Microsoft heeft op 13 oktober 2026 in één klap meer dan 1400 beveiligingslekken gedicht, een record. Dat is op zich al opvallend, maar het echte nieuws zit in één specifiek lek: aanvallers gebruikten het al voordat de patch uitkwam. Wie zijn Windows-pc niet update, loopt dus al langer risico dan gebruikelijk.
Wat is Mark of the Web en waarom bestaat die waarschuwing
Windows plakt onzichtbaar een label aan elk bestand dat van buiten je pc komt, bijvoorbeeld via e-mail, een download of een chatbericht. Dat label heet Mark of the Web. Zodra je zo'n bestand opent, geeft Windows een waarschuwing of zet het document in de beperkte "Protected View", zodat macro's en scripts niet automatisch draaien. Het is een van de laatste drempels tussen een kwaadaardig Word-document en je systeem.
Precies die drempel lag plat bij CVE-2026-96951, een kwetsbaarheid in de Windows Shell. Door een fout in hoe Windows commando's verwerkt, konden aanvallers een speciaal geprepareerd bestand laten openen zonder dat de waarschuwing in beeld kwam. Geen rode vlag, geen Protected View, gewoon een bestand dat eruitzag als veilig terwijl het dat niet was.
Dit ging er mis
Het lek vereist dat een gebruiker zelf iets opent of aanklikt, de aanvaller kan het dus niet op afstand activeren zonder jouw medewerking. Maar dat is precies waar phishing goed in is: een bestandje via Teams, Slack of e-mail, verstopt als factuur of document, en zodra je het opent mist Windows de kans om je te waarschuwen.
Beveiligingsonderzoekers meldden dat het lek al in aanvallen werd gebruikt vóórdat Microsoft de patch uitbracht, wat het een zogeheten zero-day maakt. Microsoft bevestigt in de eigen Security Update Guide dat het om een ongeautoriseerde omzeiling van een beveiligingsfunctie gaat. Wil je precies weten wat zo'n label inhoudt en hoe browsers en Windows het gebruiken, dan legt Wikipedia het mechanisme verder uit.
Dit is niet de eerste keer dit jaar dat zoiets gebeurt. Het is al het derde lek in de Windows Shell dat in 2026 actief werd misbruikt, een eerder gat werd gebruikt door de aan Rusland gelinkte groep APT28, en een volgende patch moest een onvolledige eerdere reparatie alsnog afmaken. De Windows Shell blijkt dit jaar een geliefd doelwit.
Een recordaantal patches in één klap
De Patch Tuesday van oktober stond niet alleen in het teken van dit ene lek. Microsoft loste in totaal meer dan 1400 kwetsbaarheden op, de grootste maandelijkse update ooit. Zeventig daarvan kregen het label "Kritiek", waarvan 57 gingen over het op afstand uitvoeren van code, de ernstigste categorie die er is.
Naast het actief misbruikte lek maakte Microsoft ook twee andere, al openbaar gemaakte kwetsbaarheden bekend die nog niet in aanvallen zijn gezien: een omzeiling in het .NET Framework die Windows Defender Application Control kan passeren, en een denial-of-service bug in een veelgebruikte .NET-bibliotheek voor dataserialisatie. Allebei de moeite van het patchen waard, maar urgenter is de Mark of the Web-bypass.
Wie nog op Windows 11 24H2 Home of Pro draait, moet weten dat deze update ook de laatste reguliere beveiligingsupdate voor die versie is. Zonder upgrade naar een nieuwere versie sta je na deze maand zonder maandelijkse patches, precies het moment waarop dit soort lekken het gevaarlijkst wordt.
De update bracht trouwens ook een eigen bijwerking met zich mee: Microsoft meldde achteraf een probleem met Remote Desktop-verbindingen die na installatie soms mislukken, en een los issue met USB-audioapparaten die niet meer herkend worden. Niets om de update voor uit te stellen, maar wel iets om te weten als je pc zich na het patchen anders gedraagt dan verwacht.Hoe je checkt of je update al binnen is
Ga naar Instellingen, dan Windows Update, en klik op "Controleren op updates". Zoek naar KB5127648 (voor Windows 11 24H2, 25H2 of 26H2) of de bijbehorende build voor je versie. Staat die update er al op, dan heb je niets te doen. Staat hij er niet, installeer hem dan vandaag nog, en herstart je pc daadwerkelijk. Een update die klaarstaat maar nooit wordt toegepast, beschermt je voor geen cent.
Deze situatie raakt ook aan browserextensies en onbekende bestanden in het algemeen: bewaar dezelfde argwaan die je zou hebben bij een browserextensie die zich toegang verschaft tot je wachtwoorden. Een label dat "veilig" zegt, is geen garantie, zeker niet als dat label zelf omzeild kan worden.
Wat je morgen anders doet
Automatische updates zijn geen overbodige luxe, ze zijn de enige reden dat een lek als dit relatief snel wordt afgedicht in plaats van maanden actief te blijven. Zet Windows Update dus niet op pauze voor "later", en wees extra kritisch bij bijlagen van onbekende afzenders, ook als Windows geen waarschuwing laat zien. Hetzelfde geldt voor je browser: ook daar lopen regelmatig updates binnen die honderden lekken in één keer dichten, en die installeer je het beste meteen.
Wil je het risico nog verder beperken, kijk dan ook kritisch naar wat er op je systeem meeluistert. Zo bleek eerder al dat Windows zelf gegevens verzamelt die een VPN niet kan verbergen, en dat soort achtergrondprocessen wil je kennen voordat er iets misgaat, niet erna.