Kerngegevens
- Leverancier
- Microsoft
- Product
- Microsoft QUIC
- Soort software
- besturingssysteem
- Getroffen versies
- Microsoft QUIC Zie het advies van de leverancier
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Zie het advies van de leverancier
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 16 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de QUIC-implementatie van Microsoft zit een fout waarbij een programma meer gegevens in het werkgeheugen (de heap) schrijft dan er ruimte voor is. Een aanvaller zonder inloggegevens kan hiermee via het netwerk code laten uitvoeren op het getroffen systeem. QUIC is een netwerkprotocol voor snelle en versleutelde verbindingen.
Wie loopt risico?
Risico lopen systemen waarop de Microsoft QUIC-onderdelen worden gebruikt en die via het netwerk bereikbaar zijn. De aanvaller heeft geen account en geen handeling van een gebruiker nodig. In de gegevens staat geen lijst met getroffen versies, dus welke systemen precies geraakt worden, kun je opzoeken in het advies van Microsoft. Er is geen aanwijzing dat het lek actief wordt misbruikt, en er is geen publiek exploit bekend.
Wat moet je doen?
Lees het advies van Microsoft
Bekijk de melding voor dit lek in de Microsoft Security Update Guide en ga na of jouw Windows-systemen of servers erdoor getroffen worden.
Installeer de beschikbare beveiligingsupdates
Volg het advies van Microsoft en installeer de update of patch die voor jouw systeem wordt aangeboden, bij voorkeur eerst op de systemen die vanaf internet bereikbaar zijn.
Beperk blootstelling van het netwerk
Zolang je nog niet kunt bijwerken, kun je de bereikbaarheid van diensten die QUIC gebruiken beperken, bijvoorbeeld met een firewall. Volg hiervoor de aanwijzingen van Microsoft.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een heap-based buffer overflow (CWE-122) in Microsoft QUIC. Bij het verwerken van netwerkverkeer wordt een buffer op de heap beschreven buiten de grenzen van de toegewezen ruimte. Dit kan geheugen beschadigen en leiden tot het uitvoeren van willekeurige code. De aanval verloopt over het netwerk, met lage complexiteit, zonder vereiste rechten en zonder gebruikersinteractie. De CVSS 3.1-score is 9,8 met vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
CVSS-vector (versie 3.1, basisscore 9,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-122 · Bufferoverloop op de heap (heap-based buffer overflow)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,0%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies