Op 13 oktober 2026 bracht Microsoft de grootste Patch Tuesday ooit uit: 1.411 opgeloste kwetsbaarheden volgens BleepingComputer, 1.413 volgens The Hacker News. Dat komt niet door slechtere software. Het komt doordat AI fouten vindt die mensen jarenlang over het hoofd zagen. Dat raakt iedereen die software bouwt, koopt of beheert.
Wat is er in oktober gebeurd?
Kort antwoord
Microsoft loste in oktober 2026 meer dan 1.400 kwetsbaarheden op in één update, waaronder drie zero-days. Dat is een record. De oorzaak is AI: Microsoft laat AI-agents de eigen code doorzoeken en die vinden veel meer bugs dan mensen. Voor jouw software betekent dit meer updates in je dependencies. Snel en geautomatiseerd patchen wordt daarom noodzaak.
De oktober-update was niet zomaar groot. Er zaten volgens Cybernews meer fixes in dan Microsoft in heel 2025 uitbracht. BleepingComputer telt lager omdat het de 348 kwetsbaarheden niet meetelt die eerder die maand al waren opgelost. Hoe je ook telt, het vorige record van september is ruim verbroken.
Drie van de opgeloste fouten waren zero-days: kwetsbaarheden die al bekend of in gebruik waren voordat de patch er was. De ernstigste is CVE-2026-96951. Die omzeilt de Mark-of-the-Web-bescherming van Windows Shell en werd al actief misbruikt. Volgens SOCRadar kregen ongeveer zeventig fixes het label 'kritiek'.
Waarom vindt AI ineens zoveel bugs?
Microsoft gebruikt een eigen systeem met AI-agents, MDASH, om de eigen code te doorzoeken. Meerdere modellen zoeken parallel naar fouten, bespreken die onderling en tonen aan dat ze echt misbruikt kunnen worden. Tom Gallagher, Vice President of Engineering bij Microsoft, zei al in juni dat grote Patch Tuesdays de nieuwe norm kunnen worden. Dat bleek te kloppen:
| Patch Tuesday 2026 | Opgeloste kwetsbaarheden | Bron |
|---|---|---|
| Mei | 137 | Paranoid Security |
| Juni | 206 | Security Boulevard |
| Juli | 622 | Hackread |
| September | 974 | HotHardware |
| Oktober | 1.411–1.413 | BleepingComputer |
AI is goed in fouten die een mens na de honderdste file niet meer ziet: randgevallen in geheugenbeheer, timingproblemen tussen processen en logicafouten die alleen ontstaan als functies samen gebruikt worden. Die fouten zaten er vaak al jaren in. Ze worden nu alleen eindelijk gevonden.
AI maakt software niet onveiliger. Het laat zien hoeveel fouten er al die tijd al in zaten.
Het nieuwe knelpunt: patches verwerken
Fouten vinden is niet meer het probleem. Ze allemaal verwerken wel. Microsoft ziet dat zelf ook en stelde bij deze update risk cohorts voor. Dat zijn groepen kwetsbaarheden waarvoor dezelfde beoordeling van je omgeving geldt, bijvoorbeeld 136 fouten in Windows-bestandssystemen, opslag en back-up. Je beoordeelt dan één groep in plaats van honderden losse meldingen. Het is nog een voorstel en geen officieel classificatiesysteem.
Wat betekent dit voor jouw software?
De patches van oktober gaan over Microsoft-producten. De trend erachter raakt de hele softwareketen. Een Laravel-applicatie leunt op tientallen Composer-packages en vaak nog meer npm-packages, met daaronder weer hun eigen dependencies. Als de makers daarvan ook AI-scanners gaan gebruiken, en dat gebeurt al, krijg je veel meer updates.
1. Eén keer per maand handmatig patchen is niet genoeg
Volgens het Verizon DBIR 2026 lossen organisaties maar 26% van de kritieke kwetsbaarheden volledig op. De mediane reparatietijd is 43 dagen. Dat was al te traag toen er per maand tientallen patches kwamen. Bij honderden houd je het niet meer bij.
Wat wel werkt: automatische dependency-updates via Dependabot of Renovate, gecombineerd met een CI/CD-pipeline die binnen een paar minuten laat zien of alles nog werkt. De meeste updates zijn kleine versies zonder breaking changes. Bewaar handmatige review voor kritieke of ingrijpende updates.
2. Je tests bepalen hoe snel je kunt patchen
Teams patchen zelden traag omdat ze de update niet zien. Ze zijn bang dat er iets kapotgaat. Een goede testsuite neemt die angst weg. Slagen de tests na een update, dan kun je deployen. Zonder tests test je met de hand, en dat kost de dagen die je niet hebt.
3. Weet wat je draait
Je kunt alleen patchen wat je kent. De meeste teams weten welk framework ze gebruiken, maar niet welke dependencies daar weer onder zitten. Je composer.lock en package-lock.json zijn je inventaris. Draai regelmatig composer audit en npm audit, of laat GitHub dat automatisch doen met Dependabot-alerts.
De CRA maakt snel patchen ook juridisch verplicht
Sinds 11 september 2026 geldt de meldplicht van de Cyber Resilience Act. Fabrikanten van producten met digitale elementen moeten actief misbruikte kwetsbaarheden binnen 24 uur melden via het Single Reporting Platform van ENISA. Daarna moeten ze gebruikers informeren en een oplossing leveren.
Meer gevonden kwetsbaarheden in het ecosysteem betekent meer kans dat er een actief misbruikt wordt in jouw product. Software die je niet snel kunt updaten, omdat er geen pipeline is, geen tests zijn of deployen downtime kost, wordt dan ook een juridisch risico. Vanaf 11 december 2027 gelden de volledige eisen van de CRA, inclusief security by design en kwetsbaarheidsbeheer gedurende de hele levensduur van je product.
Wat je nu kunt doen
- Automatiseer dependency-updates: zet Dependabot of Renovate aan op je repositories en laat bij elke voorgestelde update automatisch de tests draaien.
- Investeer in tests op de kritieke paden: niet 100% coverage als doel, maar genoeg om een update met vertrouwen live te zetten.
- Houd een inventaris bij: weet welke packages en versies je draait, ook de indirecte, en controleer ze op bekende kwetsbaarheden.
- Verkort je deploycyclus: hoe sneller en veiliger je kunt deployen, hoe sneller een patch live staat. Deployen zonder downtime helpt daarbij.
- Groepeer updates op risico: beoordeel updates per onderdeel van je stack in plaats van één voor één, net als Microsoft met risk cohorts doet.
- Check je CRA-positie: breng je software op de EU-markt, zorg dan dat je meldproces klaar is.
Mijn kijk op de patchgolf
Ik schrik niet van 1.400 patches. Ik schrik van teams die er nog op rekenen dat updaten iets is voor als het rustig is. Die tijd is voorbij. AI maakt bugs vinden goedkoop, voor verdedigers én voor aanvallers. Wat telt is hoe snel je van "er is een patch" naar "het staat live" gaat.
Dat is geen kwestie van harder werken maar van inrichting. In onze projecten draaien dependency-updates automatisch door de testsuite, en kan een gewone update dezelfde dag live. Dat lukt alleen omdat de tests er vanaf het begin in zitten. Achteraf toevoegen is altijd duurder dan meteen goed doen.
Ik verwacht dat dit pas het begin is. Wat Microsoft nu doet, gaan de makers van frameworks en packages ook doen. Wie nu zijn patchproces op orde brengt, merkt daar straks weinig van. Wie dat niet doet, loopt steeds verder achter.
— Jasper
Zo helpt Coding Agency hierbij
Wij bouwen maatwerksoftware met geautomatiseerde tests, een CI/CD-pipeline en automatische dependency-updates vanaf de eerste dag. Daardoor staan beveiligingsupdates snel en veilig live. Heb je een bestaande applicatie zonder tests of met een traag updateproces? Dan kijken we samen hoe je dat stap voor stap op orde krijgt, ook met het oog op de Cyber Resilience Act en supply chain-risico's.
Neem contact op voor een vrijblijvend gesprek.
