Intel heeft het nieuwe microcodingspakket 20260811 vrijgegeven, een update die beveiligingscorrecties bevat voor acht verschillende beveiligingswaarschuwingen en negen kwetsbaarheden. Daarnaast wordt de functionaliteit van diverse generaties processoren verbeterd. De update dekt onder andere enkele Core-processors van de 10e en 11e generatie, Core Ultra, Panther Lake en verschillende Xeon-families, waaronder Xeon 6. Niet alle processors die in het pakket zijn opgenomen, zijn door alle kwetsbaarheden getroffen, en Intel heeft vooralsnog geen prestatiedaling aangekondigd die door deze mitigaties wordt veroorzaakt.
De kernpunten van Intel microcode 20260811 in 20 seconden
- Intel corrigeert negen CVE’s verspreid over acht beveiligingswaarschuwingen.
- De update geldt voor processors van de 10e generatie tot Panther Lake en diverse Xeon-families.
- De kwetsbaarheden omvatten privilege-escalatie, blootstelling van informatie en denial-of-service.
- Core-processors van de 13e en 14e generatie ontvangen daarnaast functionele verbeteringen.
- Intel raadt aan om firmware-updates te installeren die door de fabrikanten van moederborden en systemen worden uitgebracht.
Het gepubliceerde pakket van 11 augustus bevat updates voor INTEL-SA-01379, INTEL-SA-01404, INTEL-SA-01423, INTEL-SA-01428, INTEL-SA-01435, INTEL-SA-01441, INTEL-SA-01442 en INTEL-SA-01443. Het officiële microcode-repository bevestigt ook functionele veranderingen voor Core van de 10e, 13e en 14e generatie, Core Ultra, Core Series 2 en 3, en verschillende Xeon Scalable-, Xeon D- en Xeon 6-processors.
Belangrijk is dat de identificatie microcode-20260811 niet betekent dat er een uniforme oplossing is voor alle processors. Intel groepeert in hetzelfde pakket verschillende microcode-revisies voor vele families, elk met eigen correcties en versies.
Xeon 6 bevat enkele van de meest kritieke kwetsbaarheden
Een opvallende kwetsbaarheid is INTEL-SA-01435, CVE-2026-20716, met een CVSS-score van 7,2 volgens Intel. Het probleem betreft incorrecte toegangscontrole, wat mogelijk privilege-escalatie in bepaalde Xeon 6-varianten mogelijk maakt.
Deze kwetsbaarheid raakt recente zakelijke producten, waaronder Xeon 6 met P-Cores en verschillende varianten bedoeld voor servers en werkstations.
Een andere belangrijke correctie betreft INTEL-SA-01379, CVE-2025-31936 met CVSS 7,0, en heeft betrekking op beveiligde geheugengebieden binnen de System Management Mode (SMM) en specifieke omgevingen die Intel Trust Domain Extensions (TDX) gebruiken.
TDX is Intel’s vertrouwelijke computing-technologie die virtuele machines van elkaar afschermt en hun geheugen beschermt, zelfs tegen systemische beheercomponenten. Kwetsbaarheden in de isolatielimieten hiervan zijn vooral relevant voor cloudproviders en datacenters met meerdere huurders.
INTEL-SA-01404, gerelateerd aan CVE-2025-31938, betreft eveneens TDX. Intel wijst op onvoldoende granulariteit in sommige toegangscontroles, wat kan leiden tot informatielekken bij recente Xeon-families.
Het officiële pakket bevestigt dat platformen zoals Granite Rapids en Sierra Forest nieuwe revisies ontvangen. Bijvoorbeeld, Xeon 6900/6700/6500 met P-Cores krijgen een revisie van 01000423 naar 01000434, terwijl Xeon 6900/6700 met E-Cores van 030003a3 naar 030003b2.
Meteor Lake, Lunar Lake, Arrow Lake en Panther Lake krijgen ook updates
Deze updates beperken zich niet tot servers.
INTEL-SA-01428, gekoppeld aan CVE-2025-35973, beïnvloedt diverse consumentenplatforms en bepaalde Xeon-families. Het probleem betreft incorrect beheer van gegevens uit software met verhoogde privileges, zoals kernel, hypervisor of bare-metal omgevingen, en kan privilege-escalatie mogelijk maken.
De betrokken families omvatten Meteor Lake, Arrow Lake Mobile, Lunar Lake en Panther Lake.
Het microcode-pakket bevat aangepaste versies voor allemaal.
Meteor Lake vervangt 0x28 door 0x2a, Lunar Lake gaat van 0x126 naar 0x128, en Panther Lake-varianten upgraden van 0x11b naar 0x11c. Arrow Lake Series 2 krijgt ook nieuwe versies afhankelijk van het model.
INTEL-SA-01441, met CVE-2026-20760, raakt eveneens recente platformen zoals Lunar Lake, Arrow Lake Mobile en Panther Lake.
Intel classifyert de impact vooral als denial-of-service en gedrag dat privilege-informatie kan lekken onder bepaalde omstandigheden. Zoals met andere firmware-kwetsbaarheden, hangt de praktische exploitatie af van vooraf verkregen systeemtoegang en configuratie.
Dit benadrukt dat niet elke processor in een updatepakket automatisch volledig beschikbaar is voor alle kwetsbaarheden. Elk advies bevat een eigen lijst van getroffen modellen en configuraties.
Load Value Injection treedt opnieuw op bij oudere processoren
Ook enkele oudere chips worden geüpdatet.
INTEL-SA-01423 corrigeert CVE-2026-20917, die gerelateerd is aan Load Value Injection, een aanvalstechniek die voortkomt uit het gedrag van speculatieve uitvoering.
Speculatieve uitvoering stelt de CPU in staat taken uit te voeren voordat zeker is dat een bepaalde operatie nodig is. Dit verhoogt de prestaties, maar opent ook de deur naar diverse zijkanaal-aanvallen zoals Spectre en Meltdown.
In dit geval kan verkeerd doorgeleide data tijdens speculatieve uitvoering onder bepaalde omstandigheden informatie blootstellen.
De getroffen families omvatten onder andere Intel Core van de 10e en 11e generatie, 3e generatie Xeon Scalable, Xeon D en Xeon E-2300.
Het pakket 20260811 brengt onder andere updates voor Ice Lake Mobile van 10e generatie (0xcc naar 0xce), Rocket Lake van 11e generatie (0x65 naar 0x66), Ice Lake Xeon Scalable (0x0d000421 naar 0x0d000433) en Xeon D-17xx/D-27xx (0x010002f1 naar 0x01000301).
INTEL-SA-01442 bevat twee CVE
Een van de acht advisories bevat twee kwetsbaarheden.
INTEL-SA-01442 bevat CVE-2026-20713 en CVE-2026-20901, beiden gerelateerd aan flow-control en input-validatie fouten binnen het firmware.
Beide kunnen in bepaalde omstandigheden privileges escaleren.
De getroffen producten omvatten recente generaties Xeon Scalable en verschillende Xeon 6-modellen, evenals Xeon W-families gerelateerd aan Sapphire Rapids.
Dit verklaart waarom de nieuwe microcode zowel Sapphire Rapids als Emerald Rapids en nieuwere generaties bijwerkt.
Bijvoorbeeld, Xeon Scalable 4e generatie wordt van 2b000670 naar 2b000685 geüpdatet, en Emerald Rapids 5e generatie van 210002e0 naar 210002f4.
Ten slotte corrigeert INTEL-SA-01443 CVE-2026-20707, een raceconditie die mogelijk denial-of-service veroorzaakt bij bepaalde Xeon Scalable derde generatie en Xeon D-processors.
Core van 13e en 14e generatie ontvangen microcode, maar niet vanwege de negen CVE’s
Een punt dat verwarring kan zaaien, betreft Raptor Lake.
De Core-processors van de 13e en 14e generatie krijgen van 0x133 naar 0x137 in microcode, maar het feit dat ze een nieuwe revisie binnen dit pakket krijgen, betekent niet dat ze door alle genoemde kwetsbaarheden worden getroffen.
Intel beschouwt dit als een update vanwege functionele problemen, en verwijst voor details naar de betreffende specificaties voor de 13e en 14e generatie Core-processors.
Dit is vooral relevant na stabiliteitsproblemen die bij bepaalde Raptor Lake-processors voor desktop werden gemeld en de daaropvolgende microcode-updates.
De versie 0x137 vervangt nu 0x133 op de RPL-E/HX/S-platformen die in het pakket worden genoemd.
In de publicatieopmerkingen wordt niet aangegeven dat deze revisie specifiek betrekking heeft op nieuwe kwetsbaarheden onder de negen CVE’s van augustus.
Nieuwe platformen: Bartlett Lake en Wildcat Lake
Het pakket voegt ook ondersteuning toe voor microcode voor sommige nieuwe platformen.
Intel identificeert BTL-S12P en BTL-S816, voor Core Series 2 met P-Cores, met microcodeversie 0x137.
Daarnaast wordt WCL, Wildcat Lake ingelijst binnen Intel Core Processors Series 3, met revisie 0x0c.
Deze entries worden beschouwd als New Platforms en betekenen niet dat eerdere revisies zijn vervangen binnen het publieke pakket.
Dit illustreert dat Intel hetzelfde repository gebruikt voor zowel beveiligingspatches als ondersteuning voor nieuwe families en functionele correcties.
BIOS en UEFI blijven de belangrijkste updates
Voor eindgebruikers, servers en werkstations is de gebruikelijke methode om deze updates te installeren via een BIOS- of UEFI-update van de systeemfabrikant of moederbordfabrikant.
De firmware bevat de bijbehorende microcodes voor compatibele CPU’s.
Hierdoor krijgt de processor de update al in de eerste fases van het opstartproces, vóórdat het besturingssysteem geladen wordt.
Bij Linux is het ook mogelijk om microcode te laden tijdens het opstarten via distributie-pakketten. Intel onderhoudt daarvoor bijvoorbeeld het repository Intel-Linux-Processor-Microcode-Data-Files.
Het gepubliceerde pakket van 11 augustus is de upstream-bron, maar beheerders zouden niet moeten aannemen dat het voldoende is om de bestanden handmatig te downloaden en te kopiëren naar servers.
In bedrijfsomgevingen is het aanbevolen om de mechanismen te gebruiken die door de hardwarefabrikant en de Linux-distributie worden ondersteund, vooral als er kwaliteitscontrole of onderhoudseisen zijn.
Om de geladen microcodeversie op een Linux-systeem te controleren, kan bijvoorbeeld worden gebruikt:
grep microcode /proc/cpuinfo | sort -uDaarnaast kunnen kernel-meldingen worden bekeken met:
dmesg | grep -i microcodeDe juiste versie hangt af van het exacte model processor; er is geen universeel nummer dat op alle systemen moet verschijnen.
Geen prestatiedaling tot nu toe gedocumenteerd
De release van nieuwe microcode roept vaak de vraag op: hoeveel prestatie gaat verloren?
Deze bezorgdheid dateert van eerdere updates.
Eerdere mitigaties voor speculative execution-kwetsbaarheden hebben in bepaalde situaties significante prestatielast veroorzaakt, vooral bij frequent wisselen tussen privilege-niveaus, virtualisatie, of specifieke I/O-operaties.
In de release-aantekeningen van microcode-20260811 meldt Intel geen prestatiedaling als gevolg van deze correcties.
Dat betekent niet dat er per definitie geen impact is; het kan variëren per workload.
Totdat onafhankelijke benchmarks en meer technische documentatie beschikbaar zijn, is de juiste interpretatie dat er op dit moment geen bekende of door Intel aangekondigde prestatiedaling is voor dit pakket.
Voor datacenters en kritische toepassingen is het verstandig om systemen met TDX, virtueelisatie en latency-gevoelige workloads eerst te testen, alvorens grote uitrol te doen, zonder onnodige vertragingen in security-updates.
De microcode 20260811 onderstreept bovendien dat CPU-beveiliging niet stopt bij fabricage, maar dat gedrag op details kan worden aangepast via microcode gedurende de levensduur van de processor.
Voor systeembeheerders is de praktische boodschap minder spectaculair dan de lijst met CVE’s, maar belangrijker: controleer eerst de firmware-updates van de fabrikant en bepaal welke modellen daadwerkelijk getroffen zijn, voordat je een uitrol plant.
Veelgestelde vragen
Hoeveel kwetsbaarheden behandelt het Intel microcodexpakket 20260811?
Het pakket bevat beveiligingsupdates voor acht advisories en negen CVE’s, naast diverse functionele correcties voor verschillende generaties Core en Xeon.
Zijn de Intel Core-processors van de 13e en 14e generatie getroffen?
Ze krijgen het nieuwe microcode 0x137, ten opzichte van 0x133. Volgens Intel gaat het daarbij vooral om een update voor functionele problemen en niet als mitigatie voor de negen CVE’s in de acht beveiligingswaarschuwingen.
Hoe installeer ik de nieuwe microcode?
De meest gebruikelijke en aanbevolen manier is via een BIOS- of UEFI-update van de systeem- of moederbordfabrikant. Linux-distributies kunnen ook microcode laden tijdens het opstarten via pakketten.
Vermindert de microcode 20260811 de prestaties?
Intel documenteert momenteel geen prestatiedaling bij deze update. Dit garandeert niet dat er geen impact is; het is verstandig om onafhankelijke testen af te wachten voor definitieve inschatting.