Microsoft patchte recordaantal van 570 bugs, 2 zero-days misbruikt

De juli-editie van Microsofts Patch Tuesday heeft zojuist een ongewenst record gevestigd. Het bedrijf patchtte deze maand 570 beveiligingslekken in zijn Windows-ecosysteem, de grootste enkele batch fixes die het ooit heeft uitgebracht. Eenenzestig van die kwetsbaarheden zijn als kritiek beoordeeld, en drie zijn zero-day-kwetsbaarheden, wat betekent dat ze publiekelijk bekend waren of al actief werden aangevallen voordat er een fix bestond. Twee van de drie zero-days werden op het moment van uitgave al actief misbruikt.

Voor iedereen die een Windows-machine gebruikt, is dit geen maand om de update-melding over te slaan.

Waarom deze Patch Tuesday eruit springt

Patch Tuesday vindt elke tweede dinsdag van de maand plaats, en de meeste cycli repareren ergens tussen de 60 en 150 problemen. Vijfhonderdzeventig is een dramatische sprong en weerspiegelt hoeveel van de Windows-codebasis – van de kernel tot netwerkcomponenten en Office-integraties – constant onderhoud nodig heeft naarmate nieuwe aanvalstechnieken opduiken. De enorme omvang betekent ook dat IT-teams én gewone gebruikers deze cyclus een veel grotere patchklus te wachten staat.

Wat deze update urgent maakt in plaats van alleen maar groot, is de aanwezigheid van zero-days die al actief in het wild worden misbruikt. Een zero-day is een kwetsbaarheid die aanvallers kunnen gebruiken voordat Microsoft een fix heeft uitgebracht, of in sommige gevallen zelfs voordat het publiek weet dat het lek bestaat. Wanneer twee van de drie zero-days van deze maand bevestigd actief worden misbruikt, betekent dat dat echte aanvallers – niet alleen beveiligingsonderzoekers – werkende code hebben die gebruikmaakt van deze gaten. Weken wachten met het installeren van de update laat een venster open waar sommige bedreigingsactoren al doorheen lopen.

Het is niet de eerste keer dat onderzoekers scheuren in Windows hebben opengebroken voordat Microsoft kon reageren. Beveiligingscompetities hebben herhaaldelijk laten zien hoe diep deze problemen kunnen liggen, inclusief de werkende exploits die werden getoond tegen Windows 11 en Edge op Pwn2Own Berlijn 2026, waar onderzoekers aanzienlijke prijzen verdienden voor het vinden van lekken die Microsoft nog niet had gepatcht. Onafhankelijke onderzoekers hebben er ook een gewoonte van gemaakt niet-gepatchte bevindingen rechtstreeks te publiceren, zoals te zien was toen de onderzoeker bekend als Nightmare Eclipse nog een Windows-zero-day liet vallen buiten het gebruikelijke openbaarmakingsproces van Microsoft om.

Kritieke bugs verdienen prioriteit, niet alleen volume

Met 61 kritiek beoordeelde kwetsbaarheden in deze enkele release is de verleiding misschien groot om de update als één grote dekenfix te behandelen en verder te gaan. Maar kritieke beoordelingen bestaan met een reden: dit zijn de bugs die het meest waarschijnlijk een aanvaller in staat stellen een systeem over te nemen, op afstand code uit te voeren of rechten te escaleren zonder veel gebruikersinteractie. Zodra zo'n kwetsbaarheid publieke kennis wordt, beginnen zowel beveiligingsonderzoekers als criminele groepen de patch te reverse-engineeren om erachter te komen wat er precies kapot was, wat de tijdlijn voor exploitatie elders versnelt.

Dat patroon heeft zich eerder voorgeschreven. Ransomware-operators hebben laten zien dat ze geen echte zero-day nodig hebben om schade te veroorzaken. Ze grijpen regelmatig naar nieuw openbaar gemaakte, hoog-ernstige lekken zodra patches beschikbaar zijn maar voordat organisaties ze hebben toegepast – een dynamiek die werd bevestigd toen CISA bevestigde dat ransomwarebendes de BlueHammer-kwetsbaarheid misbruikten lang nadat er al een fix was uitgebracht. De les is consistent: ongepatchte systemen blijven waardevolle doelen lang nadat de eerste zero-day-krantenkoppen vervagen.

Wat dit voor jou betekent

Als je Windows gebruikt, of het nu op een persoonlijke laptop of een werkapparaat is, is de praktische stap eenvoudig: installeer de update van deze maand zodra deze voor jou beschikbaar is. Ga naar Instellingen, vervolgens naar Windows Update en controleer handmatig op updates als je apparaat je nog niet heeft gevraagd. Start opnieuw op wanneer daarom wordt gevraagd. Het klinkt simpel, maar uitgesteld patchen blijft een van de meest voorkomende redenen waarom aanvallers slagen, vooral bij zero-days die al actief worden misbruikt.

Het patchen van je besturingssysteem is ook de basis waarvan al het andere in je beveiligingsopstelling afhangt. Een VPN kan de privacy van je verkeer beschermen en je IP-adres afschermen van nieuwsgierige blikken, en endpoint-beveiligingstools kunnen schadelijke bestanden of verdacht gedrag onderscheppen, maar geen van die tools kan volledig compenseren voor een ongepatchte kwetsbaarheid in het besturingssysteem die een aanvaller directe toegang tot je apparaat geeft. Zie OS-patches als de afgesloten voordeur en al het andere – VPN's, antivirus, firewalls – als extra beveiligingslagen rond die deur. Als de deur zelf een gat heeft, moeten de andere lagen veel harder werken om je veilig te houden.

Concrete actiepunten

Controleer en installeer de Patch Tuesday-update van juli onmiddellijk, vooral als je meerdere apparaten of een klein bedrijfsnetwerk beheert. Geef prioriteit aan systemen die na een week nog ongepatcht zijn, want dat is doorgaans het moment waarop exploitatiepogingen versnellen. Houd automatische updates in de toekomst ingeschakeld, zodat je niet afhankelijk bent van het handmatig onthouden van elke maandelijkse release. En beschouw deze recordbrekende patchcyclus als een herinnering dat de gezondheid van je besturingssysteem ten grondslag ligt aan elk ander privacy- en beveiligingstool dat je gebruikt – laat het dus niet de zwakste schakel worden.