Kerngegevens
- Leverancier
- Microsoft
- Product
- Windows Text Shaping
- Soort software
- besturingssysteem
- Getroffen versies
- Windows Text Shaping Zie het advies van de leverancier
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Zie het advies van de leverancier
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 16 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Windows Text Shaping, het onderdeel dat tekst voor weergave opmaakt, zit een fout in het geheugenbeheer. Een aanvaller kan hierdoor meer gegevens naar een geheugengebied schrijven dan er past. Zo kan de aanvaller via het netwerk eigen code laten uitvoeren op het systeem. Daarvoor is geen inlog en geen handeling van de gebruiker nodig.
Wie loopt risico?
Het lek zit in Windows, dus in principe loop je risico als je een Windows-systeem gebruikt waarop dit onderdeel aanwezig is. Welke versies precies getroffen zijn, staat niet in de beschikbare gegevens. Het risico is het grootst als een systeem vanaf het netwerk of internet bereikbaar is. In de gegevens staat geen melding dat het lek actief wordt misbruikt.
Wat moet je doen?
Bekijk het advies van Microsoft
Open de pagina van Microsoft over dit lek (via de bronnen) en kijk welke Windows-versies getroffen zijn en welke update daarvoor beschikbaar is.
Installeer de beschikbare updates
Controleer Windows Update op jouw computers en servers en installeer de updates die Microsoft voor dit lek aanbiedt.
Beperk blootstelling via het netwerk
Zorg dat systemen die je niet direct kunt bijwerken niet onnodig vanaf internet of andere onbetrouwbare netwerken bereikbaar zijn, bijvoorbeeld met een firewall.
Controleer je beheerde systemen
Ga na welke Windows-systemen je beheert, ook servers, en controleer of ze de updates hebben gekregen.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een heap-gebaseerde bufferoverloop (CWE-122) in Windows Text Shaping. Bij het verwerken van invoer wordt buiten de grenzen van een buffer op de heap geschreven. Dat kan het geheugen beschadigen en leidt volgens de beschrijving tot uitvoering van willekeurige code. De aanval verloopt via het netwerk, met lage complexiteit, zonder vereiste rechten en zonder gebruikersinteractie. De CVSS 3.1-score is 9,8 (kritiek), met grote gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid.
CVSS-vector (versie 3.1, basisscore 9,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-122 · Heap-gebaseerde bufferoverloop
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,0%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies