Kerngegevens
- Leverancier
- Microsoft
- Soort software
- besturingssysteem
- Getroffen versies
- Active Directory Federation Services (AD FS) Zie het advies van de leverancier
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Zie het advies van de leverancier
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 20 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Active Directory Federation Services (AD FS) van Microsoft wordt een cryptografische handtekening niet goed gecontroleerd. Daardoor kan een aanvaller zonder inloggegevens zich via het netwerk voordoen als iemand anders (spoofing). Het lek heeft ernst kritiek, met een CVSS-score van 9,1.
Wie loopt risico?
Risico lopen organisaties die AD FS gebruiken om gebruikers in te laten loggen bij diensten. De aanval kan via het netwerk, zonder dat de aanvaller een account nodig heeft of dat een gebruiker iets hoeft te doen. In de gegevens staat geen informatie over actief misbruik of een openbaar beschikbare aanvalscode.
Wat moet je doen?
Controleer of je AD FS gebruikt
Ga na of er in jouw organisatie servers met AD FS draaien en welke diensten daarvan afhankelijk zijn.
Raadpleeg het advies van Microsoft
Bekijk de pagina van Microsoft over dit lek in de Security Update Guide (msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96252) voor de beschikbare oplossing.
Installeer de beveiligingsupdate
Pas de update toe die Microsoft voor dit lek aanbiedt.
Beperk de blootstelling
Zorg dat AD FS-servers alleen bereikbaar zijn waar dat nodig is, en houd het netwerkverkeer ernaartoe in de gaten tot de update is geïnstalleerd.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek betreft onjuiste verificatie van een cryptografische handtekening (CWE-347) in Active Directory Federation Services. Een niet-geautoriseerde aanvaller kan via het netwerk een vervalste of onjuist ondertekende gegevensstroom aanbieden die niet goed wordt gecontroleerd, waardoor spoofing mogelijk is. Volgens de CVSS-vector (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N) is de aanval vanaf het netwerk uit te voeren met lage complexiteit, zonder rechten en zonder gebruikersinteractie. De impact op vertrouwelijkheid en integriteit is hoog, op beschikbaarheid is er geen impact. De score is afkomstig van de CNA.
CVSS-vector (versie 3.1, basisscore 9,1, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N- Zwakheid (CWE)
- CWE-347 · Onjuiste verificatie van cryptografische handtekening
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,5%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies