-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in Microsoft Developer Tools
Advisory ID     : NCSC-2026-0426
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2026-58280, CVE-2026-66822, CVE-2026-69370,
                  CVE-2026-69651, CVE-2026-69905, CVE-2026-69914,
                  CVE-2026-69945, CVE-2026-69969, CVE-2026-69979,
                  CVE-2026-70007, CVE-2026-70035, CVE-2026-70098,
                  CVE-2026-70159, CVE-2026-70161, CVE-2026-70165,
                  CVE-2026-70174, CVE-2026-70175, CVE-2026-70179,
                  CVE-2026-70181, CVE-2026-70183, CVE-2026-70186,
                  CVE-2026-70188, CVE-2026-70190, CVE-2026-70194,
                  CVE-2026-70196, CVE-2026-70197, CVE-2026-83520,
                  CVE-2026-84008, CVE-2026-85363, CVE-2026-85849,
                  CVE-2026-85934, CVE-2026-87697, CVE-2026-88092,
                  CVE-2026-96224, CVE-2026-96225, CVE-2026-96229,
                  CVE-2026-96230, CVE-2026-96231, CVE-2026-96232,
                  CVE-2026-96233, CVE-2026-96234, CVE-2026-96235,
                  CVE-2026-96236, CVE-2026-96237, CVE-2026-96238,
                  CVE-2026-96957, CVE-2026-96958, CVE-2026-96959,
                  CVE-2026-96960, CVE-2026-102229, CVE-2026-102230,
                  CVE-2026-102231, CVE-2026-102232, CVE-2026-102233,
                  CVE-2026-102234, CVE-2026-102235, CVE-2026-102238,
                  CVE-2026-102851, CVE-2026-102869, CVE-2026-102870,
                  CVE-2026-103572, CVE-2026-108398
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Improper Limitation of a Pathname to a Restricted
                  Directory ('Path Traversal')
                  Improper Resolution of Path Equivalence
                  Improper Link Resolution Before File Access ('Link
                  Following')
                  Improper Neutralization of Special Elements used in a
                  Command ('Command Injection')
                  Improper Neutralization of Input During Web Page
                  Generation ('Cross-site Scripting')
                  Improper Control of Generation of Code ('Code
                  Injection')
                  Improper Encoding or Escaping of Output
                  Out-of-bounds Read
                  Permissive List of Allowed Inputs
                  Integer Overflow or Wraparound
                  Insertion of Sensitive Information Into Sent Data
                  Incorrect Privilege Assignment
                  Authentication Bypass by Spoofing
                  Improper Certificate Validation
                  Origin Validation Error
                  Improper Verification of Cryptographic Signature
                  Improperly Implemented Security Check for Standard
                  Concurrent Execution using Shared Resource with
                  Improper Synchronization ('Race Condition')
                  Asymmetric Resource Consumption (Amplification)
                  Inefficient Algorithmic Complexity
                  Use After Free
                  Improper Protection of Alternate Path
                  Untrusted Search Path
                  Inconsistent Interpretation of HTTP Requests ('HTTP
                  Request/Response Smuggling')
                  Deserialization of Untrusted Data
                  Uncontrolled Recursion
                  Allocation of Resources Without Limits or Throttling
                  Out-of-bounds Write
                  Reliance on Untrusted Inputs in a Security Decision
                  Inclusion of Functionality from Untrusted Control
                  Sphere
                  Deadlock
                  Access of Resource Using Incompatible Type ('Type
                  Confusion')
                  Missing Authorization
                  Incorrect Authorization
Uitgiftedatum   : 20261013
Toepassing      : Microsoft .NET 10.0 installed on Linux
                  Microsoft .NET 10.0 installed on Mac OS
                  Microsoft .NET 10.0 installed on Windows
                  Microsoft .NET 11.0 installed on Linux
                  Microsoft .NET 11.0 installed on Mac OS
                  Microsoft .NET 11.0 installed on Windows
                  Microsoft .NET 8.0 installed on Linux
                  Microsoft .NET 8.0 installed on Mac OS
                  Microsoft .NET 8.0 installed on Windows
                  Microsoft .NET 9.0 installed on Linux
                  Microsoft .NET 9.0 installed on Mac OS
                  Microsoft .NET 9.0 installed on Windows
                  Microsoft ASP.NET Core 10.0
                  Microsoft ASP.NET Core 11.0
                  Microsoft ASP.NET Core 8.0
                  Microsoft ASP.NET Core 9.0
                  Microsoft Azure API Center
                  Microsoft Microsoft .NET Framework 3.5 AND 4.8.1 on
                  Windows 11 version 26H2
                  Microsoft Microsoft .NET Framework 3.5 AND 4.8.1 on
                  Windows Server 2022
                  Microsoft Microsoft .NET Framework 3.5 AND 4.8.1 on
                  Windows Server 2025
                  Microsoft Microsoft .NET Framework 4.8
                  Microsoft Microsoft .NET Framework 4.8.1 on Windows 11
                  version 26H1
                  Microsoft Microsoft Visual Studio 2022 version 17.14
                  Microsoft
                  Microsoft.AspNetCore.Components.WebAssembly.Server on
                  .NET 8.0 installed on Linux
                  Microsoft
                  Microsoft.AspNetCore.Components.WebAssembly.Server on
                  .NET 8.0 installed on Mac OS
                  Microsoft
                  Microsoft.AspNetCore.Components.WebAssembly.Server on
                  .NET 8.0 installed on Windows
                  Microsoft System.Security.Cryptography.Xml on .NET
                  10.0 installed on Linux
                  Microsoft System.Security.Cryptography.Xml on .NET
                  10.0 installed on Mac OS
                  Microsoft System.Security.Cryptography.Xml on .NET
                  10.0 installed on Windows
                  Microsoft System.Security.Cryptography.Xml on .NET
                  11.0 installed on Linux
                  Microsoft System.Security.Cryptography.Xml on .NET
                  11.0 installed on Mac OS
                  Microsoft System.Security.Cryptography.Xml on .NET
                  11.0 installed on Windows
                  Microsoft System.Security.Cryptography.Xml on .NET 9.0
                  installed on Linux
                  Microsoft System.Security.Cryptography.Xml on .NET 9.0
                  installed on Mac OS
                  Microsoft System.Security.Cryptography.Xml on .NET 9.0
                  installed on Windows
                  Microsoft Visual Studio Code
Versie(s)       :
Platform(s)     :

Beschrijving
   Microsoft heeft kwetsbaarheden verholpen in diverse componenten van
   de Developer Tools, zoals .NET en Visual Studio.

   Een kwaadwillende kan aanvallen uitvoeren die kunnen leiden tot de
   categoriën schade zoals weergegeven in de onderstaande tabellen.
   .NET:
   |------------------|------|-------------------------------------|
   | CVE-ID           | CVSS | Impact                              |
   |------------------|------|-------------------------------------|
   | CVE-2026-58280   | 7.50 | Denial-of-Service                   |
   | CVE-2026-66822   | 5.90 | Toegang tot gevoelige gegevens      |
   | CVE-2026-69651   | 7.50 | Denial-of-Service                   |
   | CVE-2026-70161   | 7.30 | Verkrijgen van verhoogde rechten    |
   | CVE-2026-70165   | 6.70 | Verkrijgen van verhoogde rechten    |
   | CVE-2026-70174   | 8.80 | Uitvoeren van willekeurige code     |
   | CVE-2026-70190   | 7.30 | Verkrijgen van verhoogde rechten    |
   | CVE-2026-70197   | 8.10 | Uitvoeren van willekeurige code     |
   | CVE-2026-83520   | 8.80 | Uitvoeren van willekeurige code     |
   | CVE-2026-84008   | 7.50 | Denial-of-Service                   |
   | CVE-2026-87697   | 8.80 | Uitvoeren van willekeurige code,
   <Vertaal: > |
   | CVE-2026-96224   | 8.80 | Uitvoeren van willekeurige code     |
   | CVE-2026-96225   | 7.80 | Verkrijgen van verhoogde rechten    |
   | CVE-2026-96229   | 6.50 | Toegang tot gevoelige gegevens      |
   | CVE-2026-96231   | 7.80 | Verkrijgen van verhoogde rechten    |
   | CVE-2026-96232   | 7.50 | Toegang tot gevoelige gegevens      |
   | CVE-2026-96234   | 5.30 | Toegang tot gevoelige gegevens      |
   | CVE-2026-96235   | 8.80 | Uitvoeren van willekeurige code     |
   | CVE-2026-96237   | 7.50 | Uitvoeren van willekeurige code     |
   | CVE-2026-96238   | 6.50 | Omzeilen van beveiligingsmaatregel  |
   | CVE-2026-96957   | 8.80 | Omzeilen van beveiligingsmaatregel  |
   | CVE-2026-96958   | 7.50 | Denial-of-Service                   |
   | CVE-2026-96959   | 7.50 | Denial-of-Service                   |
   | CVE-2026-96960   | 7.50 | Denial-of-Service                   |
   |------------------|------|-------------------------------------|
   Visual Studio Code:
   |------------------|------|-------------------------------------|
   | CVE-ID           | CVSS | Impact                              |
   |------------------|------|-------------------------------------|
   | CVE-2026-102229  | 6.80 | Toegang tot gevoelige gegevens      |
   | CVE-2026-102230  | 7.40 | Toegang tot gevoelige gegevens      |
   | CVE-2026-102231  | 7.70 | Omzeilen van beveiligingsmaatregel  |
   | CVE-2026-102232  | 7.00 | Omzeilen van beveiligingsmaatregel  |
   | CVE-2026-102233  | 7.80 | Omzeilen van beveiligingsmaatregel  |
   | CVE-2026-102234  | 7.40 | Omzeilen van beveiligingsmaatregel  |
   | CVE-2026-102235  | 8.80 | Uitvoeren van willekeurige code     |
   | CVE-2026-102238  | 9.60 | Uitvoeren van willekeurige code     |
   | CVE-2026-102851  | 6.10 | Omzeilen van beveiligingsmaatregel  |
   | CVE-2026-69370   | 8.80 | Uitvoeren van willekeurige code     |
   | CVE-2026-70098   | 8.80 | Uitvoeren van willekeurige code     |
   |------------------|------|-------------------------------------|
   ASP.NET Core:
   |------------------|------|-------------------------------------|
   | CVE-ID           | CVSS | Impact                              |
   |------------------|------|-------------------------------------|
   | CVE-2026-102870  | 8.80 | Uitvoeren van willekeurige code     |
   | CVE-2026-70159   | 7.50 | Denial-of-Service                   |
   | CVE-2026-70175   | 8.10 | Verkrijgen van verhoogde rechten    |
   | CVE-2026-70179   | 7.50 | Verkrijgen van verhoogde rechten    |
   | CVE-2026-70181   | 7.50 | Denial-of-Service                   |
   | CVE-2026-70183   | 7.50 | Verkrijgen van verhoogde rechten    |
   | CVE-2026-70186   | 7.50 | Denial-of-Service                   |
   | CVE-2026-70188   | 9.10 | Omzeilen van beveiligingsmaatregel  |
   | CVE-2026-70196   | 5.90 | Denial-of-Service                   |
   | CVE-2026-88092   | 9.40 | <Vertaal: Tampering>                |
   | CVE-2026-96230   | 8.80 | Uitvoeren van willekeurige code     |
   | CVE-2026-96233   | 7.50 | Denial-of-Service                   |
   | CVE-2026-96236   | 7.50 | Denial-of-Service                   |
   |------------------|------|-------------------------------------|
   Visual Studio Tools for Applications and SQL Server Management
   Studio:
   |------------------|------|-------------------------------------|
   | CVE-ID           | CVSS | Impact                              |
   |------------------|------|-------------------------------------|
   | CVE-2026-103572  | 8.80 | Uitvoeren van willekeurige code     |
   |------------------|------|-------------------------------------|
   Windows AppX Deployment Extensions:
   |------------------|------|-------------------------------------|
   | CVE-ID           | CVSS | Impact                              |
   |------------------|------|-------------------------------------|
   | CVE-2026-69945   | 8.80 | Verkrijgen van verhoogde rechten    |
   |------------------|------|-------------------------------------|
   .NET Framework:
   |------------------|------|-------------------------------------|
   | CVE-ID           | CVSS | Impact                              |
   |------------------|------|-------------------------------------|
   | CVE-2026-108398  | 8.80 | Omzeilen van beveiligingsmaatregel  |
   | CVE-2026-70007   | 8.80 | Uitvoeren van willekeurige code     |
   | CVE-2026-70035   | 8.80 | Uitvoeren van willekeurige code     |
   | CVE-2026-70194   | 6.50 | Omzeilen van beveiligingsmaatregel  |
   | CVE-2026-85363   | 8.80 | Verkrijgen van verhoogde rechten    |
   |------------------|------|-------------------------------------|
   Windows AppX Deployment Service:
   |------------------|------|-------------------------------------|
   | CVE-ID           | CVSS | Impact                              |
   |------------------|------|-------------------------------------|
   | CVE-2026-69905   | 5.50 | <Vertaal: Tampering>                |
   | CVE-2026-69914   | 5.50 | Toegang tot gevoelige gegevens      |
   | CVE-2026-69969   | 4.70 | Toegang tot gevoelige gegevens      |
   | CVE-2026-69979   | 5.50 | Omzeilen van beveiligingsmaatregel  |
   | CVE-2026-85849   | 7.80 | Verkrijgen van verhoogde rechten    |
   | CVE-2026-85934   | 7.00 | Verkrijgen van verhoogde rechten    |
   |------------------|------|-------------------------------------|
   .NET and Visual Studio:
   |------------------|------|-------------------------------------|
   | CVE-ID           | CVSS | Impact                              |
   |------------------|------|-------------------------------------|
   | CVE-2026-102869  | 8.80 | Verkrijgen van verhoogde rechten,
   <Vertaal: > |
   |------------------|------|-------------------------------------|

Mogelijke oplossingen
   Microsoft heeft updates beschikbaar gesteld waarmee de beschreven
   kwetsbaarheden worden verholpen. We raden u aan om deze updates te
   installeren. Meer informatie over de kwetsbaarheden, de installatie
   van de updates en eventuele work-arounds vindt u op:
   https://portal.msrc.microsoft.com/en-us/security-guidance

   Referenties:


Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----

iQGzBAEBCgAdFiEEGSwziqblmmRNtImqgupWoL0ZhGEFAmrOfwAACgkQgupWoL0Z
hGHY9QwAlf9WtCZB112ybGIFLI+FW03vOqHKa3Y15Ru0FamDt7/5+bN3zeNFOJA4
5qbeEx/Q1T0HpJ1PVILJO644UAhLijaq+fIC4YYRLHHV+CSJDK76mCcq6o+qAJ0D
SElMP5LkVSu8wQTGZ9KIjbC+lu0ozZ0rrmrAQPLRLM5yx+w/46KgbgwQpsCr/WRF
vEEwNGYE3PeMnebeD3MUTMb9K9vyuGfrgFiVt03J/9WN++/9kZQKzDUWDBSvoAVu
K17eN2N6coUI2sOBFOOBEoCfxZUrVFzl4pdqP6KyPeQCSSx73aaHML7aFRcIwRze
p8dR5VI7hhjytjTNi02o0nCZXGRUFBZKKPBc6rX6DoWN2xYeSKwL8GEVYUug0uNI
XSEkvD+A/crKUGNJTKO5Xx6j3bBaoVeQK4bzjxHigG2xThlsnfJjqHjI3jfrNAHX
sZ5vfD/SqkoU9XILf/7bNbkcUhZ79hzNaXbieshD+U4Gky6MZ6oYhHtOI1Yt3mUf
oHKNxL1f
=2Gqd
-----END PGP SIGNATURE-----