Kerngegevens
- Leverancier
- Microsoft
- Product
- Network Policy Server (NPS)
- Soort software
- besturingssysteem
- Getroffen versies
- Network Policy Server (NPS) Zie het advies van de leverancier
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Zie het advies van de leverancier
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 16 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Network Policy Server (NPS) van Microsoft zit een rekenfout: een getal wordt zo klein dat het 'omslaat' naar een heel groot getal (integer underflow). Een aanvaller zonder inloggegevens kan hierdoor via het netwerk zelf code laten uitvoeren op het systeem waarop NPS draait. Het lek is op 13 oktober 2026 gepubliceerd en heeft een kritieke CVSS-score van 9,8.
Wie loopt risico?
Risico lopen vooral organisaties die Network Policy Server gebruiken op systemen die via het netwerk bereikbaar zijn. De aanvaller heeft geen account nodig en er is geen handeling van een gebruiker vereist. Volgens de gegevens wordt het lek niet actief misbruikt en is er geen publieke exploit bekend.
Wat moet je doen?
Ga na of je NPS gebruikt
Controleer welke systemen in jouw omgeving Network Policy Server (NPS) draaien en of die via het netwerk bereikbaar zijn.
Lees het advies van Microsoft
Bekijk de melding van Microsoft (MSRC) over CVE-2026-85806 voor de actuele informatie over getroffen versies en de oplossing.
Volg de aanwijzingen van Microsoft
Installeer de update of pas de maatregel toe die Microsoft in het advies beschrijft. In de beschikbare gegevens staat geen specifieke opgeloste versie.
Beperk de blootstelling
Zorg dat NPS alleen bereikbaar is voor systemen die het echt nodig hebben, bijvoorbeeld met firewallregels, en stel NPS niet bloot aan het internet.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een integer underflow (wrap-around) in Network Policy Server (NPS). Als een berekening onder de ondergrens van het getaltype uitkomt, slaat de waarde om naar een zeer hoge waarde. Dat kan leiden tot geheugenbeschadiging en uiteindelijk tot het uitvoeren van code. De CWE-indeling (CWE-121) wijst op een bufferoverloop op de stack. De CVSS-vector (AV:N/AC:L/PR:N/UI:N) laat zien dat de aanval via het netwerk kan, weinig complexiteit kent en geen rechten of gebruikersinteractie vereist. De impact op vertrouwelijkheid, integriteit en beschikbaarheid is hoog.
CVSS-vector (versie 3.1, basisscore 9,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-121 · Bufferoverloop op de stack
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,9%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies