Wie dacht dat de beveiligingsupdate van september met 972 gedichte kwetsbaarheden een uitschieter was, komt bedrogen uit. De Patch Tuesday van oktober 2026 is nog een stuk omvangrijker. Het Zero Day Initiative meldt voor oktober 1.415 nieuwe CVE's. Daarmee stijgt het aantal in één maand met bijna 46 procent. Het is de eerste Microsoft-patchronde ooit waarin het aantal nieuwe CVE's uit vier cijfers bestaat. Sterker nog: het aantal kwetsbaarheden dat Microsoft deze maand verwerkt, ligt hoger dan het totaal van sommige complete voorgaande jaren.
CVE staat voor Common Vulnerabilities and Exposures. Het is een internationaal systeem waarin bekende beveiligingslekken een eigen nummer krijgen. Zo kunnen softwaremakers en beveiligingsonderzoekers precies aangeven over welke kwetsbaarheid ze het hebben.
85 kritieke beveiligingslekken in oktober
Alleen naar het recordaantal kijken zegt nog niet hoe gevaarlijk deze update is. Van de 1.415 kwetsbaarheden merkt Microsoft er volgens ZDI en Cisco Talos 85 aan als kritiek. Bij 67 daarvan gaat het om lekken waarmee op afstand code kan worden uitgevoerd. Een aanvaller kan daarbij in bepaalde omstandigheden opdrachten of software uitvoeren op een kwetsbaar systeem.
Onder de kwetsbaarheden zitten onder meer ernstige problemen in Windows-onderdelen en in programma's als Word, Excel en Outlook. Verschillende lekken hebben een CVSS-score van 9,8 op een schaal van 10. Dat betekent niet automatisch dat ze eenvoudig of waarschijnlijk worden misbruikt, maar wel dat de mogelijke gevolgen groot kunnen zijn.
Daar staat tegenover dat Microsoft op dit moment van slechts één zero-daylek weet dat aanvallers die al actief misbruiken. Het gaat om CVE-2026-96951, een probleem in Windows Shell. Daarmee kan een aanvaller een beveiligingsfunctie van Windows omzeilen die normaal helpt waarschuwen bij bestanden die van internet afkomstig zijn. Microsoft heeft het lek een CVSS-score van 8,8 gegeven.
Daarnaast waren twee andere kwetsbaarheden al openbaar voordat Microsoft er deze week een oplossing voor uitbracht. Voor zover bekend worden die nog niet actief aangevallen.
CVSS staat voor Common Vulnerability Scoring System. Het is een schaal van 0 tot 10 die aangeeft hoe ernstig een beveiligingslek kan zijn. Hoe hoger de score, hoe groter de mogelijke impact. Een hoge score betekent niet automatisch dat een lek ook daadwerkelijk wordt misbruikt.
Record van september houdt maar één maand stand
De aantallen vallen vooral op wanneer je ze naast die van de afgelopen maanden zet. In april telde ZDI 163 nieuwe kwetsbaarheden, in mei 138 en in juni 208. Daarna ging het ineens hard: 621 in juli, 398 in augustus en 972 in september. Met 1.415 in oktober wordt dat record dus alweer ruimschoots verbroken.
De sterke stijging betekent overigens niet automatisch dat Microsoft-software in een paar maanden tijd veel onveiliger is geworden. Er worden vooral veel meer kwetsbaarheden gevonden en geregistreerd. En daarbij speelt AI een steeds grotere rol.
Microsoft gebruikt zelf AI-systemen om software op zwakke plekken te onderzoeken. Zoals we vorige maand al schreven, zet het bedrijf daarvoor onder meer MDASH in. Binnen dat systeem werken meerdere AI-modellen en meer dan honderd gespecialiseerde AI-agenten samen om verdachte code te vinden, te onderzoeken en vervolgens vast te stellen of een gevonden probleem daadwerkelijk misbruikt kan worden.
Microsoft koppelt de sterk stijgende hoeveelheid gevonden beveiligingsproblemen zelf mede aan het gebruik van AI bij het opsporen van kwetsbaarheden. Ook andere beveiligingsonderzoekers zien de ongewoon grote aantallen als onderdeel van die ontwikkeling.
AI zorgt voor meer gevonden lekken én meer haast
Dat heeft een opvallend gevolg. AI helpt softwaremakers meer problemen te vinden voordat kwaadwillenden dat doen, maar dezelfde technologie kan aanvallers helpen om bekende kwetsbaarheden sneller te analyseren en er aanvallen voor te ontwikkelen.
Daarom waarschuwde Microsoft eerder al dat het oude idee van 'ik installeer die beveiligingsupdate over een paar weken wel' steeds minder goed past bij de huidige situatie. Het bedrijf adviseert beveiligingsupdates binnen enkele dagen te installeren.
De oktober-update onderstreept dat advies. Van de meer dan 1.400 gedichte kwetsbaarheden wordt er weliswaar voor zover bekend maar één actief misbruikt, maar zodra Microsoft informatie over een lek en de bijbehorende oplossing publiceert, weten aanvallers ook waar ze moeten zoeken.
Voor thuisgebruikers verandert het praktische advies daarom niet. Laat Windows Update ingeschakeld en installeer Windows-beveiligingsupdates zodra ze beschikbaar zijn. Stel ook een gevraagde herstart niet dagenlang uit. Je controleert dit in Windows 11 via Instellingen > Windows Update > Naar updates zoeken. Verschijnt een Windows-update niet of loopt Windows Update vast? Dan zijn daar verschillende mogelijke oorzaken voor.
Meer gevonden kwetsbaarheden betekent niet per se een onveiliger Windows
Een record van 1.415 kwetsbaarheden klinkt alarmerend, maar het getal vertelt twee verhalen tegelijk. Microsoft heeft veel beveiligingsproblemen om op te lossen, maar het bedrijf en externe onderzoekers zijn tegelijkertijd in staat om die problemen op veel grotere schaal op te sporen.
Dat septemberrecord van 972 kwetsbaarheden bleek uiteindelijk dus geen recordjaar, maar slechts een recordmaand. Eén maand later ligt de lat alweer bijna de helft hoger. Als de opmars van AI bij beveiligingsonderzoek doorzet, is de vraag inmiddels niet zozeer óf Microsoft opnieuw zo'n enorme Patch Tuesday krijgt, maar hoe vaak we aantallen van meer dan duizend kwetsbaarheden gaan zien.
Microsoft heeft tijdens Patch Tuesday van oktober 2026 ruim 1.400 beveiligingslekken gedicht in Windows en andere Microsoft-software. Volgens het Zero Day Initiative gaat het om 1.415 CVE's, waarvan 85 als kritiek gelden. Eén zero-daylek wordt al actief misbruikt. Gebruik je Windows 11, installeer de beveiligingsupdate dan zo snel mogelijk via Instellingen > Windows Update > Naar updates zoeken.
