Kerngegevens
- Leverancier
- Microsoft
- Product
- Windows iSCSI
- Soort software
- besturingssysteem
- Getroffen versies
- Windows iSCSI Zie het advies van de leverancier
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Zie het advies van de leverancier
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 16 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In het iSCSI-onderdeel van Windows zit een fout waarbij het geheugen niet goed bewaakt wordt (een heap-bufferoverloop). Een aanvaller die niet is ingelogd, kan hierdoor via het netwerk eigen code laten uitvoeren op het getroffen systeem. De ernst is kritiek (9,8): de aanval is volgens de beoordeling eenvoudig uit te voeren en vraagt geen handeling van een gebruiker.
Wie loopt risico?
Risico loopt vooral wie Windows-systemen heeft waarop het iSCSI-onderdeel bereikbaar is via het netwerk. Welke Windows-versies precies getroffen zijn, staat niet in de beschikbare gegevens. Controleer dat in het advies van Microsoft. In de gegevens is geen actief misbruik of publiek beschikbare aanvalscode vermeld.
Wat moet je doen?
Lees het advies van Microsoft
Bekijk de pagina van Microsoft over dit lek in de Update Guide. Daar zie je welke Windows-versies getroffen zijn en welke update daarvoor bedoeld is.
Ga na waar je iSCSI gebruikt
Controleer welke Windows-systemen in jouw omgeving iSCSI gebruiken of aanbieden en of die systemen via het netwerk bereikbaar zijn.
Installeer de updates van Microsoft
Werk de getroffen systemen bij met de beveiligingsupdates die Microsoft voor dit lek uitbrengt. Begin met systemen die vanaf andere netwerken bereikbaar zijn.
Beperk de blootstelling
Zorg dat alleen systemen die dat echt nodig hebben, bij de iSCSI-functie kunnen komen. Houd deze dienst bij voorkeur af van internet en onbetrouwbare netwerken, zeker zolang je nog niet hebt bijgewerkt.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een heap-based buffer overflow (CWE-122) in de iSCSI-functionaliteit van Windows. Bij verwerking van invoer kan data buiten de bedoelde geheugenbuffer op de heap worden geschreven. Daardoor kan een aanvaller geheugen overschrijven en uiteindelijk code uitvoeren. De aanvalsroute is het netwerk, zonder authenticatie en zonder gebruikersinteractie. De CVSS 3.1-vector is AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, met een score van 9,8.
CVSS-vector (versie 3.1, basisscore 9,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-122 · Bufferoverloop op de heap
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,8%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies