Kerngegevens
- Leverancier
- Microsoft
- Producten
- Windows 10 Version 1607
- Windows 10 Version 1809
- Windows 10 Version 21H2
- Windows 10 Version 22H2
- Windows 11 version 23H2
- Windows 11 Version 24H2
- Windows 11 Version 25H2
- Windows 11 version 26H1
- Windows Server 2012
- Windows Server 2012 (Server Core installation)
- Soort software
- besturingssysteem
- Getroffen versies
- Windows 10 1607 en Windows Server 2016 ouder dan 10.0.14393.9418
- Windows 10 1809 en Windows Server 2019 ouder dan 10.0.17763.9121
- Windows 10 21H2 ouder dan 10.0.19044.7663
- Windows 10 22H2 ouder dan 10.0.19045.7663
- Windows 11 23H2 ouder dan 10.0.22631.7517
- Windows 11 24H2 ouder dan 10.0.26100.9168
- Windows 11 25H2 ouder dan 10.0.26200.9168
- Windows 11 26H1 ouder dan 10.0.28000.2704
- Windows Server 2012 ouder dan 6.2.9200.26280
- Windows Server 2012 R2 ouder dan 6.3.9600.23338
- Windows Server 2022 ouder dan 10.0.20348.5499
- Windows Server 2025 ouder dan 10.0.26100.33296
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Windows 10 1607 en Windows Server 2016 10.0.14393.9418 (KB5120418)
- Windows 10 1809 en Windows Server 2019 10.0.17763.9121 (KB5120238)
- Windows 10 21H2 10.0.19044.7663 (KB5120249)
- Windows 10 22H2 10.0.19045.7663 (KB5120249)
- Windows 11 23H2 10.0.22631.7517 (KB5120240)
- Windows 11 24H2 10.0.26100.9168 (KB5121003)
- Windows 11 25H2 10.0.26200.9168 (KB5121003)
- Windows 11 26H1 10.0.28000.2704 (KB5121000)
- Windows Server 2012 6.2.9200.26280 (KB5120386)
- Windows Server 2012 R2 6.3.9600.23338 (KB5120385)
- Windows Server 2022 10.0.20348.5499 (KB5120242)
- Windows Server 2025 10.0.26100.33296 (KB5120233)
- CVE gepubliceerd
- 11 augustus 2026
- Op de KEV-lijst sinds
- 11 augustus 2026
- Gepubliceerd op LekkenRadar
- 26 oktober 2026
- Laatst gewijzigd bij NVD
- 26 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Windows zit een fout in de Ancillary Function Driver for WinSock, een onderdeel dat netwerkverbindingen afhandelt. Het gaat om een use-after-free: de driver gebruikt geheugen nog nadat dat al is vrijgegeven. Een aanvaller die al op het systeem kan inloggen, kan daarmee de hoogste rechten (SYSTEM) krijgen. Microsoft heeft misbruik vastgesteld en het lek staat sinds 11 augustus 2026 op de KEV-lijst van CISA.
Wie loopt risico?
Vrijwel alle ondersteunde Windows-versies zijn getroffen: Windows 10 (1607, 1809, 21H2 en 22H2), Windows 11 (23H2, 24H2, 25H2 en 26H1) en Windows Server 2012, 2012 R2, 2016, 2019, 2022 en 2025, zolang de update van augustus 2026 niet is geïnstalleerd. De aanvaller moet al lokaal kunnen inloggen met een gewoon account. Het lek wordt dus vooral gebruikt als tweede stap na een eerste inbraak, bijvoorbeeld via phishing, om de volledige controle over een werkplek of server te krijgen. Terminal servers en andere systemen waar veel gebruikers op inloggen, lopen extra risico.
Wat moet je doen?
Controleer je Windows-versie
Kijk welke Windows-versie en welk buildnummer je gebruikt, bijvoorbeeld via winver. Vergelijk dat met de opgeloste versies in dit bericht.
Installeer de beveiligingsupdate van Microsoft
Microsoft heeft een update uitgebracht. Installeer die via Windows Update. Welke update bij jouw versie hoort, staat in de Security Update Guide van Microsoft.
Controleer of je op een opgeloste build zit
Na de update moet je buildnummer minimaal gelijk zijn aan de opgeloste versie, bijvoorbeeld 10.0.19045.7663 voor Windows 10 22H2 of 10.0.26100.9168 voor Windows 11 24H2.
Beperk lokale toegang
Als je niet meteen kunt updaten, geef dan alleen vertrouwde gebruikers toegang tot de systemen en beperk het aantal accounts dat lokaal kan inloggen.
Let op tekenen van misbruik
Omdat het lek actief wordt misbruikt, is het verstandig om bij beheerde systemen te letten op ongebruikelijke activiteit en het advies van de leverancier te volgen.
Let op: Windows 11 23H2 krijgt sinds 11 november 2025 geen updates meer. Stap over naar Windows 11 26H2 (Home en Pro) of nieuwer. Bekijk bij Producten zonder updates
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in de Windows Ancillary Function Driver for WinSock (afd.sys) en is geclassificeerd als CWE-416, use-after-free. De driver blijft een verwijzing naar geheugen gebruiken nadat dat is vrijgegeven. Volgens Microsoft moet een aanvaller die lokaal is ingelogd een speciaal gemaakt programma draaien en daarbij een race condition winnen; daarom is de aanvalscomplexiteit hoog (AC:H). Bij succes krijgt de aanvaller SYSTEM-rechten. Er is lokale toegang met beperkte rechten nodig (AV:L, PR:L) en geen tussenkomst van een gebruiker. De CVSS 3.1-score van 7,0 komt van Microsoft (CNA). Microsoft meldt dat het lek actief wordt misbruikt; een publiek exploit is niet bekend.
CVSS-vector (versie 3.1, basisscore 7,0, bron: CNA)
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-416 · Use-after-free (gebruik van geheugen na vrijgave)
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,3%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 11 augustus 2026
- Deadline van CISA
- 25 augustus 2026
- Gebruikt door ransomwaregroepen
- Niet bekend