Kerngegevens
- Leverancier
- Microsoft
- Product
- Windows
- Soort software
- besturingssysteem
- Getroffen versies
- Windows Zie het advies van de leverancier
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Zie het advies van de leverancier
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 16 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Windows zit een fout in Text Shaping, het onderdeel dat tekst verwerkt en opmaakt. Door die fout kan een aanvaller op afstand eigen code laten uitvoeren op een getroffen systeem. Daarvoor hoeft de aanvaller niet in te loggen en hoef jij niets aan te klikken of te openen.
Wie loopt risico?
Je loopt risico als je Windows gebruikt en het systeem via het netwerk bereikbaar is voor een aanvaller. Dat geldt voor zowel thuis- als bedrijfsomgevingen. Welke Windows-versies precies getroffen zijn, staat niet in de beschikbare gegevens. Er zijn in deze gegevens geen aanwijzingen dat het lek actief wordt misbruikt of dat er publieke aanvalscode bestaat.
Wat moet je doen?
Lees het advies van Microsoft
Bekijk de melding in de Microsoft Update Guide voor dit lek en ga na of jouw Windows-versie wordt genoemd.
Installeer beschikbare beveiligingsupdates
Controleer via Windows Update of er updates voor jouw systeem klaarstaan en installeer die volgens het advies van Microsoft.
Beperk blootstelling via het netwerk
Zorg dat systemen die je niet direct hoeft te bereiken vanaf internet of andere netwerken, worden afgeschermd, bijvoorbeeld met een firewall.
Let op belangrijke systemen
Geef servers en andere systemen die breed bereikbaar zijn voorrang bij het nalopen van het advies.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een heap-based bufferoverloop (CWE-122) in Windows Text Shaping. Bij het verwerken van gegevens wordt er meer data naar een buffer op de heap geschreven dan er past, waardoor aangrenzend geheugen wordt overschreven. Een aanvaller kan dit gebruiken om willekeurige code uit te voeren. De aanval verloopt via het netwerk, vereist geen voorafgaande rechten en geen handeling van een gebruiker. De CVSS 3.1-score is 9,8 (kritiek), met een grote impact op vertrouwelijkheid, integriteit en beschikbaarheid.
CVSS-vector (versie 3.1, basisscore 9,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-122 · Bufferoverloop in heap-geheugen
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,9%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies