Op de tweede dinsdag van de maand brengt Microsoft zijn beveiligingsupdates uit voor Windows, Office, Exchange, SQL Server en meer. Deze pagina legt uit hoe het werkt en wat de laatste ronde bracht.
Microsoft bundelt sinds oktober 2003 zijn beveiligingsfixes op één vaste dag per maand. Beheerders kunnen testen en uitrollen daardoor inplannen in plaats van op losse updates te reageren.
De updates verschijnen op de tweede dinsdag van de maand om 10:00 uur Pacific Time. In Nederland is dat meestal 19:00 uur. Bij ernstig misbruik komt Microsoft tussendoor met een noodpatch.
Cumulatieve updates voor Windows, plus fixes voor Office, Exchange, SharePoint, SQL Server, Azure en ontwikkeltools. Elke kwetsbaarheid krijgt een CVE-nummer en een ernstniveau.
Een indeling op basis van drie vragen: wordt het al misbruikt, acht Microsoft misbruik waarschijnlijk, en kan een aanvaller het zonder inloggen of zonder klik van de gebruiker raken? De volgorde is een advies; je eigen omgeving bepaalt wat bovenaan staat.
Gebaseerd op de exploitatie-inschatting van Microsoft zoals weergegeven door Tenable en de analyse van CrowdStrike. Beide analyses noemen geen tijdelijke workarounds en adviseren zo snel mogelijk te patchen.
Voor de tweede maand op rij meer dan duizend kwetsbaarheden, waarvan één al actief werd misbruikt.
De totalen lopen per bron uiteen, van 1.090 tot 1.252, omdat niet iedereen fixes voor Edge, Azure-diensten en componenten van derden meetelt.
Aanvallers gebruiken dit lek om Windows-inloggegevens (NTLM-hashes) buit te maken, die daarna inzetbaar zijn voor NTLM-relay-aanvallen. De ernstscore is bescheiden, maar omdat het lek al wordt misbruikt hoort deze patch bovenaan de lijst.
Aantal CVE's per productfamilie. Deze verdeling telt op tot 1.094.
| Onderdeel | Wat |
|---|---|
| Exchange Server | CVE-2026-118207, code-uitvoering op afstand, CVSS 8,8 |
| Outlook | Drie RCE-lekken (o.a. CVE-2026-110043), CVSS 8,8, te raken via het voorbeeldvenster |
| Hyper-V | Acht kritieke lekken voor rechtenverhoging |
| Message Queuing | Vijf kritieke RCE-lekken |
| Excel | Twaalf kritieke fixes |
| Defender | CVE-2026-122194, code-uitvoering op afstand |
Update KB5132061 voor Windows 11 26H2 en 25H2 laat clients standaard NTLM-berichtondertekening aanbieden bij niet-anonieme verbindingen.
KB5131087 is de laatste beveiligingsupdate voor Windows 11 23H2 Enterprise en Education. Wie daar nog op draait, moet upgraden.
Het aantal gepatchte lekken per maand is dit najaar fors gestegen. Onderzoekers wijzen op kwetsbaarheden die met AI-hulp worden gevonden; een evenredige stijging in actief misbruik is niet gezien.
Aantal gepatchte CVE's per maand. Augustus volgens SANS ISC, september en oktober volgens Action1, november volgens Tenable. Andere bronnen tellen anders.
Begin met zero-days en lekken die Microsoft als actief misbruikt of waarschijnlijk te misbruiken aanmerkt. Deze maand is dat de Outlook-patch.
Exchange, SharePoint en andere systemen die van buiten bereikbaar zijn komen daarna, gevolgd door kritieke lekken in Office en Hyper-V.
Rol uit in ringen: een testgroep, dan breed. Controleer na afloop welke machines de update missen en houd de bekende problemen van Microsoft in de gaten.
De KEV-catalogus van de Amerikaanse overheidsdienst CISA bevat alleen kwetsbaarheden waarvan misbruik is bevestigd. Staat een product dat je beheert op deze lijst, dan gaat die patch voor op al het andere, ongeacht de CVSS-score.
Gegevens worden geladen.
De deadline is de datum waarop Amerikaanse overheidsinstanties de patch verplicht geïnstalleerd moeten hebben. Voor anderen is het een bruikbare richtlijn. Beschrijvingen zijn in het Engels, zoals CISA ze publiceert.
Firewalls en VPN-gateways staan aan de rand van het netwerk en zijn daardoor een geliefd doelwit. Hier staan misbruikte lekken, NCSC-adviezen en nieuwe CVE's bij elkaar, gefilterd op netwerkleveranciers. Klik op een leverancier om alleen die te zien.
Gegevens worden geladen.
Gegevens worden geladen.
Gegevens worden geladen.
De leverancier blijft de definitieve bron voor getroffen versies en de juiste firmware.
Maak de beheerpagina en SSH van firewalls en switches nooit bereikbaar vanaf internet. Veel misbruikte lekken zitten precies daar.
Lekken in SSL-VPN en remote access worden vaak binnen dagen aangevallen. Patch die buiten het normale onderhoudsvenster.
Apparatuur zonder ondersteuning krijgt geen patches meer. Houd per apparaat de end-of-support-datum bij en plan vervanging op tijd.
Alle nieuw gepubliceerde kwetsbaarheden uit de Amerikaanse National Vulnerability Database, van alle leveranciers. Standaard zie je alleen de kritieke; pas het filter aan voor meer.
Gegevens worden geladen.
Scores komen van de melder of van NVD. Nieuwe CVE's hebben vaak nog geen score; die vind je onder "Alles, ook zonder score". Beschrijvingen zijn in het Engels.
Het Nationaal Cyber Security Centrum beoordeelt de belangrijkste kwetsbaarheden op kans en schade. Een advies met H/H vraagt om directe actie.
Gegevens worden geladen.
Het NCSC toont in zijn feed alleen de nieuwste adviezen. Deze site bewaart ze vanaf het eerste bezoek tot 120 dagen terug, dus de lijst groeit vanzelf aan.
De meeste grote leveranciers werken met een vast ritme. Noodpatches komen daar tussendoor.
| Leverancier | Vast moment |
|---|---|
| Microsoft | Tweede dinsdag van de maand |
| Adobe, SAP, Siemens | Doorgaans dezelfde tweede dinsdag |
| Fortinet | Maandelijkse adviezen, doorgaans op de tweede dinsdag |
| Palo Alto Networks | Doorgaans de tweede woensdag van de maand |
| Cisco IOS en IOS XE | Gebundeld, twee keer per jaar in maart en september; overige producten doorlopend |
| Juniper | Per kwartaal, in januari, april, juli en oktober |
| Oracle | Critical Patch Update per kwartaal, in januari, april, juli en oktober |
| Android | Maandelijks beveiligingsbulletin aan het begin van de maand |
| Chrome, Edge, Firefox | Elke paar weken een nieuwe versie; zet automatisch bijwerken aan |
Dit zijn gebruikelijke ritmes. Controleer de adviespagina van de leverancier voor de actuele planning.
Het unieke nummer van één kwetsbaarheid, bijvoorbeeld CVE-2026-124194. Leveranciers, scanners en adviezen verwijzen er allemaal naar.
Een score van 0 tot 10 voor de technische ernst. Vanaf 9,0 heet een lek kritiek, vanaf 7,0 hoog. De score zegt niets over de vraag of het lek ook wordt aangevallen.
De lijst van CISA met lekken waarvan misbruik is bevestigd. Een lek op deze lijst weegt zwaarder dan een hoge CVSS-score zonder misbruik.
Een kans tussen 0 en 100 procent dat een lek in de komende dertig dagen wordt misbruikt. Handig om een lange lijst te sorteren.
Een lek dat al werd misbruikt of openbaar was voordat er een patch bestond.
De beoordeling van het NCSC, bijvoorbeeld M/H: de kans op misbruik is gemiddeld, de schade bij misbruik hoog.
Een veelgebruikte indeling. Leg je eigen termijnen vast en houd je eraan.
Actief misbruikte lekken, en kritieke lekken in systemen die vanaf internet bereikbaar zijn: firewalls, VPN, mailservers, webservers.
Overige kritieke lekken en alles waarvan misbruik waarschijnlijk is. Ook NCSC-adviezen met kans hoog.
De rest, in het reguliere onderhoudsvenster. Wat je niet kunt patchen, scherm je af en leg je vast als geaccepteerd risico.
Kijk naar nieuwe actief misbruikte lekken en NCSC-adviezen met kans hoog. Vijf minuten is genoeg als je weet wat je in huis hebt.
Loop de kritieke CVE's na voor je eigen leveranciers en controleer welke systemen de laatste updates missen.
Werk de inventaris bij: welke hardware en software draait er, welke versie, en wanneer eindigt de ondersteuning.