Kerngegevens
- Leverancier
- Microsoft
- Product
- Microsoft Office Outlook
- Soort software
- besturingssysteem
- Getroffen versies
- Microsoft Office Outlook Zie het advies van de leverancier
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Zie het advies van de leverancier
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Microsoft Office Outlook zit een fout waarbij een programma te veel gegevens in een deel van het werkgeheugen (de heap) schrijft. Een aanvaller kan dit via het netwerk misbruiken, zonder eerst in te loggen. Daarmee kan die persoon zelf gekozen code uitvoeren op het systeem waarop Outlook draait.
Wie loopt risico?
Risico lopen mensen en organisaties die Microsoft Outlook gebruiken. Volgens de gegevens is de aanval mogelijk via het netwerk, zonder inloggegevens en zonder dat een gebruiker iets hoeft te doen. Of dit lek actief wordt misbruikt, is niet bekend: het staat niet op de lijst van actief misbruikte lekken en er is geen openbare exploit gemeld.
Wat moet je doen?
Bekijk het advies van Microsoft
Lees de melding van Microsoft over dit lek in de Security Update Guide (msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70291). Daar staat welke versies getroffen zijn en welke update bij jouw versie hoort.
Installeer de beschikbare update
Werk Outlook en Microsoft Office bij via de gebruikelijke updatefunctie van Microsoft.
Laat beheerders de updates uitrollen
Werk je in een organisatie, vraag dan na of de IT-afdeling de update al heeft getest en uitgerold op alle computers waarop Outlook staat.
Beperk blootstelling tot die tijd
Kun je nog niet bijwerken, volg dan het advies van Microsoft en beperk waar mogelijk de blootstelling van systemen met Outlook aan onbetrouwbaar netwerkverkeer.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een heap-based buffer overflow (CWE-122) in Microsoft Office Outlook. Bij het verwerken van gegevens wordt buiten de grenzen van een in de heap gereserveerde buffer geschreven, waardoor aangrenzend geheugen kan worden overschreven. Een niet-geauthenticeerde aanvaller kan dit via het netwerk uitbuiten om willekeurige code uit te voeren. De CVSS 3.1-vector (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) wijst op een aanval via het netwerk met lage complexiteit, zonder vereiste rechten en zonder gebruikersinteractie, met grote gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid. De ernst is kritiek met een score van 9,8.
CVSS-vector (versie 3.1, basisscore 9,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-122 · Bufferoverloop in de heap (heap-based buffer overflow)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,0%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies