CVE-uitzonderingen in Defender Vulnerability Management

Defender Vulnerability Management toont een CVE op je apparaten, maar er is geen patch van de leverancier. Of de CVE hoort bij een 32-bits component terwijl je server 64-bits is. Met een security recommendation exception zonder je een hele recommendation uit, en dan geldt de uitzondering voor alle CVE’s die bij die recommendation horen.

In december 2025 heeft Microsoft CVE-uitzonderingen algemeen beschikbaar gemaakt. In deze blogpost lees je hoe je één CVE uitzondert, welke redenen je kunt kiezen en wat er daarna in het Microsoft Defender portal verandert.

Wat is een CVE-uitzondering?

Defender Vulnerability Management kent twee soorten uitzonderingen:

CVE-uitzonderingen kwamen in oktober 2025 in preview en zijn sinds december 2025 algemeen beschikbaar. Bij die stap kwam er een extra reden bij, False positive, en geeft de API voor kwetsbaarheden de status van een uitzondering terug. Microsoft beschrijft het in de lijst met nieuwe functies van Defender for Endpoint.

Wat heb je nodig?

• Defender Vulnerability Management, waar uitzonderingen onderdeel van zijn. Dat heb je met minimaal Defender for Endpoint Plan 2, dat de kernfuncties bevat, of met de standalone versie; daarnaast bestaat een add-on voor Plan 2. Apparaten met Defender for Endpoint Plan 1 tonen geen kwetsbaarheden of security recommendations; voor klanten met Plan 1 of Microsoft 365 E3 raadt Microsoft de standalone versie aan.
• Een rol met de permissie Exception handling (niveau Manage) in Microsoft Defender unified RBAC, onder Security posture – Posture management. Microsoft beschrijft die permissie daar als het maken van security recommendation exceptions en het beheren van actieve uitzonderingen; de handleiding voor uitzonderingen noemt als voorwaarde de “exceptions handling permission”, zonder onderscheid naar CVE-uitzonderingen.
• Voor een globale uitzondering: de rol Security Administrator of een custom role met dezelfde permissie. Global Administrator kan het ook, maar Microsoft raadt aan de rol met de minste rechten te gebruiken.

💡 Uitzonderingen maak en beheer je alleen in het Microsoft Defender portal, niet via de public API.

Waar vind je de CVE?

Vulnerability Management staat in het Microsoft Defender portal onder Exposure management:

• De lijst met CVE’s: Exposure management > Vulnerability management > Vulnerabilities.
• Het overzicht van uitzonderingen: Exposure management > Vulnerability management > Remediation.

Bijgewerkt in oktober 2026: Microsoft Learn noemt deze paden nog steeds “relevant for Preview customers” en geeft voor bestaande klanten Vulnerability management > Weaknesses en Remediation. In oktober 2026 staan ze in het portal zoals hierboven, zonder preview-optie. Zie je nog Weaknesses, dan gelden in jouw tenant de oude paden.

Maak een CVE-uitzondering aan

1. Open in het Microsoft Defender portal Exposure management > Vulnerability management > Vulnerabilities.
2. Selecteer de CVE die je wilt uitzonderen.
3. Klik op de detailpagina van de CVE rechtsonder op Exception options.
4. Kies bij Justification een reden en licht die toe bij Provide justification context.
5. Kies bij Exception duration de duur van de uitzondering.
6. Klik op Submit (Microsoft Learn noemt de knop Confirm and apply). Er verschijnt een bevestiging.

💡 De duur van een uitzondering kun je achteraf niet verlengen. Loopt hij af en is hij nog nodig, dan maak je een nieuwe uitzondering. Kies de duur dus vooraf met zorg.

Welke reden kies je?

De redenen zijn:

• Third party control: een product van een andere leverancier vangt het risico al af.
• Alternate mitigation: een interne maatregel vangt het risico al af.
• Risk accepted: het risico is laag of de oplossing is te duur.
• Planned remediation (grace): de oplossing is gepland maar nog niet uitgevoerd of goedgekeurd.
• CVE with no patch: de leverancier heeft geen patch. Alleen voor CVE-uitzonderingen.
• False positive: de CVE is niet van toepassing op je omgeving. Alleen voor CVE-uitzonderingen.

Microsoft meldt zelf dat Defender Vulnerability Management bij het koppelen van CVE’s aan apparaten geen onderscheid maakt tussen 32-bits en 64-bits, wat tot false positives kan leiden. Dat is een situatie waarin False positive volgens een eigen lezing past. Op dezelfde pagina kun je met Report inaccuracy ook een melding bij Microsoft doen.

Wat verandert er in het portal?

Het kan tot een uur duren voordat de uitzondering effect heeft op het aantal blootgestelde apparaten en de exposure score. In die tijd kan de CVE nog in rapporten en dashboards staan. Daarna geldt het volgende:

• De CVE staat niet meer in de inventarislijsten.
• Threat analytics en alerts die met de CVE te maken hebben, worden onderdrukt.
• De detailpagina van de CVE laat zien dat er een uitzondering is.
• De exposure score en secure score kunnen veranderen. Bij een CVE-uitzondering heeft de gekozen reden geen invloed op de impact score.

Bekijk en annuleer uitzonderingen

Alle uitzonderingen, voor CVE’s en voor recommendations, staan op het tabblad Exceptions van de pagina Remediation. Je kunt filteren op reden, soort en status.

1. Open Exposure management > Vulnerability management > Remediation en ga naar het tabblad Exceptions.
2. Selecteer een uitzondering. Er opent een paneel met de details.
3. Klik op Cancel exception om de uitzondering te annuleren.

Na het annuleren kun je meteen een nieuwe uitzondering maken.

Haal je kwetsbaarheden op met de API Get all vulnerabilities, dan bevat de response het veld status. De mogelijke waarden zijn RemediationRequired, NoActionRequired, UnderException en PartialException.

Tot slot

Met een CVE-uitzondering haal je één CVE uit je analyse zonder de rest van de recommendation te verbergen. Kies een reden die klopt en kies de duur bewust, want verlengen kan niet.

📚 Lees verder in Create, view, and manage exceptions op Microsoft Learn.