Windows-CVE-volume in 2026: wat patchingteams zouden moeten meten

In de drie volledige jaren van ons nieuwe onderzoek steeg het aantal unieke Windows- en Office-CVE's van 679 naar 941 naar 2.438 (+38,6%, daarna +159,1%), terwijl de gemiddelde CVSS v3-basisscore verschoof van 7,43 naar 7,37 en vervolgens naar 7,28. Dat is een veel grotere inkomende werklast bij een gemiddelde ernst die niet is gestegen, en daarom is een ruw CVE-aantal een slechte maatstaf om een patchingprogramma mee aan te sturen. Dit bericht loopt langs wat de cijfers zeggen, hoe het cohort is opgebouwd, wat u in plaats daarvan kunt meten en wat het onderzoek niet kon meten. Het onderzoek is door het bedrijf zelf geschreven en is niet peer-reviewed. We kondigden het aan op 2 november, en het volledige paper is beschikbaar via de registratiepagina.

Wat de jaarcijfers zeggen

Het paper vergelijkt drie niet-overlappende volledige jaren, elk lopend van oktober tot september, zodat geen onvoltooide maand de vergelijking vertekent.

Unieke Windows- en Office-CVE's in de drie volledige jaarcohorten van het paper. Windows en Office overlappen, dus de totale set is ontdubbeld en de twee aantallen mogen niet bij elkaar worden opgeteld.

De stijging is niet gelijkmatig verdeeld. Het paper constateert dat ze geconcentreerd is in medio tot eind 2026: juli had 483 CVE's, augustus 316 en september 819, tegenover een mediaan van 69 per maand over de 36 volledige maanden. Oktober 2026 draagt tot de peildatum van 26 oktober al 1.277 Windows- en Office-CVE's bij, waaronder 1.114 records voor het besturingssysteem Windows. Dit zijn herziene maandtotalen van openbaarmakingen, inclusief records buiten de reguliere cyclus, dus ze mogen niet worden gelijkgesteld met een nieuwsbericht dat alleen de oorspronkelijke Patch Tuesday-release telt. Het paper projecteert geen enkele maand naar een jaarprognose en claimt geen significantietoets of causaal breekpunt.

Over de laatste 12 rapportagemaanden (november 2025 tot oktober 2026, waarbij oktober gedeeltelijk is) bevat het cohort 3.565 CVE's, ongeveer 297,1 per rapportagemaand. Delen door 12 beschrijft de doorvoer per rapportagemaand en rekent oktober niet om naar een volledige maand. De controle over volledige maanden tot en met september 2026 geeft 2.438 CVE's over 12 maanden, 3.379 over 24 en 4.058 over 36.

De gemiddelde ernst steeg niet

Het gemiddelde ondersteunt geen algemene stijging van de gemiddelde basisernst, maar dat betekent ook niet dat het risico is gedaald. Het absolute aantal ernstige openbaarmakingen kan groeien terwijl hun gemiddelde gelijk blijft: in het laatste jaar scoren 1.841 van de 2.436 gescoorde records (75,6%) ten minste 7, en scoren er 60 een 9,0 of hoger. Het paper behandelt CVSS als een ernstschaal en het gemiddelde als een beschrijvende samenvatting, niet als een verwachte financiële schade of een kans op compromittering. De labels "Critical" van leveranciers vormen een andere classificatie en worden apart gerapporteerd.

Het onderzoek koppelt elke CVE ook aan de catalogus Known Exploited Vulnerabilities van CISA. Het aantal CVE's in die catalogus is in de drie jaarcohorten 29, 25 en 21 op de peildatum. Het paper noemt dat een beschrijvende dwarsdoorsnede en geen bewijs dat uitbuiting minder vaak voorkomt: de opvolgtijd verschilt, de dekking van de catalogus is onvolledig en een groeiende noemer kan het waargenomen aandeel mechanisch verlagen.

Hoe het cohort is opgebouwd

De methode is bewust conservatief en elke stap is zichtbaar in het paper.

1. Bron. 37 maandelijkse CVRF-documenten van het Microsoft Security Response Center, oktober 2023 tot oktober 2026, bewaard met tijdstempels en SHA-256-hashes.
2. Opschoning. Zeven adviesregels zonder CVE en 48 expliciet afgewezen CVE-identificaties zijn uitgesloten. Herhaalde productversieregels zijn samengevoegd tot één record per CVE.
3. Afgebakende reikwijdte. Genummerde Windows-clients en Windows Server-producten, plus desktopapplicaties van Office, met een expliciete allowlist van producten. Totalen over alle records van het Microsoft Security Response Center zijn niet de hoofdmaatstaf, omdat ze ook Azure Linux, clouddiensten en upstream-componenten omvatten.
4. Eén datum per CVE. De vroegste geldige herzieningsdatum. Het paper is duidelijk dat dit een benadering van de openbaarmaking is op basis van Microsoft-rapportage, geen waargenomen ontdekkingsdatum, geen wereldwijde publicatiedatum en geen datum van patchinstallatie.
5. Eén score per CVE. De hoogste waargenomen toepasselijke CVSS v3.x-basisscore over de bewaarde herzieningen. Ontbrekende scores worden uitgesloten van het gemiddelde en de bijbehorende noemer, en CVSS v4 en temporele scores worden niet gemengd.
6. Koppeling met uitbuiting. Lidmaatschap van CISA KEV op basis van CVE-ID, met catalogusversie 2026.10.23.
7. Gedeeltelijke maanden. Volledige jaren lopen van oktober tot september. Oktober 2026 wordt apart gerapporteerd en nooit als een afgeronde maand behandeld.

Geautomatiseerde controles bevestigden de 37 verwachte documenten, geen dubbele CVE- en reikwijdtesleutels, geldige scorebereiken en maandaantallen die sluiten met de cohorttotalen. Een vergelijking van zes records met NVD en de CVE Services API is een consistentiecontrole, geen onafhankelijke replicatie, en NVD wordt niet als enige noemer voor gescoorde producten gebruikt omdat de achterstand uit 2024 en een wijziging in het verrijkingsbeleid in april 2026 een dekkingsbreuk veroorzaken. Volgens het paper bevat het analytische supplement de cohorttabellen per CVE en per maand, de audit van de productreikwijdte, uitgesloten en afgewezen records, de releasegebeurtenissen en maandreeksen van applicaties, de dataset met 17 rijen over hersteltijden en het dekkingsbestand, de bewijsregisters en een SHA-256-manifest, inclusief de analysescripts.

Zes releasestromen van applicaties

Packagingteams patchen niet volgens één kalender, dus het paper voegt een doelgericht samengesteld panel van zes releasestromen toe: Chrome, Edge, Firefox, Visual Studio Code, Notepad++ en 7-Zip. Een releasedag is een afzonderlijke datum waarop een versie van een app is gepubliceerd. In het laatste volledige jaar loopt het panel van 69 releasedagen voor Edge, 64 voor Chrome en 61 voor Visual Studio Code, via 44 voor Firefox en 17 voor Notepad++, tot 4 voor 7-Zip. Pieken zijn drukker dan die gemiddelden doen vermoeden: Visual Studio Code bereikte in één maand negen releasedagen.

Over de 36 volledige maanden leverden de zes stromen 661 app-specifieke releasedagen op. Het panel is geen representatieve steekproef van Windows-software, de populaties van CVE's en releases verschillen, en het paper zegt dat de aantallen niet met elkaar mogen worden vermenigvuldigd of als causaal verband mogen worden gelezen. Releasedagen beschrijven beschikbaarheid en monitoringmogelijkheden, geen verplichte uitrol of packagingtijd.

Wat u in plaats van CVE-aantallen moet meten

Het paper stelt de volgende maatstaven voor als beheersmaatregelen, niet als waarden die uit CVE-totalen zijn afgeleid.

• Tijd tot geverifieerde bescherming: van het beschikbaar komen van een toepasselijke fix van de leverancier tot bevestigde bescherming, inclusief herstarts van de browser, herstarts van het systeem en nieuwe scans. Rapporteer de mediaan en het 90e percentiel, plus mislukte installaties, rollbackpercentage en het verlopen van uitzonderingen.
• Vertraging van release tot besluit en van release tot bescherming per app en kanaal.
• Kwalificatie-inspanning: maandelijkse geselecteerde versieovergangen, centrale artefactbuilds, en de mediane en 90e-percentielduur van de kwalificatie.
• Herwerk: aandeel spoedwijzigingen, faal- en herwerkpercentage, en de achterstand van mislukte updaters.
• Blootstelling: de leeftijd van openstaande toepasselijke beveiligingsupdates, plus blootgestelde KEV-instanties en hun leeftijd, niet-ondersteunde assets en achterstand naar belang van de dienst.

Onder dit alles ligt een geversioneerde inventaris, zodat een CVE wordt gekoppeld aan de geïnstalleerde en blootgestelde assets voordat de herstelwachtrij groeit. Houd CVE-aantallen gescheiden van apparaatinstanties en uitrolinspanning.

Wat het onderzoek niet kon meten

• Een gemiddelde hersteltijd voor het hele cohort. Elk van de 4.058 CVE's in het volledige venster heeft een geldig herzieningstijdstip, maar geen opgegeven ontdekkings- of releasedatum. Alle 98.265 toepasselijke herstelregels dragen de sentineldatum uit het jaar 0001 met DateSpecified=false. Er zijn items voor leveranciersfixes voor alle 4.058 CVE's, items voor expliciete workarounds voor vijf en mitigatie-items voor 66, dus er zijn nul bruikbare gestructureerde datumparen. Ontbrekende datums zijn geen nul dagen vertraging.
• Eén klok. Gedateerde cases, zoals drie intervallen tussen privémelding en release bij PHP en NGINX van 61, 71 en 81 dagen, gebruiken verschillende begin- en eindgebeurtenissen en worden apart gerapporteerd, niet samengevoegd tot een gemiddelde.
• De ernst van elke browser-CVE. Slechts 240 van de 2.931 Edge-gerelateerde records (8,2%) hebben in deze extractie een toepasselijke numerieke CVSS v3-score, dus het gemiddelde van die groep kan niet voor alle browser-CVE's gelden.
• Wat beheerders op de dag zelf zagen. Historische maandbestanden zijn veranderlijk en scores kunnen na de eerste openbaarmaking wijzigen. De momentopname ondersteunt replicatie van het onderzoek, niet het herstellen van eerdere bronstatussen.

De rol van EtherApps Forge

Het onderzoek evalueert EtherApps Forge noch enig ander commercieel product, en EfficientEther vermeldt in het paper zijn belang bij EtherApps Forge. De verbinding is het werk dat de cijfers opleveren. Als leveranciersreleases sneller binnenkomen, wordt de packagingvraag welke applicaties u centraal packaget en hoe snel u elke nieuwe versie kunt kwalificeren. EtherApps Forge legt Windows-applicaties vast waar ze al draaien en bouwt ondertekende MSIX-, MSI-, Intune- en App Attach-pakketten, wat de packagingkant van die routine is. Modernisering en migratie van applicaties en modernisering van legacy-applicaties behandelen de oudere applicaties die het moeilijkst actueel te houden zijn, en ons eerdere onderzoek naar 3.261 geautomatiseerde MSIX-packagingcases laat zien hoe we het maken van pakketten scheiden van bewijs voor starten en testen.

Ontvang het Windows-patchingonderzoek voor de volledige tabellen, de methode en de maatstaven die uw team kan overnemen.