De Fix Komt Via Datgene Wat Stukging

Microsofts Patch Tuesday van 8 september verhielp CVE-2026-81963, een rechtenescalatielek in de Windows Update Stack veroorzaakt door onjuiste link-resolutie, hetzelfde onderdeel dat elke beveiligingspatch aflevert op een Windows-machine. Een lokaal geauthenticeerde aanvaller die al toegang op laag niveau heeft, kan het zonder enige gebruikersinteractie misbruiken om volledige SYSTEM-rechten te krijgen. CISA bevestigde actief misbruik en voegde het lek op 8 september toe aan zijn Known Exploited Vulnerabilities-catalogus, met een hersteltermijn tot 22 september onder de Binding Operational Directive 26-04.

Sinds 2022 zijn zeven rechtenescalatiebugs in de Windows Update Stack verholpen op Patch Tuesday. CVE-2026-81963 is de eerste van die zeven die in het wild is misbruikt als zero-day, wat betekent dat aanvallers het al gebruikten voordat Microsofts fix bestond, niet erna. Microsoft geeft het een score van 7,8 op 10, Belangrijk in plaats van Kritiek, hetzelfde niveau dat wordt toegekend aan routinematige lokale rechtenescalatiebugs die nooit in de praktijk worden misbruikt.

Je Kunt Het Kanaal Dat Je Repareert Niet Isoleren

Bij de meeste misbruikte kwetsbaarheden heeft een beveiligingsteam een tijdelijke maatregel achter de hand terwijl een patch wordt getest: een functie uitschakelen, een poort blokkeren, een dienst isoleren. De Windows Update Stack laat die optie niet toe. Wie het aangevallen onderdeel uitschakelt of beperkt, schakelt daarmee ook het mechanisme uit dat een organisatie nodig heeft om precies deze fix te ontvangen, en elke volgende. Een team dat deze patch eerst op een langzamere ring wilde afwachten en testen, de normale werkwijze bij een beveiligingsupdate met onbekende neveneffecten, bracht die wachttijd door met het kwetsbare onderdeel draaiend zonder enige beschikbare isolatie.

Microsofts eigen onderdeel Windows Advanced Local Procedure Call, ALPC, bevatte in dezelfde release een tweede actief misbruikte zero-day, CVE-2026-85880, eveneens met een score van 7,8 en eveneens toegevoegd aan CISA's catalogus met dezelfde deadline van 22 september. Sinds 2022 zijn zestien ALPC-kwetsbaarheden verholpen, maar dit is de eerste in het wild misbruikte die in meer dan drie jaar, sinds april 2023, in een Patch Tuesday-release verschijnt. Twee structureel verschillende onderdelen, allebei dicht bij de eigen vertrouwensgrens van de machine, allebei tot wapen gemaakt voordat Microsofts fix iemand bereikte.

Wat Dit Betekent Voor Een Patchcyclus

Een leverancierslabel Belangrijk laat een patch doorgaans wachten achter werk met hogere prioriteit. CISA's opname van beide lekken in zijn Known Exploited Vulnerabilities-catalogus bestaat juist om dat instinct te doorbreken: KEV-vermeldingen worden opgebouwd uit bevestigd misbruik, niet uit de eigen triage van een leverancier, en de Binding Operational Directive 26-04 vraagt federale instanties, en dus impliciet elke organisatie die CISA-richtlijnen volgt voor de eigen patchprioritering, om een KEV-vermelding als urgent te behandelen ongeacht het toegekende CVSS-niveau.

Voor organisaties met gefaseerde uitrolringen is de Patch Tuesday van september het argument om de kloof tussen release en volledige uitrol juist te verkleinen voor alles wat de update-pijplijn zelf raakt, want een kwetsbaarheid in het mechanisme dat uiteindelijk je fix aflevert kun je je niet veroorloven ongepatcht te laten draaien terwijl je het op een testring beoordeelt. De praktische les is dezelfde die CISA's KEV-catalogus wil leren: de lijst met bevestigd misbruik rechtstreeks meenemen in patchprioriteitsbeslissingen, in plaats van te vertrouwen op het eigen ernstniveau van een leverancier om te weten wat kan wachten.

Servola Journal

Wij doen dit voor iedereen die probeert bij te houden wat technologie met ons leven doet. De mensen die het bouwen, en de mensen die het overkomt. Het Servola Journal bestaat zodat wat wij leren van hen allemaal is.

Niemand betaalt ons hiervoor. Geen advertenties, geen betaalmuur, gratis voor iedereen. Wij geloven gewoon dat begrijpen wat er met ons allemaal gebeurt niet mag afhangen van wie het zich kan veroorloven ervoor te betalen.

Als dit je vandaag iets heeft gebracht, laat het ons weten en zeg dat we door moeten gaan. Volg ons, laat een like achter of schrijf een positieve reactie. Wij lezen ze allemaal, en dat is wat ons op de been houdt.

Lees hierna: De helft van Chrome's zes zero-days uit 2026 trof dezelfde engine  |  Chrome's Volgende Zero-Day Gaat naar Brussel