Microsoft heeft 114 kwetsbaarheden verholpen in diverse Office producten. Een kwaadwillende kan de kwetsbaarheden misbruiken om aanvallen uit te voeren die kunnen leiden tot de categorieën schade, zoals genoemd in onderstaande tabel.
Voor succesvol misbruik moet de kwaadwillende het slachtoffer misleiden een malafide bestand te openen of link te volgen.
Microsoft heeft voor Office 114 kwetsbaarheden verholpen. De 4 ernstigste kwetsbaarheden bevinden zich in meerdere Office componenten en hebben een CVSS score van 9.8 toegewezen gekregen. Kwaadwillenden met toegang tot deze componenten kunnen zonder voorafgaande authenticatie mogelijk code uitvoeren of zich toegang verschaffen tot het kwetsbare systeem. Deze kwetsbaarheden zijn in onderstaande tabel weergegeven.
De overige 110 kwetsbaarheden variëren in ernst van middelmatig tot hoog en kritiek. Raapleeg het MSRC-portaal voor aanvullende informatie.
```
|----------------|------|---------------------------|-------------------------------------|
| CVE-ID | CVSS | Component | Impact |
|----------------|------|---------------------------|-------------------------------------|
| CVE-2026-78505 | 9,80 | Office | Uitvoeren van willekeurige code |
|----------------|------|---------------------------|-------------------------------------|
| CVE-2026-78509 | 9,80 | Outlook | Uitvoeren van willekeurige code |
|----------------|------|---------------------------|-------------------------------------|
| CVE-2026-78510 | 9,80 | Outlook | Uitvoeren van willekeurige code |
|----------------|------|---------------------------|-------------------------------------|
| CVE-2026-66302 | 9,80 | SKYPE | Uitvoeren van willekeurige code |
|----------------|------|---------------------------|-------------------------------------|
```
Microsoft heeft 15 kwetsbaarheden verholpen in diverse Developer Tools. Een kwaadwillende kan de kwetsbaarheden misbruiken om aanvallen uit te voeren die kunnen leiden tot de categorieën schade zoals benoemd in onderstaande tabel.
De ernstigste kwetsbaarheid met kenmerk CVE-2026-81376 heeft een CVSS-score van 9,6. Een kwaadwillende misbruiken door een gebruiker ertoe te verleiden een speciaal geprepareerde Visual Studio Code-workspace te openen. Hiermee kunnen de Workspace Trust-beperkingen worden omzeild, waardoor inhoud uit een niet-vertrouwde workspace opdrachten of code kan uitvoeren zonder dat de gebruiker hiervoor eerst toestemming geeft. Hierdoor kan de kwaadwillende toegang krijgen tot lokale gegevens of code uitvoeren met de rechten van de gebruiker.
Voor succesvol misbruik moet de kwaadwillende het slachtoffer misleiden een malafide broncodebestand te importeren en verwerken.
```
.NET:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-58649 | 6,50 | Toegang tot gevoelige gegevens |
|----------------|------|-------------------------------------|
GitHub Copilot and Visual Studio Code:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-81380 | 5,30 | Toegang tot gevoelige gegevens |
| CVE-2026-81381 | 6,50 | Toegang tot gevoelige gegevens |
|----------------|------|-------------------------------------|
Visual Studio Code:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-70334 | 7,80 | Omzeilen van beveiligingsmaatregel |
| CVE-2026-78461 | 7,40 | Omzeilen van beveiligingsmaatregel |
| CVE-2026-78462 | 8,80 | Omzeilen van beveiligingsmaatregel |
| CVE-2026-81356 | 8,20 | Omzeilen van beveiligingsmaatregel |
| CVE-2026-81357 | 8,20 | Omzeilen van beveiligingsmaatregel |
| CVE-2026-81376 | 9,60 | Omzeilen van beveiligingsmaatregel |
| CVE-2026-81377 | 6,50 | |
| CVE-2026-81378 | 8,20 | Omzeilen van beveiligingsmaatregel |
| CVE-2026-81379 | 8,20 | Omzeilen van beveiligingsmaatregel |
| CVE-2026-81383 | 7,40 | Toegang tot gevoelige gegevens |
|----------------|------|-------------------------------------|
ASP.NET Core:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-57099 | 7,50 | Denial-of-Service |
| CVE-2026-69304 | 5,90 | Denial-of-Service |
|----------------|------|-------------------------------------|
------------------- Productgroep Apps ---------------------------------
All CVE's for this product group:
CVE-2026-58611, CVE-2026-80097
Microsoft Authenticator:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-80097 | 8,60 | Verkrijgen van verhoogde rechten |
|----------------|------|-------------------------------------|
XBox Gaming Services:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-58611 | 7,80 | Verkrijgen van verhoogde rechten |
|----------------|------|-------------------------------------|
```
Microsoft heeft 9 kwetsbaarheden verholpen in Exchange Server.
Een kwaadwillende kan de kwetsbaarheden misbruiken om een Denial-of-Service uit te voeren, zich voor te doen als andere gebruiker, zich verhoogde rechten toe te kennen, willekeurige code uit te voeren en/of toegang te krijgen tot gevoelige gegevens.
De ernstigste kwetsbaarheid met kenmerk CVE-2026-69380 heeft een CVSS-score van 9,9 en betreft een autorisatiekwetsbaarheid. Een geauthenticeerde kwaadwillende met beperkte rechten en een toegewezen mailbox kan via het netwerk zijn rechten verhogen en zich voordoen als andere gebruikers. Hierdoor kan de kwaadwillende mailboxen van Exchange-gebruikers overnemen, e-mails lezen en verzenden en bijlagen downloaden.
De kwetsbaarheid met kenmerk CVE-2026-69356 heeft een CVSS-score van 9,3 en betreft een XSS-kwetsbaarheid. Een ongeauthenticeerde kwaadwillende kan een speciaal geprepareerde agenda-uitnodiging versturen. Als een gebruiker de vergaderlink opent, kan de kwaadwillende scripts uitvoeren binnen de Outlook on the Web-sessie en mailboxgegevens inzien of wijzigen.
De kwetsbaarheid met kenmerk CVE-2026-69641 heeft een CVSS-score van 9,1 en betreft een autorisatiekwetsbaarheid. Een geauthenticeerde kwaadwillende met zeer hoge rechten kan via een speciaal geprepareerd verzoek mailboxautorisatiecontroles omzeilen en toegang krijgen tot de mailbox van andere gebruikers. Hierdoor kan de kwaadwillende mailboxen overnemen, e-mails lezen en verzenden en bijlagen downloaden.
```
Microsoft Exchange Server:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-55007 | 8,10 | Uitvoeren van willekeurige code |
| CVE-2026-69355 | 8,80 | Uitvoeren van willekeurige code |
| CVE-2026-69356 | 9,30 | Voordoen als andere gebruiker |
| CVE-2026-69361 | 6,50 | Voordoen als andere gebruiker |
| CVE-2026-69375 | 6,50 | Tampering |
| CVE-2026-69378 | 7,50 | Denial-of-Service |
| CVE-2026-69380 | 9,90 | Verkrijgen van verhoogde rechten |
| CVE-2026-69382 | 5,90 | Toegang tot gevoelige gegevens |
| CVE-2026-69641 | 9,10 | Verkrijgen van verhoogde rechten |
|----------------|------|-------------------------------------|
```
Microsoft heeft 2 kwetsbaarheden verholpen in Dynamics, zowel online als on-premise. De kwetsbaarheden stellen een kwaadwillende in staat om zich verhoogde rechten toe te kennen, willekeurige code uit te voeren en/of toegang te krijgen tot gevoelige gegevens.
```
Microsoft Dynamics 365:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-65772 | 8,80 | Uitvoeren van willekeurige code |
|----------------|------|-------------------------------------|
Power Automate:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-77897 | 7,00 | Verkrijgen van verhoogde rechten |
|----------------|------|-------------------------------------|
```
Microsoft heeft 4 kwetsbaarheden verholpen in diverse Azure componenten. Een kwaadwillende kan de kwetsbaarheden misbruiken om aanvallen uit te voeren die kunnen leiden tot de categorieën schade, zoals genoemd in onderstaande tabel.
De kwetsbaarheid met kenmerk CVE-2026-69854 heeft een CVSS-score van 9,0. Een kwaadwillende die al over een geldige sessie beschikt, kan de kwetsbaarheid onder specifieke voorwaarden, zoals bepaalde protocolinstellingen of configuraties, misbruiken om zijn rechten binnen de applicatie te verhogen. Hierdoor kan de kwaadwillende toegang krijgen tot afgeschermde functionaliteiten of gegevens.
De kwetsbaarheid met kenmerk CVE-2026-62895 heeft een CVSS-score van 8,8. Een kwaadwillende kan een speciaal geprepareerde website hosten en een gebruiker ertoe verleiden deze te bezoeken. Vervolgens kan de kwaadwillende via verzoeken aan een kwetsbare lokaal draaiende service opdrachten uitvoeren met verhoogde rechten. Voor misbruik is geen authenticatie vereist, maar gebruikersinteractie is wel vereist. Succesvol misbruik kan leiden tot het verkrijgen van SYSTEM-rechten.
De kwetsbaarheid met kenmerk CVE-2026-77909 heeft een CVSS-score van 7,7. De kwetsbaarheid betreft onvoldoende beveiligde inloggegevens in Azure CycleCloud. Een geauthenticeerde kwaadwillende kan deze kwetsbaarheid via het netwerk misbruiken om informatie, waaronder inloggegevens, te verkrijgen.
```
Spring Cloud Azure:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-69854 | 9,00 | Verkrijgen van verhoogde rechten |
|----------------|------|-------------------------------------|
Azure Arc:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-62895 | 8,80 | Verkrijgen van verhoogde rechten |
|----------------|------|-------------------------------------|
Azure CycleCloud:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-77909 | 7,70 | Toegang tot gevoelige gegevens |
|----------------|------|-------------------------------------|
Azure Resource Manager (ARM):
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-81961 | 9,90 | Verkrijgen van verhoogde rechten |
|----------------|------|-------------------------------------|
```
Siemens heeft kwetsbaarheden verholpen in diverse producten als Desigo, Reyrolle, SIMATIC, SCALANCE, SINAMICS en Siveillance. De kwetsbaarheden stellen een kwaadwillende in staat aanvallen uit te voeren die kunnen leiden tot de volgende categorieën schade:
* Denial-of-Service (DoS)
* Manipulatie van gegevens
* Omzeilen van een beveiligingsmaatregel
* (Remote) code execution (root/admin rechten)
* (Remote) code execution (gebruikersrechten)
* Toegang tot gevoelige gegevens
* Verhogen van rechten
De kwaadwillende heeft hiervoor toegang nodig tot de productieomgeving. Het is goed gebruik een dergelijke omgeving niet publiek toegankelijk te hebben.
MikroTik heeft meerdere kwetsbaarheden verholpen in RouterOS. De eerste kwetsbaarheid betreft een fout in de SSH-authenticatiemechanisme waarbij de exponent van RSA-sleutels niet werd geverifieerd. Hierdoor kunnen aanvallers RSA-handtekeningen vervalsen en ongeautoriseerde SSH-toegang verkrijgen. De tweede kwetsbaarheid betreft een probleem met gebruikersnamen die beginnen met een verboden teken, waardoor de trusted policy mask kan worden gemanipuleerd en privilege escalation mogelijk is binnen het SSH-loginproces. De derde kwetsbaarheid maakt het mogelijk voor niet-geauthenticeerde clients om een IPv4 UDP-test te starten die door onjuiste verwerking van pakketten in de kernel kan leiden tot kernel restarts, wat de beschikbaarheid van het systeem beïnvloedt.
CERT Polen geeft aan actief misbruik te hebben waargenomen, gericht op routers waarbij de SSH service publiek toegankelijk is. In deze gevallen zijn meerdere van bovenstaande kwetsbaarheden gecombineerd om volledige controle over de getroffen routers te verkrijgen. Het is goed gebruik om SSH toegang niet open te stellen aan het internet, maar af te schermen via een VPN en/of whitelist.
Adobe heeft een kwetsbaarheid verholpen in Adobe Commerce en Magento. De kwetsbaarheid bevindt zich in de template engine van Adobe Commerce, waarbij speciale elementen niet correct worden geneutraliseerd. Een aanvaller kan hierdoor op afstand willekeurige code uitvoeren zonder dat er gebruikersinteractie nodig is. Dit gebeurt door misbruik te maken van een gewijzigde scope om privileges te escaleren of de uitvoeringcontext aan te passen.
Adobe geeft aan dat deze kwetsbaarheid reeds actief wordt misbruikt.
Citrix heeft kwetsbaarheden verholpen in NetScaler ADC en NetScaler Gateway. De kwetsbaarheid met kenmerk CVE-2026-19489 betreft een memory overflow in NetScaler ADC en NetScaler Gateway, wanneer de producten zijn geconfigureerd als SIP ALG binnen een Large Scale NAT (LSN) groep. Deze fout in de geheugenallocatie kan leiden tot onvoorspelbaar gedrag of een denial of service, waardoor de normale werking van het systeem verstoord kan worden.
De kwetsbaarheid met kenmerk CVE-2026-19490 maakt het voor een aanvaller mogelijk om via een alternatieve route de normale authenticatiemechanismen te omzeilen, om zodoende ongeautoriseerde toegang tot het systeem te verkrijgen. Om kwetsbaar te zijn moeten de producten in combinatie met specifieke versies geconfigureerd zijn als Gateway (VPN-virtuele server, ICA Proxy, CVPN, RDP Proxy), AAA virtual server of configureerd zijn als SAML Identity Provider. Dit laatste is geen gebruikelijke configuratie.
**UPDATE**
Er is Proof of Concept code beschikbaar voor CVE-2026-19490. Het NCSC acht het zeer waarschijnlijk dat op korte termijn misbruik zal plaatsvinden.
OpenGeo heeft meerdere kwetsbaarheden verholpen in GeoNetwork, een open-source catalogusapplicatie, specifiek in versies 4.4.5 tot en met 4.4.11 en versies voorafgaand aan 4.4.12 en 4.2.17. De eerste kwetsbaarheid betreft een reflected cross-site scripting (XSS) in de publieke, niet-geauthenticeerde cataloguszoekfunctie. Dit wordt veroorzaakt door onvoldoende sanering van de uiconfig queryparameter, waardoor een aanvaller JavaScript kan injecteren en uitvoeren in de browsercontext van gebruikers. De tweede kwetsbaarheid betreft een onveilige configuratie van de XSLT-processor die het mogelijk maakt voor gebruikers met uploadrechten om willekeurige besturingssysteemcommando's uit te voeren via geüploade .xsl-bestanden. De derde kwetsbaarheid betreft een onbeveiligde API-endpoint die het mogelijk maakt voor niet-geauthenticeerde aanvallers om willekeurige .xsl- of .zip-bestanden te uploaden, wat ongeautoriseerde schrijfrechten op de server kan veroorzaken en mogelijk leidt tot servercompromittering.
N-able heeft een kwetsbaarheid verholpen in N-central versies eerder dan 2026.3.1.14. De kwetsbaarheid betreft een pre-authenticatie remote code execution flaw. Een aanvaller kan hierdoor op afstand willekeurige code uitvoeren op het getroffen systeem zonder enige vorm van authenticatie. Alle installaties die draaien op de kwetsbare versies van N-central zijn getroffen. Klanten met een on-premises N-central-omgeving wordt geadviseerd zo snel mogelijk te upgraden naar N-central 2026.3 HF4. Voor gebruikers van een gehoste N-central-instantie (NCOD) zijn de patches al toegepast. Er is op dit moment geen actie vereist.
N-able meldt dat pogingen tot exploitatie zijn waargenomen, volg het advies van N-able op om onderzoek te doen naar IoC's.
Google heeft meerdere kwetsbaarheden verholpen in Google Chrome, specifiek in versies voor 152.0.7977.82. De kwetsbaarheden bevinden zich in verschillende componenten van Google Chrome, waaronder DevTools, Network, V8 JavaScript engine en Transactions Platform op iOS. Aanvallers kunnen deze kwetsbaarheden misbruiken door speciaal vervaardigde HTML-pagina's aan te bieden, wat kan leiden tot het uitvoeren van willekeurige code buiten de sandboxomgeving, het omzeilen van toegangsbeperkingen, het lezen van geheugen buiten de sandbox, en het compromitteren van de isolatie van webcontent. De kwetsbaarheden zijn specifiek van toepassing op Google Chrome en zijn verschillende componenten, inclusief versies op Android en iOS.
Google geeft aan dat voor CVE-2026-85046 publieke PoC beschikbaar is.
Aruba Networks heeft meerdere kwetsbaarheden verholpen in het AOS-CX netwerk besturingssysteem en de bijbehorende componenten, waaronder de command line interface, API endpoints en web-based management interface. De kwetsbaarheden in AOS-CX betreffen onder andere onbevoegde toegang via bypass van authenticatie, remote code execution door onjuiste verwerking van input zoals format strings en command injection, privilege escalatie door onjuiste toegang tot systeemfuncties, en denial-of-service door buffer overflows en stack overflows. Sommige kwetsbaarheden kunnen worden misbruikt zonder authenticatie, terwijl andere een geauthenticeerde gebruiker met lage privileges vereisen. Exploitatie kan leiden tot het uitvoeren van willekeurige code met verhoogde privileges, ongeautoriseerde configuratiewijzigingen, toegang tot gevoelige informatie, en verstoring van de beschikbaarheid van het systeem. Specifieke aanvalsvectoren omvatten onder meer het schrijven van bestanden via API endpoints, CSRF-aanvallen op de webinterface, SSRF-aanvallen, en het omzeilen van signature verificatie. De kwetsbaarheden zijn aanwezig in verschillende onderdelen van het AOS-CX platform, waaronder de daemon, API, command line interface en web management interface.
HPE heeft meerdere kwetsbaarheden verholpen in HPE Networking Fabric Composer. De kwetsbaarheden in HPE Networking Fabric Composer betreffen onder andere authenticatiebypasses, privilege-escalaties, remote code execution, command injection, cross-site scripting (XSS), denial-of-service, arbitrary file write, path traversal, en onbevoegde toegang tot gevoelige informatie. Sommige kwetsbaarheden kunnen door ongeauthenticeerde aanvallers op afstand worden misbruikt, terwijl andere exploitatie vereisen door geauthenticeerde gebruikers met beperkte privileges. Exploitatie kan leiden tot het verkrijgen van administratieve toegang, het uitvoeren van willekeurige commando's met verhoogde privileges, het wijzigen van systeemconfiguraties, het uitlekken van gevoelige data, en het verstoren van de normale werking van het systeem. Diverse kwetsbaarheden zijn aanwezig in de API, het onderliggende besturingssysteem en de webgebaseerde managementinterface van het product. Sommige aanvallen vereisen dat de aanvaller zich op een aangrenzend netwerk bevindt of lokale toegang heeft. De kwetsbaarheden beïnvloeden de integriteit, vertrouwelijkheid en beschikbaarheid van het systeem en de netwerkfabric-omgeving die door HPE Networking Fabric Composer wordt beheerd.
Als de SSH beheerinterface publiekelijk via het internet bereikbaar is, kan CVE-2026-76658 door ongeauthoriseerde aanvallers van buitenaf worden misbruikt voor volledige overname van het achterliggende datacenter-netwerk. Het is goed gebruik een dergelijk beheerinterface niet direct aan het internet te ontsluiten of af te schermen middels een VPN of whitelist.
Cisco heeft kwetsbaarheden verholpen in Cisco Nexus 9000 Series Switches met Silicon One technologie, Cisco IOS XR Software en Cisco Secure Email. De ernstigste kwetsbaarheid betreft Nexus 9000-switches: als TCP 43210 of 43211 bereikbaar is, kan een aanvaller zonder authenticatie code met rootrechten uitvoeren en de switch laten herstarten. De IOS XR-kwetsbaarheden kunnen, afhankelijk van platform en configuratie, diverse beveiligingsfuncties ondermijnen. De Secure Email-kwetsbaarheden kunnen alleen bij een man-in-the-middlepositie en S/MIME-gebruik leiden tot het ontsleutelen van e-mail en het aanpassen van verkeer tussen e-mail gateways.
SonicWall heeft kwetsbaarheden verholpen in de SMA1000 Appliance. De SMA1000 Appliance bevat twee kwetsbaarheden. De eerste is een pre-authenticatie Server-Side Request Forgery (SSRF) in de Work Place interface, waarmee een externe, niet-geauthenticeerde aanvaller ongeautoriseerde acties kan uitvoeren. De tweede kwetsbaarheid betreft post-authenticatie remote code execution, waarbij een aanvaller met geldige inloggegevens willekeurige code op afstand kan uitvoeren.
Beide kwetsbaarheden zijn als zero-days misbruikt. Het NCSC raadt organisaties aan de advisory van SonicWall op te volgen
JFrog heeft een kwetsbaarheid verholpen in JFrog Artifactory. De kwetsbaarheid bevindt zich in de standaardconfiguratie van JFrog Artifactory, waarbij onvoldoende authenticatiecontroles aanwezig zijn. Hierdoor kan een niet-geauthenticeerde aanvaller met netwerktoegang de privileges escaleren naar administratief niveau. Dit kan leiden tot volledige administratieve controle over het systeem.
WatchGuard heeft kwetsbaarheden verholpen in WatchGuard Fireware OS, specifiek in het iked-proces en de epm-service van het Mobile Security onderdeel. De kwetsbaarheden bevinden zich in het iked-proces en de epm-service van WatchGuard Fireware OS. Het iked-proces bevat een stack-based buffer overflow, een type confusion kwetsbaarheid en een heap overflow. Deze kwetsbaarheden kunnen worden misbruikt door een ongeauthenticeerde aanvaller door speciaal vervaardigd netwerkverkeer te verzenden. Dit kan leiden tot het uitvoeren van willekeurige code met de privileges van het iked-proces, waardoor volledige controle over het systeem mogelijk kan worden.
Daarnaast bevat de epm-service, die onderdeel is van het verouderde Mobile Security-component, een stack-based buffer overflow. Ook deze kwetsbaarheid kan door een ongeauthenticeerde aanvaller worden misbruikt om willekeurige code uit te voeren en daarmee controle over het systeem te verkrijgen.
