Microsoft heeft tijdens de patchdinsdag van september maar liefst 974 kwetsbaarheden gedicht, het hoogste aantal in de geschiedenis van de maandelijkse patchronde, wat door meerdere securitybedrijven onafhankelijk van elkaar bevestigd word. Twee van die lekken werden al actief misbruikt voordat de update beschikbaar kwam, wat de update meteen tot verplichte kost maakt voor iedere Windows-beheerder. Het gros van de patches, 723 stuks, zit in Windows zelf. Office volgt met 111 gedichte kwetsbaarheden, gevolgd door SQL Server, Exchange en SharePoint.

De twee actief aangevallen lekken, CVE-2026-81963 in de Windows Update Stack en CVE-2026-85880 in Windows Advanced Local Procedure Call, laten een aanvaller die al ergens op het systeem voet aan de grond heeft zijn rechten verhogen naar SYSTEM. Vanaf dat niveau heeft een aanvaller feitelijk volledige controle. De kwetsbaarheden werden ontdekt door de beveiligingsbedrijven Volexity en Proofpoint, een externe onderzoeker bij Airbus Helicopters ism Microsofts eigen threat intelligence team.

Organisaties zouden deze twee patches voorrang moeten geven boven de rest van de lijst, simpelweg omdat actief misbruik al bevestigd is en de impact op elk endpoint hetzelfde blijft, van laptop tot serverpark.

Exchange, SharePoint en tientallen wormbare lekken

Naast de twee zero-days repareert Microsoft ook een kritiek lek in Exchange Server, CVE-2026-55007, waarmee een aanvaller zonder inloggegevens via een e-mail met besmette Visio-bijlage code op de server kan uitvoeren, zonder dat een gebruiker iets hoeft te doen. Microsoft schat misbruik als onwaarschijnlijk in, al is die inschatting bij eerdere Exchange-lekken achteraf regelmatig onjuist gebleken. Ook in SharePoint zitten meerdere lekken die remote code execution toelaten, en een los probleem in Remote Desktop Services maakt hetzelfde soort aanval mogelijk.

Opvallend is verder een groep van ruim twintig kwetsbaarheden, vooral in Windows DNS Server en DHCP Server, waarmee een computerworm zich zonder enige tussenkomst van een gebruiker door een netwerk kan verspreiden.

De meeste patches installeren zichzelf automatisch, maar bij servers die kritieke diensten draaien, zoals Exchange, SharePoint of domeincontrollers, loont het om de update deze week nog handmatig te forceren. Zelf denk ik dat we door de AI-tools die nu overal kwetsbaarheden opsporen, dit soort recordpatches wel vaker gaan zien. Wachten tot de volgende onderhoudsronde is bij een lijst die groter als ooit is, gewoonweg geen optie meer.

Meer via https://msrc.microsoft.com/update-guide/releaseNote/2026-Sep