Microsoft heeft een reeks beveiligingslekken gedicht in de Developer Tools‑stack, waaronder .NET, Visual Studio, Visual Studio Code en ASP.NET Core. De risico’s lopen uiteen van remote code execution (RCE) en het omzeilen van beveiligingsmaatregelen tot het verhogen van rechten, het uitlekken van gegevens en denial‑of‑service. De updates maken deel uit van de maandelijkse beveiligingsronde van dinsdag 13 oktober 2026. Volgens Microsoft valt deze patchronde onder de reguliere Patch Tuesday‑cyclus (de tweede dinsdag van de maand) en adviseert het bedrijf om updates zo snel mogelijk te installeren. (microsoft.com)

Waarom dit nu belangrijk is

• Microsoft noemt expliciet dat CVE‑2026‑96951 al vóór de release is misbruikt. Dat onderstreept het belang van tijdig patchen, ook als je geen directe impact vermoedt. (microsoft.com)
• In de categorie Developer Tools springen vooral twee risico’s eruit die je direct wilt prioriteren: een RCE‑lek in Visual Studio Code (CVE‑2026‑102238, CVSS 9,6) en een kwetsbaarheid in ASP.NET Core waarmee beveiligingsmaatregelen zijn te omzeilen (CVE‑2026‑70188, CVSS 9,1). (app.opencve.io)
• Microsoft meldt daarnaast verhardingsmaatregelen rond ReFS (ADV260001). Dat is relevant voor organisaties die met verwijderbare media of geavanceerde opslagscenario’s werken. (microsoft.com)

Wat is er gefikst (overzicht per component)
.NET

• CVE‑2026‑58280 — 7,5 — Denial‑of‑Service
• CVE‑2026‑66822 — 5,9 — Toegang tot gevoelige gegevens
• CVE‑2026‑69651 — 7,5 — Denial‑of‑Service
• CVE‑2026‑70161 — 7,3 — Verhoogde rechten
• CVE‑2026‑70165 — 6,7 — Verhoogde rechten
• CVE‑2026‑70174 — 8,8 — Uitvoeren van willekeurige code
• CVE‑2026‑70190 — 7,3 — Verhoogde rechten
• CVE‑2026‑70197 — 8,1 — Uitvoeren van willekeurige code
• CVE‑2026‑83520 — 8,8 — Uitvoeren van willekeurige code
• CVE‑2026‑84008 — 7,5 — Denial‑of‑Service
• CVE‑2026‑87697 — 8,8 — Uitvoeren van willekeurige code
• CVE‑2026‑96224 — 8,8 — Uitvoeren van willekeurige code
• CVE‑2026‑96225 — 7,8 — Verhoogde rechten
• CVE‑2026‑96229 — 6,5 — Toegang tot gevoelige gegevens
• CVE‑2026‑96231 — 7,8 — Verhoogde rechten
• CVE‑2026‑96232 — 7,5 — Toegang tot gevoelige gegevens
• CVE‑2026‑96234 — 5,3 — Toegang tot gevoelige gegevens
• CVE‑2026‑96235 — 8,8 — Uitvoeren van willekeurige code
• CVE‑2026‑96237 — 7,5 — Uitvoeren van willekeurige code
• CVE‑2026‑96238 — 6,5 — Omzeilen van beveiligingsmaatregel
• CVE‑2026‑96957 — 8,8 — Omzeilen van beveiligingsmaatregel
• CVE‑2026‑96958 — 7,5 — Denial‑of‑Service
• CVE‑2026‑96959 — 7,5 — Denial‑of‑Service
• CVE‑2026‑96960 — 7,5 — Denial‑of‑Service

Visual Studio Code

• CVE‑2026‑102229 — 6,8 — Toegang tot gevoelige gegevens
• CVE‑2026‑102230 — 7,4 — Toegang tot gevoelige gegevens
• CVE‑2026‑102231 — 7,7 — Omzeilen van beveiligingsmaatregel
• CVE‑2026‑102232 — 7,0 — Omzeilen van beveiligingsmaatregel
• CVE‑2026‑102233 — 7,8 — Omzeilen van beveiligingsmaatregel
• CVE‑2026‑102234 — 7,4 — Omzeilen van beveiligingsmaatregel
• CVE‑2026‑102235 — 8,8 — Uitvoeren van willekeurige code
• CVE‑2026‑102238 — 9,6 — Uitvoeren van willekeurige code
• CVE‑2026‑102851 — 6,1 — Omzeilen van beveiligingsmaatregel
• CVE‑2026‑69370 — 8,8 — Uitvoeren van willekeurige code
• CVE‑2026‑70098 — 8,8 — Uitvoeren van willekeurige code

ASP.NET Core

• CVE‑2026‑102870 — 8,8 — Uitvoeren van willekeurige code
• CVE‑2026‑70159 — 7,5 — Denial‑of‑Service
• CVE‑2026‑70175 — 8,1 — Verhoogde rechten
• CVE‑2026‑70179 — 7,5 — Verhoogde rechten
• CVE‑2026‑70181 — 7,5 — Denial‑of‑Service
• CVE‑2026‑70183 — 7,5 — Verhoogde rechten
• CVE‑2026‑70186 — 7,5 — Denial‑of‑Service
• CVE‑2026‑70188 — 9,1 — Omzeilen van beveiligingsmaatregel
• CVE‑2026‑70196 — 5,9 — Denial‑of‑Service
• CVE‑2026‑88092 — 9,4 — Impact niet gespecificeerd
• CVE‑2026‑96230 — 8,8 — Uitvoeren van willekeurige code
• CVE‑2026‑96233 — 7,5 — Denial‑of‑Service
• CVE‑2026‑96236 — 7,5 — Denial‑of‑Service

Visual Studio Tools for Applications en SQL Server Management Studio

• CVE‑2026‑103572 — 8,8 — Uitvoeren van willekeurige code

Windows AppX Deployment Extensions

• CVE‑2026‑69945 — 8,8 — Verhoogde rechten

.NET Framework

• CVE‑2026‑108398 — 8,8 — Omzeilen van beveiligingsmaatregel
• CVE‑2026‑70007 — 8,8 — Uitvoeren van willekeurige code
• CVE‑2026‑70035 — 8,8 — Uitvoeren van willekeurige code
• CVE‑2026‑70194 — 6,5 — Omzeilen van beveiligingsmaatregel
• CVE‑2026‑85363 — 8,8 — Verhoogde rechten

Windows AppX Deployment Service

• CVE‑2026‑69905 — 5,5 — Impact niet gespecificeerd
• CVE‑2026‑69914 — 5,5 — Toegang tot gevoelige gegevens
• CVE‑2026‑69969 — 4,7 — Toegang tot gevoelige gegevens
• CVE‑2026‑69979 — 5,5 — Omzeilen van beveiligingsmaatregel
• CVE‑2026‑85849 — 7,8 — Verhoogde rechten
• CVE‑2026‑85934 — 7,0 — Verhoogde rechten

.NET en Visual Studio

• CVE‑2026‑102869 — 8,8 — Verhoogde rechten

Praktisch advies om veilig en snel bij te werken

• Prioriteer RCE‑lekken (CVSS ≥ 8,8) en issues die beveiligingscontroles omzeilen. Concreet: CVE‑2026‑102238 (VS Code) en CVE‑2026‑70188 (ASP.NET Core) horen bovenaan je lijst. (app.opencve.io)
• Visual Studio Code: update naar ten minste versie 1.141.1 (of nieuwer). Oudere builds zijn kwetsbaar voor CVE‑2026‑102238. VS Code werkt normaal gesproken automatisch bij, maar controleer dit handmatig in Help > Check for Updates, zeker op beheerde endpoints of offline omgevingen. (app.opencve.io)
• Visual Studio: installeer de nieuwste beveiligingsupdate via Visual Studio Installer. De releasenotes vermelden diverse security‑fixes in de 2026‑lijn. (learn.microsoft.com)
• .NET/ASP.NET Core: update runtimes en SDK’s op build‑agents, servers en containers. Herbouw images zodat de nieuwe basis‑runtimes worden meegepakt en plan herstarts in voor services die op de kwetsbare componenten draaien. Microsoft plaatst .NET en Visual Studio in de lijst met producten die deze maand updates kregen. (microsoft.com)
• Volg de MSRC‑release‑notities voor bekende problemen en product‑specifieke KB’s en gebruik die als bron voor change‑management of CAB‑goedkeuringen. (msrc.microsoft.com)

Tot slot

• Microsoft benadrukt al langere tijd het belang van consequente, maandelijkse patchrondes. Behalve dat er dit keer een al‑misbruikt lek is genoemd, bevat de oktober‑release ook productwijzigingen zoals ReFS‑hardening. Houd daarom niet alleen de patches maar ook de accompanying advisories in de gaten. (microsoft.com)

Meer details per CVE en product vind je in de Security Update Guide en de blogpost van deze maand. Daarin staan ook verwijzingen naar specifieke KB‑artikelen en eventuele bekende issues bij uitrol. (msrc.microsoft.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.