Kerngegevens
- Leverancier
- Microsoft
- Product
- Microsoft QUIC
- Soort software
- besturingssysteem
- Getroffen versies
- Microsoft QUIC Zie het advies van de leverancier
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Zie het advies van de leverancier
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 20 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Microsoft QUIC zit een fout in het geheugenbeheer, een zogeheten use-after-free. Het onderdeel gebruikt daarbij geheugen nadat het al is vrijgegeven. Een aanvaller zonder inloggegevens kan dit via het netwerk misbruiken om eigen code uit te voeren op het getroffen systeem.
Wie loopt risico?
Risico lopen systemen met Microsoft QUIC die via het netwerk bereikbaar zijn. Voor een aanval is geen inlog en geen actie van een gebruiker nodig. Uit de gegevens blijkt niet precies welke Windows-versies zijn getroffen. Er is geen aanwijzing dat het lek actief wordt misbruikt, en er is geen openbare exploit bekend.
Wat moet je doen?
Lees het advies van Microsoft
Bekijk de melding in de Microsoft Security Update Guide voor dit lek. Daar staat welke producten en versies zijn getroffen en welke update beschikbaar is.
Installeer de beveiligingsupdate
Werk je systemen bij met de update die Microsoft voor dit lek aanbiedt. Begin met systemen die vanaf internet of andere netwerken bereikbaar zijn.
Beperk blootstelling
Kun je nog niet direct bijwerken, beperk dan de toegang tot diensten die QUIC gebruiken, bijvoorbeeld met een firewall, en volg verder het advies van Microsoft.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een use-after-free (CWE-416) in Microsoft QUIC. Een geheugenobject wordt vrijgegeven, maar daarna wordt er nog naar verwezen en gebruikt. Een aanvaller kan dit misbruiken door via het netwerk speciaal opgestelde verkeer te sturen, waardoor hij code kan uitvoeren. De CVSS-vector (AV:N/AC:L/PR:N/UI:N) laat zien dat de aanval via het netwerk kan, laag in complexiteit is en geen rechten of gebruikersinteractie vereist. Het effect op vertrouwelijkheid, integriteit en beschikbaarheid is hoog.
CVSS-vector (versie 3.1, basisscore 9,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-416 · Gebruik van geheugen na vrijgave (use-after-free)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,0%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies