September 2026 Patch Tuesday: de RDS/RDP-regressie en de zaak voor N-1-patchen

1. Wat de september-CU herstelde

Deze ronde was met een marge de grootste Patch Tuesday tot nu toe. De exacte telling verschilt naargelang je alleen Microsoft's eigen CVE's meerekent of ook die van derde partijen die via de Microsoft-catalogus meelopen, maar de meest gebruikte kern komt neer op ongeveer 974 Microsoft-CVE's in één ronde.

Twee daarvan stonden op het moment van patchen al actief onder misbruik: CVE-2026-81963 in de Windows Update-stack zelf, en CVE-2026-85880 in Windows ALPC. Voor wie Failover Clusters met Remote Desktop Services draait was er ook een kritieke remote-code-executionkwetsbaarheid bij, CVE-2026-69525, met een CVSS-score van 9,8, uitgerekend in de component die een paar dagen later ook de regressie zou veroorzaken.

Dat laatste is geen samenloop van toeval. Het is precies waarom een patchronde niet alleen gaat over de vraag of je de nieuwste cumulative update installeert, maar ook over welke component die update raakt en hoe kritiek die component in jouw omgeving is.

2. De RDS/RDP-regressie: wat kapot ging en waarom

Binnen negen dagen na Patch Tuesday was er een bevestigde, grote regressie in drie cumulative updates: KB5122876 (Server 2019), KB5122882 (Server 2022) en KB5122871 (Server 2025). RDS-sessiehosts lopen enkele uren na een reboot vast. RDP-verbindingen blijven hangen op "Connecting…" zonder ooit een sessie op te bouwen. En het stopt niet bij RDP: MMC, Verkenner, de RDS Licensing Diagnoser en zelfs de Windows Update-pagina zelf hangen mee.

De oorzaak ligt in een wijziging in het audio-redirection-codepad van RDP, het stuk code dat geluid van de sessiehost naar de cliënt doorstuurt. Een aanpassing daarin, waarschijnlijk bedoeld voor een van de beveiligingsfixes in deze ronde, blokkeert onder de juiste omstandigheden de rest van de sessie. Voor Failover Cluster-nodes die RDS-rollen dragen, of die simpelweg via RDP beheerd worden, is dat direct operationeel: een sessiehost die enkele uren na boot vastloopt merk je niet tijdens de patchronde zelf, maar wel op het moment dat het beheerteam er middenin zit.

Een kleinere, apart te vermelden verandering in dezelfde ronde: WSUS toont tijdelijk geen synchronisatie-foutdetails meer. Dat is geen bug, maar een bewuste maatregel die samenhangt met CVE-2025-59287. Het voelt hetzelfde als een regressie, omdat het diagnostische informatie weghaalt op het moment dat je die het hardst nodig hebt, maar het gedrag is opzettelijk.

3. Hoe Microsoft reageerde: Known Issue Rollback, toen een echte fix

Microsoft's reactie kwam in twee stappen. Eerst een Known Issue Rollback: een group policy die alleen het gedrag van de regressie terugdraait, niet de onderliggende beveiligingsfix. De cumulative update blijft staan, alle CVE's uit deze ronde blijven gedicht, alleen het gewijzigde stukje audio-redirection-code wordt via policy uitgeschakeld. De rollback-ID's zijn 260911_18471 voor Server 2022 en 260911_18474 voor Server 2019.

Op 14 september, negen dagen na Patch Tuesday, volgde een echte out-of-band fix: KB5129237, vooralsnog alleen voor Server 2022. Voor 2019 en 2025 blijft de Known Issue Rollback op dit moment de weg, tot Microsoft daar ook een specifieke hotfix voor uitbrengt.

4. Waarom N-1 deze regressie automatisch ontliep

Dit is precies het scenario waarvoor een N-1-patchregeling bedoeld is. Een omgeving die op 6 september bewust nog de augustus-CU installeerde, in plaats van meteen over te stappen op de nieuwste september-ronde, loopt automatisch buiten het bereik van deze RDS-regressie. De nodes zijn niet expres beschermd tegen deze specifieke bug; ze zijn beschermd tegen elke regressie die zich in de eerste weken na een Patch Tuesday openbaart, en dat gebeurt vaker dan één keer per jaar.

Dat is geen toeval, maar precies het ontwerp achter N-1. Eén maand respijt tussen het uitkomen van een cumulative update en het moment waarop die update op productie-nodes belandt, is in onze eigen conventie geen afwijking. Twee maanden is dat wel: dan loop je zo ver achter dat je zelf een risico wordt in plaats van dat je er een vermijdt.

5. Kanttekening 1: N-1 kost ook het zero-day-venster

N-1 als blinde regel heeft een prijs, en die prijs is zichtbaar in deze exact ronde: dezelfde CU die de RDS-regressie bevatte, dichtte ook twee kwetsbaarheden die op het moment van patchen al actief werden misbruikt. Een maand vertraging op alles is geen gratis veiligheid. Het ruilt een zichtbare, meetbare regressie in voor een onzichtbaar verlengd venster waarin een actief misbruikte kwetsbaarheid openstaat op productie-nodes.

Daarom houden wij N-1 aan als standaard, maar met een expliciete uitzondering: zodra Microsoft of NCSC-NL een CVE aanmerkt als actively exploited, trekken we de fix voor die specifieke kwetsbaarheid los van de maandcyclus naar voren, via de standalone security-only update of een KB-specifieke actie, in plaats van blind te wachten op de volgende ronde.

6. Kanttekening 2: een KIR is sneller dan een hele maand wachten

Een Known Issue Rollback is meestal binnen een dag of negen na Patch Tuesday beschikbaar, ruim voordat de volgende maandronde in zicht komt. Zodra die KIR gepubliceerd is, kun je de CU van de lopende maand alsnog toepassen, mét de KIR-group policy erbij. Je krijgt dan de beveiligingsfixes zonder de regressie, zonder de volle maand N-1-vertraging.

Dat verdient een vaste plek in de patchronde-procedure, als eerste check vóórdat je besluit: "we wachten tot volgende maand." Is er al een Known Issue Rollback gepubliceerd voor een bekend probleem in de vorige ronde? Dan is toepassen-met-KIR vaak de betere keuze dan nog een maand extra wachten.

7. De patchronde-procedure die ik zou aanhouden

Samengevat komt dat neer op drie regels die elkaar aanvullen, niet één regel die de andere twee overbodig maakt.

1. N-1 als standaard. Nieuwe cumulative updates gaan eerst een maand naar een niet-productieomgeving of een canary-node, en pas daarna naar de rest van het cluster. Dat vangt de meeste regressies op voordat ze productie raken.
2. Escape hatch voor actively exploited CVE's. Zodra Microsoft of NCSC-NL een kwetsbaarheid als actief misbruikt aanmerkt, wordt die specifieke fix los van de maandcyclus vooruitgetrokken. N-1 geldt voor de reguliere ronde, niet voor een kwetsbaarheid die vandaag al wordt gebruikt.
3. KIR-check vóór de wacht-beslissing. Voordat je een volledige maand vertraging accepteert op basis van een bekende regressie, check je of Microsoft al een Known Issue Rollback heeft gepubliceerd. Is dat het geval, dan patch je de lopende ronde alsnog, met de KIR erbij, in plaats van de hele maand te wachten.

Geen van de drie regels is nieuw. De combinatie is wat een patchronde van "installeren en hopen" naar een procedure verandert die standhoudt, ook wanneer de grootste Patch Tuesday tot nu toe toevallig ook de rommeligste is.