zien we Exposure Management daarom als een continu proces waarin inzicht, prioritering, validatie en opvolging centraal staan. Door dit te combineren met onze Managed Security- en SOC-dienstverlening kunnen organisaties niet alleen kwetsbaarheden identificeren, maar ook verdachte activiteiten detecteren en sneller reageren wanneer een risico daadwerkelijk wordt misbruikt.

De uitdaging zit uiteindelijk niet in het aantal kwetsbaarheden dat Microsoft iedere maand verhelpt. De uitdaging zit in het vermogen van organisaties om te begrijpen welke daarvan daadwerkelijk relevant zijn en daar tijdig naar te handelen. Want een organisatie wordt niet veiliger door simpelweg meer kwetsbaarheden te ontdekken, maar door de belangrijkste risico’s daadwerkelijk weg te nemen.

Wil je weten hoe jouw organisatie meer grip kan krijgen op kwetsbaarheden en het volledige aanvalsoppervlak? Access42 helpt met het inzichtelijk maken, prioriteren en beheersen van cyberrisico’s door middel van Exposure Management en Managed Security.

Bron: Tenable Research – Microsoft’s October 2026 Patch Tuesday addresses 1,407 CVEs