Kerngegevens
- Leverancier
- Microsoft
- Product
- Network Policy Server (NPS)
- Soort software
- besturingssysteem
- Getroffen versies
- Network Policy Server (NPS) Zie het advies van de leverancier
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Zie het advies van de leverancier
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 16 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Network Policy Server (NPS) van Microsoft zit een fout in het geheugenbeheer, een zogeheten heap-bufferoverloop. Een aanvaller kan daardoor via het netwerk code laten uitvoeren op het getroffen systeem. Daarvoor is geen inlog en geen handeling van een gebruiker nodig. Het lek heeft ernst kritiek, met een score van 9,8.
Wie loopt risico?
Risico loopt iedereen die Network Policy Server van Microsoft gebruikt en waarvan de dienst via het netwerk bereikbaar is. Hoe makkelijker een aanvaller de dienst kan bereiken, hoe groter het risico. In de gegevens staat niet dat het lek actief wordt misbruikt en er is geen openbare exploit bekend.
Wat moet je doen?
Controleer of je NPS gebruikt
Ga na op welke servers Network Policy Server draait en wie die vanaf het netwerk kan bereiken.
Installeer de update van oktober 2026
Microsoft heeft dit lek opgelost in de beveiligingsupdates van Patch Tuesday oktober 2026. In de Security Update Guide (zie bronnen) staan de getroffen Windows Server-versies en de KB-nummers. Installeer de update op alle servers met NPS.
Beperk de blootstelling
Zorg dat alleen systemen die dat echt nodig hebben verbinding kunnen maken met de NPS-server, bijvoorbeeld met firewallregels. Stel de server niet bloot aan internet.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een heap-based buffer overflow (CWE-122) in Network Policy Server (NPS). Bij de verwerking van gegevens kan buiten de bedoelde geheugenbuffer op de heap worden geschreven. Een niet-geautoriseerde aanvaller kan dit via het netwerk misbruiken om code uit te voeren. De CVSS-vector (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) geeft aan dat de aanval over het netwerk kan, laag in complexiteit is en geen rechten of gebruikersinteractie vereist. Vertrouwelijkheid, integriteit en beschikbaarheid kunnen alle drie volledig worden aangetast.
CVSS-vector (versie 3.1, basisscore 9,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-122 · Heap-gebaseerde bufferoverloop
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,0%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies