Kerngegevens
- Leverancier
- Microsoft
- Product
- Windows
- Soort software
- besturingssysteem
- Getroffen versies
- Windows Zie het advies van de leverancier
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Zie het advies van de leverancier
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Windows zit een fout in het onderdeel Rich Text Edit Control, dat wordt gebruikt om opgemaakte tekst te verwerken. Door deze fout kan een aanvaller via het netwerk eigen code laten uitvoeren op een kwetsbaar systeem. Daarvoor is geen inlog nodig. De ernst is kritiek, met een CVSS-score van 9,8.
Wie loopt risico?
Het lek betreft Windows, maar de gegevens noemen geen specifieke versies. Systemen die via het netwerk bereikbaar zijn, lopen in principe het meeste risico, omdat de aanvaller geen account nodig heeft. Er is geen aanwijzing dat het lek actief wordt misbruikt en er is geen publiek exploit bekend.
Wat moet je doen?
Bekijk het advies van Microsoft
Open de pagina van Microsoft over dit lek in de Update Guide (msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70096) en kijk welke Windows-versies zijn getroffen en welke update voor jouw systeem geldt.
Installeer de beschikbare update
Voer Windows Update uit en installeer de beveiligingsupdate die Microsoft voor dit lek aanbiedt. Start het systeem opnieuw op als daarom wordt gevraagd.
Beperk blootstelling via het netwerk
Kun je de update nog niet direct installeren, zorg dan dat kwetsbare systemen niet onnodig vanaf internet of andere onbetrouwbare netwerken bereikbaar zijn.
Controleer je beheerde systemen
Beheer je meerdere Windows-systemen, controleer dan of de update overal is geïnstalleerd, ook op servers en minder vaak gebruikte machines.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een heap-based bufferoverloop (CWE-122) in Windows Rich Text Edit Control. Bij het verwerken van speciaal opgebouwde invoer wordt er meer data naar een buffer op de heap geschreven dan er ruimte voor is. Hierdoor kan geheugen worden overschreven, wat kan leiden tot het uitvoeren van willekeurige code. De CVSS-vector (AV:N/AC:L/PR:N/UI:N) wijst op aanvallen via het netwerk, met lage complexiteit, zonder rechten en zonder tussenkomst van een gebruiker. De impact op vertrouwelijkheid, integriteit en beschikbaarheid is hoog.
CVSS-vector (versie 3.1, basisscore 9,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-122 · Heap-gebaseerde bufferoverloop
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,0%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies