Kerngegevens
- Leverancier
- Microsoft
- Soort software
- besturingssysteem
- Getroffen versies
- Windows Internet Information Services Zie het advies van de leverancier
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Zie het advies van de leverancier
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 16 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Internet Information Services (IIS), de webserver van Windows, zit een fout waarbij een programma meer gegevens in het geheugen schrijft dan er ruimte voor is. Een aanvaller zonder inloggegevens kan dit via het netwerk misbruiken om eigen code uit te voeren op de server. Daardoor kan hij het systeem mogelijk volledig overnemen.
Wie loopt risico?
Je loopt risico als je een Windows-systeem beheert waarop IIS draait en dat via het netwerk bereikbaar is. Dat geldt vooral voor servers die vanaf internet te bereiken zijn. Er is geen inlog en geen handeling van een gebruiker nodig. In de gegevens staan geen aanwijzingen dat het lek actief wordt misbruikt of dat er publieke aanvalscode is.
Wat moet je doen?
Ga na waar je IIS gebruikt
Controleer welke Windows-systemen in jouw omgeving IIS draaien en welke daarvan via het netwerk of internet bereikbaar zijn.
Installeer de update van oktober 2026
Microsoft heeft dit lek opgelost in de beveiligingsupdates van Patch Tuesday oktober 2026. In de Security Update Guide (zie bronnen) staan de getroffen versies en KB-nummers. Begin met IIS-servers die vanaf internet bereikbaar zijn.
Beperk de blootstelling
Zorg dat IIS-servers alleen bereikbaar zijn voor wie dat nodig heeft, bijvoorbeeld via een firewall. Zet IIS uit op systemen waar je het niet gebruikt.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een stack-based bufferoverloop in Windows Internet Information Services. Door onvoldoende controle van invoer kan een aanvaller meer gegevens naar een buffer op de stack schrijven dan is gereserveerd. Dat kan het geheugen beschadigen en leiden tot het uitvoeren van willekeurige code. De aanval verloopt via het netwerk, vereist geen authenticatie en geen gebruikersinteractie. De CVSS-score is 9,8 (vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), met grote gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid.
CVSS-vector (versie 3.1, basisscore 9,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-20 · Onjuiste invoervalidatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,8%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies