Nieuwsbrief

Elke week de belangrijkste lekken in je mail.

CVE-2026-32202

Windows Shell: map openen lekt NTLM-hash naar aanvaller, actief misbruikt

Middel4,3Actief misbruikt sinds 28 apr 2026
Door Jelmer SchoutenBijgewerkt op CVSS 3.1 · bron: CNA

Kerngegevens

Leverancier
Microsoft
Soort software
besturingssysteem
Getroffen versies
Windows 10 Version 1607 vanaf 10.0.14393.0 tot 10.0.14393.9339
Windows 10 Version 1809 vanaf 10.0.17763.0 tot 10.0.17763.9020
Windows 10 Version 21H2 vanaf 10.0.19044.0 tot 10.0.19044.7548
Windows 10 Version 22H2 vanaf 10.0.19045.0 tot 10.0.19045.7548
Windows 11 version 23H2 vanaf 10.0.22631.0 tot 10.0.22631.7376
Windows 11 Version 24H2 vanaf 10.0.26100.0 tot 10.0.26100.8875
Windows 11 Version 25H2 vanaf 10.0.26200.0 tot 10.0.26200.8875
Windows 11 version 26H1 vanaf 10.0.28000.0 tot 10.0.28000.2525
Windows Server 2012 vanaf 6.2.9200.0 tot 6.2.9200.26226
Windows Server 2012 R2 vanaf 6.3.9600.0 tot 6.3.9600.23291
Windows Server 2016 vanaf 10.0.14393.0 tot 10.0.14393.9339
Windows Server 2019 vanaf 10.0.17763.0 tot 10.0.17763.9020
Windows Server 2022 vanaf 10.0.20348.0 tot 10.0.20348.5386
Windows Server 2025 vanaf 10.0.26100.0 tot 10.0.26100.33158
Oplossing
Update beschikbaar
Opgeloste versie
Windows 10 Version 1607 10.0.14393.9339
Windows 10 Version 1809 10.0.17763.9020
Windows 10 Version 21H2 10.0.19044.7548
Windows 10 Version 22H2 10.0.19045.7548
Windows 11 version 23H2 10.0.22631.7376
Windows 11 Version 24H2 10.0.26100.8875
Windows 11 Version 25H2 10.0.26200.8875
Windows 11 version 26H1 10.0.28000.2525
Windows Server 2012 6.2.9200.26226
Windows Server 2012 R2 6.3.9600.23291
Windows Server 2016 10.0.14393.9339
Windows Server 2019 10.0.17763.9020
Windows Server 2022 10.0.20348.5386
Windows Server 2025 10.0.26100.33158
CVE gepubliceerd
14 april 2026
Op de KEV-lijst sinds
28 april 2026
Gepubliceerd op LekkenRadar
26 oktober 2026
Laatst gewijzigd bij NVD
26 oktober 2026
Teams(opent in een nieuw venster)LinkedIn(opent in een nieuw venster)E-mail

Simpel uitgelegd

Wat is er aan de hand?

Door een fout in Windows Shell kan alleen al het openen van een map met een kwaadaardige snelkoppeling ervoor zorgen dat Windows contact maakt met de server van een aanvaller. Daarbij stuurt Windows automatisch een versleutelde vorm van je inloggegevens (de NTLM-hash) mee. Een aanvaller kan die gebruiken om zich als jou voor te doen op andere systemen of om je wachtwoord te kraken. Het lek is een onvolledige reparatie van een eerder lek dat door de Russische groep APT28 werd misbruikt, en staat sinds 28 april 2026 op de KEV-lijst van CISA.

Wie loopt risico?

Getroffen zijn Windows 10, Windows 11 en Windows Server 2012 tot en met 2025 zonder de update van april 2026. De gebruiker hoeft de snelkoppeling niet te openen: het tonen van de map waarin die staat, bijvoorbeeld de map Downloads, is genoeg. De ernstscore is middel, maar in een bedrijfsnetwerk kan een buitgemaakte NTLM-hash leiden tot toegang tot andere systemen. Organisaties die uitgaand SMB-verkeer naar internet niet blokkeren, lopen het meeste risico.

Wat moet je doen?

  1. Installeer de Windows-update van april 2026 of later

    Installeer via Windows Update minimaal de update van april 2026. Controleer of het buildnummer gelijk is aan of hoger dan de opgeloste versie in de tabel, bijvoorbeeld 10.0.26100.8875 voor Windows 11 24H2 of 10.0.20348.5386 voor Windows Server 2022.

  2. Blokkeer uitgaand SMB-verkeer naar internet

    Blokkeer uitgaand verkeer op poort 445 (SMB) naar internet in je firewall. Dan kan een kwaadaardige snelkoppeling geen verbinding met de server van een aanvaller maken.

  3. Beperk NTLM waar mogelijk

    Overweeg NTLM-verkeer naar externe servers te beperken via groepsbeleid en schakel SMB-signing in, zodat buitgemaakte hashes minder bruikbaar zijn voor relay-aanvallen.

  4. Let op verdachte snelkoppelingen

    Wees voorzichtig met gedownloade ZIP-bestanden en LNK-bestanden van onbekende afzenders. Controleer bij een vermoeden van misbruik of er inlogpogingen zijn vanaf onbekende systemen.

Let op: Windows 11 23H2 krijgt sinds 11 november 2025 geen updates meer. Stap over naar Windows 11 26H2 (Home en Pro) of nieuwer. Bekijk bij Producten zonder updates

Deel dit lek

Teams(opent in een nieuw venster)LinkedIn(opent in een nieuw venster)E-mail
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen

Beschrijving

Het lek valt onder CWE-693, een falend beveiligingsmechanisme in Windows Shell, en is door Microsoft aangeduid als spoofing. Het is een onvolledige oplossing van CVE-2026-21510, dat samen met CVE-2026-21513 door APT28 werd misbruikt met kwaadaardige snelkoppelingen (LNK-bestanden). De updates van februari 2026 stopten de code-uitvoering, maar niet dat Windows contact legt met de server van de aanvaller. Wanneer Verkenner een map met zo'n LNK-bestand toont en het pictogram probeert op te halen, start Windows een SMB-verbinding en stuurt automatisch de Net-NTLMv2-hash van de gebruiker mee. Die hash kan worden gebruikt voor NTLM-relay of offline kraken. De CVSS 3.1-vector is AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N (4,3, toegekend door Microsoft). Microsoft bracht de oplossing uit op 14 april 2026.

CVSS-vector (versie 3.1, basisscore 4,3, bron: CNA)

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N
Zwakheid (CWE)
CWE-693 · Falend beveiligingsmechanisme
Aanvalsroute
Via het netwerk of internet
EPSS, kans op misbruik binnen 30 dagen
70,9%
Aanvalscode openbaar
Ja
Op de KEV-lijst van CISA
Sinds 28 april 2026
Deadline van CISA
12 mei 2026
Gebruikt door ransomwaregroepen
Niet bekend

Bronnen

Gerelateerde lekken