Kerngegevens
- Leverancier
- Microsoft
- Product
- Windows
- Soort software
- besturingssysteem
- Getroffen versies
- Windows Zie het advies van de leverancier
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Zie het advies van de leverancier
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de iSCSI-functie van Windows zit een fout waarbij het systeem geheugen blijft gebruiken nadat het is vrijgegeven (use-after-free). Een aanvaller kan hier misbruik van maken om eigen code uit te voeren op het getroffen systeem. Dat kan via het netwerk, zonder dat de aanvaller hoeft in te loggen.
Wie loopt risico?
Je loopt vooral risico als je Windows-systemen gebruikt waarop iSCSI bereikbaar is via het netwerk. Voor misbruik is geen inlog en geen handeling van een gebruiker nodig. In de beschikbare gegevens staat niet welke Windows-versies precies getroffen zijn, dus controleer dat bij Microsoft.
Wat moet je doen?
Lees het advies van Microsoft
Bekijk de pagina van Microsoft over dit lek (zie de referentie) en ga na welke Windows-versies getroffen zijn en welke update daarbij hoort.
Controleer waar je iSCSI gebruikt
Ga na op welke Windows-systemen iSCSI in gebruik is en of die systemen bereikbaar zijn via het netwerk.
Installeer de updates van Microsoft
Volg het advies van Microsoft en installeer de beschikbare beveiligingsupdates zodra die voor jouw systemen beschikbaar zijn.
Beperk de blootstelling
Zorg dat systemen met iSCSI alleen bereikbaar zijn voor vertrouwde systemen en netwerken, en niet rechtstreeks vanaf internet.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een use-after-free (CWE-416) in de iSCSI-component van Windows. Een object in het geheugen wordt vrijgegeven, maar daarna alsnog gebruikt, waardoor een aanvaller het geheugengedrag kan beïnvloeden. De aanval verloopt via het netwerk, vereist geen voorafgaande authenticatie en geen gebruikersinteractie. Een geslaagde aanval kan leiden tot het uitvoeren van willekeurige code. De CVSS-vector (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) geeft een score van 9,8.
CVSS-vector (versie 3.1, basisscore 9,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-416 · Use-after-free (gebruik van geheugen na vrijgave)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,8%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies