En de komende tijd zullen er vast nog meer patchrondes met duizenden gepatchte lekken komen, die aantonen hoe lek Microsoft producten de afgelopen tijd waren.
Dan rijst de vraag: in hoeverre willen we een vergiet als standaard OS?

Kort na deze patchdinsdag heeft onderzoeker "Nightmare Eclipse" een nieuwe Defender zero-day gedropt, ShieldCrash genaamd. Dat is een bypass van de eerder gepatchte ShieldBreak-kwetsbaarheid (CVE-2026-69414), die zelf ook alweer een bypass was van RoguePlanet. De PoC zou op volledig gepatchte Windows 10/11/Server-systemen willekeurige bestanden als SYSTEM kunnen uitlezen (niet schrijven).

Ik hoop dat Microsoft snel (weer) met een patch komt!

Bron: https://www.bleepingcomputer.com/news/security/new-microsoft-defender-shieldcrash-zero-day-grants-system-access/

Installeer dan niets op je computer. Alle software is lek, geen uitzonderingen.

Ook grote updates voor visual studio en sql server. Benodigde gisteren 2 reboots en een cleanup. Erg lange update dinsdag!

een lek is toch veel minder erg dan er duizend hebben, dat begrijp je wel he?

Er van uitgaande dat BIOS/UEFI wel foutloos is? /i

Hopelijk bent U niet met Chrome op Linux naar deze site gekomen.
https://www.security.nl/posting/952293/Google+patcht+ruim+200+kwetsbaarheden+in+Chrome%2C+waaronder+misbruikt+lek

Of op Uw Android apparaat
https://www.security.nl/posting/952298/Androidtelefoons+bevatten+lek+dat+remote+code+execution+mogelijk+maakt

Microsoft communiceert hier tenminste duidelijk over en steek zijn kop niet in het zand.
Veel andere partijen kunnen hier nog wat van leren, want het is niet zo dat andere OSen die issue niet hebben.
Maar blijkbaar zijn ze niet in staat dit duidelijk te communiceren of niet groot/interessant genoeg om dit te melden op media buiten hun eigen bubbel.

Vorige week mochten we niet zeuren over ~370 aangekondige cve's voor de Linux kernel en nu weer zeuren over Windows.
Je weet dat die 974 lekken niet allemaal het OS is he? Het is allemaal aanverwante software die op Windows draaien. Office, SQL server, Exchange, .Net etc..
Dan moet je ook alle updates voor je Linux distro bij elkaar optellen en die van je office pakket, je mail server en database server.

Of de CPU, hoeveel software fouten zijn er niet gevonden in de Intel CPUs?

Echt alles is lek, ook het toestel waar we met z'n allen mee hier zitten te reageren.

Maar het valt je niet op dat een lek, als het gedicht is, er niet meer is?

De reden dat er de laatste tijd een stortregen aan patches is, niet alleen bij Microsoft maar zo'n beetje overal, is dat er AI-tools beschikbaar zijn gekomen die kwetsbaarheden weten te vinden die door mensen niet herkend werden. Het klopt dat die lekken erin zaten, maar daarmee is het nog niet zo dat die op dezelfde enorme schaal door (ook menselijke) aanvallers gevonden en geëxploiteerd werden. Maar nu de tools er zijn kunnen zowel de aanvallers als de makers van software lekken vinden die ze eerst niet vonden, en dan is het maar goed ook dat je veel patches langs ziet komen, een eenmaal te vinden lek kan gevonden en misbruikt worden, en dus moeten die lekken gerepareerd worden. We zitten nu, over alle software heen, in de fase dat dat gaande is. En dus zien we een stortregen aan patches, over de hele linie, en dus ook bij Microsoft.

Ik heb zelf zat aan te merken op Microsoft (en niet alleen op hun overigens), maar dit is volgens mij geen argument daarvoor, dit is iets dat in het algemeen gaande is en waar we doorheen zullen moeten.

Waarom denk ik dat dat iets is waar we doorheen gaan komen? Al die AI-systemen die zo hypen de afgelopen jaren zijn op het concept van LLMs gebaseerd. Dat is een doorbraak, maar het concept heeft zijn grenzen. Het is niet werkelijk intelligent, het begrijpt niet werkelijk wat het doet, het begrijpt helemaal niets. Het is in wezen een systeem dat random patronen genereert op basis van de patronen die in trainingsdata zaten in combinatie met wat al geproduceerd is in bijvoorbeeld een dialoog met een mens. Dat doet het zo indrukwekkend goed dat er coherente en bruikbare uitvoer uitkomt. Maar tegelijk veroorzaakt dat indrukwekkend ogende random onbegrip het veel genoemde "hallucineren" als probleem dat fundamenteel onoplosbaar is, het is inherent aan wat een LLM is. Een LLM heeft dus grenzen, het kan niet onbegrensd beter en beter en beter worden. In het algemeen zijn verbeterprocessen onderhevig aan de wet van de verminderde meeropbrengst: in het begin maak je enorme sprongen, maar dezelfde inspanning gaat minder en minder opleveren naarmate je dichter bij de grenzen komt van wat haalbaar is. Ik heb het idee dat we de grote sprongen al achter de rug hebben, dat uit zich in dat die AI-bedrijven steeds gekkere sprongen beginnen te maken om de lucratieve hype gaande te houden. Dat doet mij verwachten dat ook de stroom aan nieuw gevonden lekken in bestaande software op een gegeven moment opdroogt, en dat die pas weer op gang komt na de volgende grote doorbraak in de AI-hoek of in iets anders dat hiervoor bruikbaar is. Hoe snel die stroom opdroogt is moeilijk te zeggen. Hoe snel de volgende grote doorbraak komt ook. De hype die figuren als Sam Altman voortdurend creëren om meer geld binnen te slepen is niet die doorbraak, dat is marketing. Een echte grote doorbraak is iets wezenlijk nieuws, iets wezenlijk anders dan LLMs, iets waar nu vermoedelijk nog niemand aan denkt. Hoe snel dat gebeurt? Het is zomaar mogelijk dat we daar nog vele tientallen jaren op moeten wachten.

Je lijkt te denken dat dat geen software is. Dat is het wel. Als alle software lek is is dat dus ook lek.

huil huil huil....

1. check die CVEs eens en die RCEs van MS....
2. 370 < 974, factortje drie zeg maar...

Welke factor 3? dit gaat over alle producten van Microsoft. ik denk dat een factor 0.5 meer op zijn plaats zou zijn.
370 kernel. tegen 974 een volledige software stack. van kernel tot office, van desktop tot aan azure.
Een aantal zegt helemaal niets, zeker niet nu AI de code analyseert. dit is iets waar we de komende maanden / jaren door heen moeten.

En nee ik ben hier niet pro Windows of anti Linux, eerder het tegen overgetelde. maar je moet wel realistisch blijven.

Bijna duizend gaten? Griebels zeg. De Titanic zou in 30 seconden gezonken zijn i.p.v. 160 minuten.

ja bizar wat dacht je van Firefox met 400 lekken..opgemerkt door AI....

Ze zeggen wel eens dat kwantiteit niets zegt over de kwaliteit.
Oftewel aantal zegt niet altijd alles.
Je kan 370 ernstige problemen hebben, of 974 lichte problemen.
Zonder inhoudelijk te kijken zegt het wat mij betreft weinig.

Ook nu dat er 1000 issues worden opgelost, enige wat het mij persoonlijk zegt dat iedereen tegenwoordig met AI alles sneller nu kan vinden en oplossen, ook Microsoft gebruikt hier AI voor nu op de Windows code.
Netzoals nu al die opensource code bekeken wordt met AI.

Hij/Zij die Chrome op Linux installeert heeft het niet begrepen.

Zoals ik zei 974 in verschillende software pakketten en hoeveel daarvan zijn er Windows kernel gerelateerd?

Minder dan 370.

Als het gaat om OS keuze ben ik non-binair, je kiest het OS dat past bij het doel van de taak die de computer moet uitvoeren. Er is niet 1 juiste keuze er zijn vele opties.

Het gaat erom dat die 974 eigenlijk helemaal niet zo veel is als je het uitsplitst over de verschillende pakketten en daarbij gaat het ook nog over verschillende versies (2016 t/m 2025). Je moet het dus eigenlijk delen door 4 om het aantal ongeveer per versie te zien.

Dus het valt allemaal wel mee alleen zodra en Microsoft in het bericht staat is het ineens interressant om er over te schrijven van hoe slecht het allemaal wel niet is.

Ja hoor, je hebt voor de volle 100% onmiskenbaar gelijk. al die Microsoft (=Big Tech) kritiek komt helemaal als donderslag bij heldere hemel uit de lucht vallen. En het is natuurlijk 100% overdreven dat velen in Europa af willen van Big Tech = o.a. Microsoft.

Want Het Valt Allemaal Toch Zo Enorm Mee...

De Microsoft adepten willen er maar niet aan hè: Iedereen bij zijn volle verstand weet dat Big Tech en de oranje dementerende narcist (die de USA al naar de verdoemenis aan het helpen is) twee, neen vier handen op één Big Mac buik is en toch blijven zij maar in de verdediging schieten als het minste greintje kritiek hun geliefde digitale partner betreft.

Ik kan er met de pet niet bij.

exact, maar check die CVEs vs die RCEs eens wat die AIs dan vinden en waar....

je zet zelf de toon:

"Vorige week mochten we niet zeuren over ~370 aangekondige cve's voor de Linux kernel en nu weer zeuren over Windows. "

moet je niet raar opkijken dat je de bal dan terug gekaatst krijgt he :).

Goh en dan zitten er hier een paar reageerders keer op keer te zeuren als er een probleem is in een Wordpress plug-inn is waarvoor al een fix is maar niet alle systeembeheerders deze hebben gedraaid.

Je snapt het niet blijkbaar.

Het gaat niet om het aantal; lekken/patches maar om het eeuwige sneue Windows vs Linux. Er is er niet een beter of slechter, het is beide ruk omdat het lek is als een mandje en goed om het doel wat ze nastreven.

Dat hele gejank op middelbare school niveau is gewoon zielig, het krijgt hier zo een erg hoog Facebook gehalte.

Ach Ron, ik ben het al wel gewend dat op security.nl heel veel azijnpissers zitten die iedere gelegenheid aangrijpen om te pissen op hetgeen zij als "slecht" bestempelen. Tijdens mijn security trainingen waarschuw ik mijn cursisten altijd wanneer ik op security.nl beland, dat ze de meeste reacties maar met een korreltje zout moeten nemen.

Zelf ben ik super blij dat Microsoft zo druk is met het vinden en patchen van diens producten. Het is beter dat MS ze vindt dan ene Mister X die het vervolgens misbruikt.

En dat die Nightmare Eclipse iedere keer ná patch tuesday een nieuwe zeroday de wereld in gooit... Hem mogen ze van mij <censuur> en dan <censuur> tot hij begrijpt dat hij niet alleen Microsoft hiermee treft, maar de gehele wereld.

@muisman, hier moet ik toch wat vragen.

Ik heb met microsoft te maken gehad op verschillende afdelingen. Van gewoon een @hotmail.com voor een prive account, zakelijk als partner (verschillende niveau's) inclusief een werkgever die met zn eigen gold support zat. Ik heb ook zelf een paar lekken gemeld; dat was zelfs ten tijde dat ik bij betreffende werkgever zat met eigen gold-support, echter had ik die lekken gemeld via ms responsable disclosure met mn prive account.

Microsoft gedraagt zich behoorlijk anders afhankelijk van waar je binnen komt. Met gold-support werd ik altijd vrj snel geholpen, bijna geen wachttijden etc en gelijk mensen die weten waar ze mee bezig zijn, zowel in NL als rechtstreeks in de US. Als je op de andere plekken binnenkomt, afhankelik van, maar meestal is dan de support een stuk minder tot soms gewoonweg slecht.

Mijn ervaring zelf met het melden van lekken was gemiddeld genomen niet echt geweldig. via partner-support is het ook een "mixed feeling". Met partner support heb ik het laatste contact gehad en is voor mij een aantal maanden geleden geweest. Dat is verre van positief geweest.

De geschiedenis van Nightmare Eclipse heeft genoeg emotionele schommelingen erin zitten, maar gezien ook mijn ervaringen door de jaren heen met Microsoft support, kan ik zeker wel aannemen dat er meer speelt als wat wij zo snel op een blog of nieuwssite kunnen lezen. Ik denk dat wij blijer moeten zijn dat hij die exploits gewoon zo post ipv het op een dark-market te koop zet, want dat kan ook.

Gewoon het feit dat je ook berichten hebt kunnen lezen dat Microsoft hun juristen achter de persoon wilden sturen + het opheffen van zijn ms account waar hij zijn meldingen mee maakte, geeft mij het gevoel dat Microsoft er niet veel zin in had om gezichtsverlies te leiden en liever bazooka tactiek toepast om de beveiligings onderzoeker het leven zuur te maken en hopen dat hij de moed opgeeft; wat hij dus niet doet. Het geeft ook aan dat er een vrij grote kans is dat Microsoft het zelf niet zo nauw neemt met hun eigen responsible disclosure.

Dat is iets wat we ook hebben kunnen terugzien in het gedrag van Microsoft ten opzichte van het pushen van windows 11 (denk aan het kruisje en toch win11 install pushen) en de co-pilot push op en in alles. Men "geeft" ondertussen weer wat terug (de sigaar uit de bekende doos) aan de gebruikers met de melding dat ze wel luisteren naar hun gebruikers.

En als er geen beveiligings-onderzoekers waren geweest die het WindowsOS zouden onderzoeken, zou Microsoft nog veel meer bagataliseren dan wat ze nu al doen. het is namelijk al meerdere keren voorgekomen dat er een melding word gemaakt in de patch releases dat een lek "less likely to be exploited" werd betiteld en dan in X uur aangepast moest worden omdat het wel al misbruikt werd.

Ook zijn er genoeg problemen die gewoon geintroduceerd worden met een patchronde die dan niet opgelost worden. Ook de volgende maand niet. Als er dan duidelijk over gecommuniceerd werd, zou dat fijn zijn, maar dat is vaak niet het geval.

Je kunt ook, over de jaren gezien, best stellen dat de kwaliteit van het Windows platform, als geheel slechter is geworden. Ik noem expliciet platform : de kernel, drivers, filesystem, ip-stack hebben zeker fixes, maar zijn ook echt fixes en lossen vaak gewoon de problemen op maar introduceren niet rare of vreemde zaken. De rest wat om deze basis-onderdelen zit, heeft veel vaker en meer problemen. dit is dan ook waar we het meeste last van hebben.

ja dat zal het zijn he :P

ps

https://it.slashdot.org/story/26/09/09/0626256/microsoft-breaks-another-patch-tuesday-record

https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2026-patch-tuesday-fixes-966-flaws-2-zero-days/

"258 Remote Code Execution Vulnerabilities"

maar mooi spul hoor! voor die centen!