← Alle artikelen

Windows-zerodaylek: de waarschuwing valt weg (13-10-2026)

Gepubliceerd op 14 oktober 2026 · 7 min lezen · CyberNovaLabs.io

Een lek in Windows Shell dat al wordt misbruikt haalt de melding « dit bestand komt van internet » weg. Een tweede misbruikt lek raakt Ivanti-toegang op afstand. Beide updates zijn van 13 oktober 2026.

Kort gezegd

Microsoft dichtte op 13 oktober 2026 een lek in Windows Shell dat al in aanvallen wordt misbruikt: CVE-2026-96951, door de leverancier beoordeeld met 8,8 van 10^[1][2]. Het lek laat een aanvaller de melding « dit bestand komt van internet » omzeilen, de Mark of the Web-waarschuwing die medewerkers zien bij het openen van een gedownloade bijlage^[1]. Dezelfde dag zette de Amerikaanse dienst CISA dit Windows-zerodaylek en een authenticatie-omzeiling in Ivanti Connect Secure op de lijst van actief misbruikte lekken^[2][5].

Wat het lek precies doet

Komt een bestand van internet, dan geeft Windows het een herkomstmarkering mee, de Mark of the Web, en volgt bij openen een waarschuwing. CVE-2026-96951 is een command injection in Windows Shell waarmee een niet-geauthenticeerde aanvaller die bescherming via het netwerk kan omzeilen^[1][2]. Het scenario dat Microsoft beschrijft is alledaags: de aanvaller stuurt per e-mail of chatbericht een speciaal gemaakt bestand, en de gebruiker moet het openen of op een link klikken. Microsoft tekent aan dat niemand gedwongen kan worden die inhoud te bekijken; er moet dus nog altijd iemand overtuigd worden^[1].

Twee details zijn van belang. Microsoft noemt het lek Important en niet Critical, maar meldt wel dat misbruik is vastgesteld, terwijl het voor de update niet openbaar bekend was^[1]. Een lek dat al wordt gebruikt en dat niemand zag aankomen, beoordeelt u niet op zijn label. Daarnaast vereist de vector die de leverancier vastlegt wel een handeling van de gebruiker, maar leidt hij tot grote schade aan vertrouwelijkheid, integriteit en beschikbaarheid^[1][2]. Een klik, en de machine is van de aanvaller.

CISA plaatste het lek op 13 oktober op de lijst van actief misbruikte kwetsbaarheden, onder de naam « Microsoft Windows Command Injection Vulnerability », met herstel verplicht op 16 oktober 2026^[2][3]. Lees die datum goed: hij geldt voor Amerikaanse federale diensten, niet voor een mkb-bedrijf in Nederland, Belgie, Frankrijk of Luxemburg. Het blijft wel het duidelijkste openbare signaal van urgentie, en drie dagen zegt genoeg.

De tweede update van die dag: Ivanti Connect Secure

Op diezelfde 13 oktober kwam er een tweede misbruikt lek op de lijst, met dezelfde termijn: CVE-2026-104935, een authenticatie-omzeiling door spoofing in Ivanti Connect Secure^[4][5]. Het raakt versies voor 25.1.3.0 en laat een aanvaller op afstand, zonder inloggegevens, willekeurige opdrachten uitvoeren; volgens de leverancier zijn versie 22.7R2.14 en ouder niet getroffen^[4][5]. De score is 8,6 van 10 en een handeling van de gebruiker is niet nodig^[5].

Loopt uw toegang op afstand via een Ivanti-appliance, dan heeft die vandaag voorrang op het Windows-park: een lek zonder gebruikershandeling op een apparaat dat aan internet hangt, vindt een scanner binnen enkele minuten, en er valt niemand te misleiden. Het is hetzelfde patroon als twee weken terug bij de twee NetScaler-lekken die voor de patch werden misbruikt en daarna bij het FortiMail-lek in de mailgateway. Drie keer in een maand lag de ingang niet bij een laptop, maar bij het apparaat dat de deur moest bewaken.

Waarom een Windows-zerodaylek de rekening verandert voor het mkb

Vrijwel elke bewustwordingstraining rust op een enkele instructie: waarschuwt Windows dat het bestand van internet komt, denk dan na voor u opent. CVE-2026-96951 haalt die waarschuwing weg^[1]. De medewerker die precies doet wat hij heeft geleerd, ziet niets vreemds meer. Dat is het verschil tussen een menselijke fout, die training oplost, en een onzichtbare valstrik, die training niet oplost.

Praktisch betekent het: vertrouw voor dit soort bestanden niet langer op het oordeel van gebruikers en controleer wat er aan bescherming overblijft. Macro's geblokkeerd in documenten van internet, bijlagen gefilterd in de gateway, detectie op de werkplek, en vooral de echte tijd tussen het uitkomen van een Microsoft-update en de installatie op het hele park. Die tijd is de enige maat die telt, en juist die meet het mkb bijna nooit. In onze analyse van het ANSSI-rapport over de inbraak bij de DGFiP was de keten dezelfde: niets exotisch, alleen ontbrekende maatregelen en geen detectie.

Vier landen: wie u belt als het gebeurt

De lekken zijn overal gelijk, het aanspreekpunt niet. In Belgie publiceert het CCB met CERT.be de nationale adviezen en ontvangt het meldingen. In Nederland is dat NCSC-NL, met de RDI voor verplichtingen uit de Cyberbeveiligingswet. In Frankrijk ANSSI met CERT-FR. In Luxemburg CIRCL, en de ILR voor gereguleerde sectoren.

Valt uw bedrijf onder NIS2, dan is een belangrijk incident niet alleen techniek: het moet gemeld worden, binnen termijnen en in een vorm die de nationale omzetting bepaalt. Onze landenpagina's beschrijven wie eronder valt: NIS2 in Nederland, in Belgie, in Luxemburg, en voor Frankrijk onze analyse van transport en logistiek. Die vraag beantwoordt u voor een incident, niet tijdens.

Bij CyberNovaLabs.io

Wij helpen mkb-bedrijven in Nederland, Belgie, Frankrijk en Luxemburg om twee dingen samen te krijgen: een park dat in dagen bijgewerkt is in plaats van in maanden, en bijlagen die gefilterd worden voordat ze in een mailbox belanden. Onze controle van de e-mailbeveiliging en onze pagina over cybersecurity laten zien waar wij eerst naar kijken. Wilt u een eerlijk oordeel over uw werkelijke patchtijd, dan praten we twintig minuten.

Bronnen

1. Microsoft Security Update Guide - CVE-2026-96951, Windows Shell Security Feature Bypass Vulnerability (13/10/2026)
2. NIST NVD - CVE-2026-96951, detail et statut CISA KEV (13/10/2026)
3. CISA - Known Exploited Vulnerabilities Catalog, ajouts du 13/10/2026
4. Ivanti - Security Advisory Ivanti Connect Secure CVE-2026-104935 (13/10/2026)
5. NIST NVD - CVE-2026-104935, Ivanti Connect Secure (13/10/2026)
6. Microsoft - October 2026 Security Updates, note de publication (13/10/2026)

Lees ook