Captain Kirk

Aanvallers zijn erin geslaagd om AI-platform Northflank te hacken en hebben daarbij gegevens van klanten gestolen en gebruikt. Northflank is een 'runtime platform voor autonome software'. Het bedrijf claimt dat meer dan tweeduizend bedrijven er voor de ontwikkeling van software gebruik van maken. Het zou onder andere gaan om CoreWeave, Upwork en Figma. Op de eigen statuspagina meldt Northflank dat het te maken heeft met een beveiligingsincident en gedeeltelijke uitval. Volgens het bedrijf moeten klanten ervan uitgaan dat hun omgevingsvariabelen zijn ontsleuteld en in handen van aanvallers gekomen. Deze variabelen kunnen allerlei gevoelige informatie bevatten, zoals credentials en andere secrets. Meerdere klanten hebben inmiddels gemeld dat hun "AI keys" zijn gebruikt. Northflank adviseert alle klanten om meteen hun keys en environment variables te veranderen. Verdere details zijn op dit moment niet beschikbaar. bron: https://www.security.nl

Hackers hebben actief misbruik gemaakt van een kwetsbaarheid in VMware ESXi om hun sporen te verbergen, zo melden het Amerikaanse cyberagentschap CISA en cybersecuritybedrijf CrowdStrike. De kwetsbaarheid (CVE-2026-41709) bevindt zich in verschillende VMware-onderdelen en maakt het mogelijk voor een malafide admin om bepaalde acties uit te voeren, zonder dat die worden gelogd. ESXi, onderdeel van VMware's vSphere, is een 'bare metal hypervisor' voor het virtualiseren van besturingssystemen. De virtualisatiesoftware wordt direct op een server geïnstalleerd en kan vervolgens het gevirtualiseerde besturingssysteem laden. Op 29 juli dit jaar kwam Broadcom met beveiligingsupdates voor de logging-kwetsbaarheid in ESXi, nadat het eerder was ingelicht door CrowdStrike. CVE-2026-41709 heeft een CVSS-impactscore van 2.7 op een schaal van 1 tot en met 10. Toch was de kwetsbaarheid interessant genoeg voor aanvallers om te misbruiken. Volgens CrowdStrike heeft een groep genaamd 'Warp Panda' sinds begin dit jaar van het lek gebruikgemaakt om bij aangevallen organisaties geen 'audit trail' achter te laten. Om misbruik van de kwetsbaarheid te kunnen maken moet een aanvaller al toegang tot de ESXi-omgeving hebben. Hoe dat werd gedaan bij de aanvallen waarbij CVE-2026-41709 werd ingezet laat CrowdStrike niet weten. Het Amerikaanse cyberagentschap CISA meldt ook dat aanvallers misbruik van CVE-2026-41709 maken, maar geeft geen details over de aanvallen. VMware ESXi en ESX zijn geregeld het doelwit van aanvallen. Het CISA is bekend met acht verschillende kwetsbaarheden die de afgelopen jaren bij aanvallen tegen de platforms zijn ingezet. VMware vCenter, dat in combinatie met ESXi wordt gebruikt, telt twaalf aangevallen kwetsbaarheden waardoor aanvallers dergelijke omgevingen op afstand kunnen overnemen. bron: https://www.security.nl

Een beveiligingslek in TeamViewer maakt het mogelijk voor aanvallers om het systeem over te nemen dat met hun systeem verbinding maakt. Er zijn updates uitgebracht om het probleem te verhelpen. Via TeamViewer is het mogelijk om systemen op afstand te besturen. Helpdesks maken er vaak gebruik van. De 'integer overflow' kwetsbaarheid (CVE-2026-111585) bevindt zich in het onderdeel van TeamViewer clients (Full Client, Portable en Remote Control App) dat voor de remote-control screen verwerking verantwoordelijk is. Dit is het onderdeel waardoor een helpdesk op het scherm van een ander kan meekijken. Wanneer een helpdesk met een kwetsbare versie van TeamViewer verbinding maakt met het systeem van een aanvaller, zorgt het lek ervoor dat die willekeurige code op het systeem van de helpdeskmedewerker kan uitvoeren. "Helpdesks zijn de hele dag bezig met het fixen van de computers van anderen; deze kwetsbaarheid laat één van die computers code van de aanvaller op het systeem van de helpdeskmedewerker uitvoeren zodra de sessie wordt gestart. Je hoeft nergens op te klikken en er wordt geen wachtwoord gestolen: de hele aanval is gebaseerd op het accepteren van de verbinding", aldus cybersecuritybedrijf Remedio. Dat ontdekte het probleem en rapporteerde het op 14 augustus aan TeamViewer. Op 27 oktober verschenen updates voor de kwetsbaarheid. bron: https://www.security.nl

Aanvallers maken actief misbruik van een zeer kritieke kwetsbaarheid in Drupal Commerce Core voor het aanvallen van webwinkels, die daardoor financieel gedupeerd kunnen raken, zo waarschuwt Drupal. Commerce Core is op Drupal-gebaseerde webshopsoftware. Volgens Drupal maken duizenden webwinkels gebruik van het platform. Een kwetsbaarheid in Drupal Commerce Core kan tot een 'access bypass' leiden die webshops financieel kan raken, aldus het beveiligingsbulletin van Drupal. Dat spreekt van een 'zeer kritieke' kwetsbaarheid waar aanvallers actief misbruik van maken. Verdere details over het beveiligingslek en de waargenomen aanvallen zijn niet gegeven. Wel zijn er beveiligingsupdates uitgebracht om de kwetsbaarheid (CVE-2026-118539) te verhelpen. Het gaat om Commerce Core 3.3.13 en Commerce Core 8.x-2.41 waar webshops naartoe kunnen updaten. bron: https://www.security.nl

Aanvallers zijn erin geslaagd om een officiële extensie van AI-bedrijf Anthropic te voorzien van een backdoor, zo waarschuwen beveiligingsonderzoekers. De besmette extensie zou tot vijfduizend gebruikers hebben geraakt, aldus Cursor. Het gaat om de Claude Code for VS Code-extensie die via de Cursor Marketplace werd aangeboden. De extensie biedt 'AI-programmeerhulp' voor softwareontwikkelaars. Versie 2.1.313 bevat een SSH-backdoor waarmee de aanvaller remote toegang tot het systeem krijgt. De malware in de extensie verzamelt allerlei informatie van het systeem en voegt een SSH key aan de geautoriseerde keys toe, schakelt de lokale SSH service in en opent een reverse SSH tunnel. De malware raakt zowel Linux, macOS als Windows. Volgens Cursor zijn tot vijfduizend gebruikers van de extensie door de aanval getroffen. De server van de aanvallers is inmiddels offline gehaald. Gebruikers krijgen het advies om de versie van hun extensie te controleren en in het geval van een gecompromitteerd systeem alle credentials en sessions te vervangen die vanaf het systeem toegankelijk waren. Hoe de malware kon worden toegevoegd is niet bekendgemaakt. De Britse beveiligingsonderzoeker Kevin Beaumont spreekt van een supplychain-aanval en meldt dat ook de Claude-extensie op de Visual Studio Marketplace is getroffen. Daarnaast stelt Beaumont dat Anthropic klanten nog niet heeft gewaarschuwd en Claude Code onder andere op laptops van cryptobedrijf Binance draait. Bij Binance wisten aanvallers miljarden euro's aan cryptovaluta te stelen. bron: https://www.security.nl

WordPress heeft afgelopen woensdag 28 oktober een beveiligingsupdate uitgebracht voor een kwetsbaarheid die ongeauthenticeerde remote code execution (RCE) mogelijk maakt, waardoor een aanvaller zijn code op de webserver kan uitvoeren. Kort na het uitkomen van de patch werden de eerste aanvallen al waargenomen, aldus cybersecuritybedrijf Wordfence. Dat roept webmasters en beheerders op om zo snel mogelijk naar WordPress 7.1.4 te updaten. Het probleem is alleen te misbruiken als WordPress-sites een Core-update uitvoeren, waarbij er een volledige WordPress package wordt gebruikt (full-package update). Tijdens de installatie van de update worden nieuwe bestanden naar een voorspelbare directory uitgepakt, die vanaf het internet toegankelijk is. Deze bestanden bevatten ook de WordPress-installer. Een ongeauthenticeerde aanvaller die op het juiste moment de installer aanroept kan bij een succesvolle aanroep zijn code uitvoeren. Hoewel het tijdsvenster voor een succesvolle aanval heel klein is, lijkt dat aanvallers niet te weerhouden. Wordfence meldt dat kort na het uitkomen van de patch de eerste aanvallen werden waargenomen. Daarbij bleven de aanvallers ruim veertien uur lang bij een select aantal websites continu de installer aanroepen, in de hoop dat één van de pogingen succesvol is. bron: https://www.security.nl

Het Tor Project heeft Tor Browser 16 gelanceerd, de eerste grote versie-update in een jaar. Deze versie bevat honderden bugifxes, introduceert een nieuw instellingenmenu en biedt verbeterde ondersteuning voor Linux-computers die op 64-bit ARM-processors draaien. Tor Browser bestaat uit software om verbinding te maken met het Tor-netwerk en een aangepaste Firefox-versie. De browser laat gebruikers via het Tor-netwerk surfen, waarbij hun ip-adres wordt afgeschermd en gecensureerde sites zijn te bezoeken. Miljoenen mensen maken dagelijks gebruik van het browser en het netwerk. Tor Browser 16 is de eerste versie die is gebaseerd op Firefox ESR 153. Daarnaast zijn 270 problemen die via bugplatform Bugzilla waren gemeld verholpen. Tor Browser 16 beschikt tevens over een nieuw instellingenmenu, gebaseerd op het aangepaste ontwerp dat afgelopen juni al in Firefox verscheen. Verder is er een nieuwe handleiding en is er nu native support voor Linux-computers met 64-bit ARM-processors, zoals de Raspberry Pi en Apple Macs met processoren van Apple die Linux draaien. Ook in de Android-versie zijn verschillende aanpassingen doorgevoerd. Naast een nieuwe Tor Browser is er ook een nieuwe versie van Tails verschenen, een op privacy gericht besturingssysteem. Tails staat voor The Amnesic Incognito Live System en is een volledig op Linux-gebaseerd besturingssysteem dat speciaal is ontwikkeld om de privacy en anonimiteit van gebruikers te beschermen. Het privacy-OS kan vanaf een usb-stick of dvd worden gestart. Tails maakt gebruik van het Tor-netwerk om het ip-adres van de gebruiker af te schermen en biedt allerlei op privacy gerichte applicaties. Vanwege de nieuwe Tor Browser is nu Tails 7.16 uitgebracht. bron: https://www.security.nl

Online toegankelijke Synology NAS-systemen zijn getroffen door ransomware-aanvallen waarbij allerlei bestanden zijn versleuteld, zo laten meerdere getroffen gebruikers via Reddit weten. Er wordt melding gemaakt van aanvallen door de C3rb3r/Locked3d-ransomware. Eén van de slachtoffers van de ransomware-aanvallen vermoedt dat zijn NAS-systeem via een anderhalf jaar oude kwetsbaarheid (CVE-2024-10441) is gehackt. Synology bevestigt dat de aanvallers inderdaad van deze kwetsbaarheid gebruikmaken. "Synology heeft ontdekt dat aanvallers een kwetsbaarheid misbruiken die in december 2024 is gepatcht, om apparaten aan te vallen die een verouderde versie van DSM draaien. Bij deze aanvallen wordt data versleuteld en losgeld geëist", aldus Sonology. DSM is het besturingssysteem dat op de NAS-apparaten van Sonology draait. De NAS-fabrikant roept gebruikers op om hun DSM-versie up-to-date te houden. "Alle foto's van mijn kinderen van de afgelopen 10 jaar stonden erop, waaronder mijn familiefoto's. Ik ben er echt kapot van", aldus één van de getroffen gebruikers. Op GitHub is een uitleg gepubliceerd waarin wordt gesteld dat slachtoffers in bepaalde gevallen hun bestanden zelf kunnen ontsleutelen. bron: https://www.security.nl

Aanvallers hebben geprobeerd om de GitLab-server van Linux-distributie Alpine Linux te hacken, zo hebben de ontwikkelaars zelf bekendgemaakt. Het ontwikkelteam zegt dat het geen bewijs van een succesvolle hack heeft gevonden, maar kan dit ook niet uitsluiten. Daarom werd besloten om de GitLab-server als gehackt te beschouwen en volledig van de grond af op te bouwen. Alpine Linux omschrijft zich als een op security gerichte, lichtgewicht Linux-distributie. GitLab is een populaire online DevOps-tool voor het opslaan, beheren en ontwikkelen van software, waar ook Alpine Linux gebruik van maakt. Op 12 oktober waarschuwde GitLab voor een kritieke kwetsbaarheid in de software, aangeduid als CVE-2026-97229. Het gaat om een integer overflow waardoor een ongeauthenticeerde aanvaller via een malafide CI/CD-configuratie willekeurige code op de GitLab-server kan uitvoeren. De kwetsbaarheid heeft een CVSS-impactscore van 10.0 op een schaal van 1 tot en met 10. Alpine Linux installeerde op 13 oktober door een fout GitLab versie 19.3.4, die nog steeds kwetsbaar was, in plaats van GitLab versie 19.3.5. Op 20 en 21 oktober stuurde een nieuw geregistreerde account speciaal geprepareerde CI-configuraties naar de GitLab-server van Alpine Linux, die nog steeds een kwetsbare versie draaide. Door de aanval crashte het GitLab worker proces op de server acht keer. Bij vier van de crashes kwam de aanvaller iets verder met het uitvoeren van de exploit, maar mislukte de volgende stap. De aanvaller downloadde ook de GitLab container image waar Alpine Linux gebruik van maakt, vermoedelijk om de exploit op de gebruikte build af te stellen. Het ontwikkelteam zegt geen bewijs te hebben gevonden dat de aanvaller code op de GitLab-server heeft uitgevoerd, maar kan dit ook niet uitsluiten. Het ontwikkelteam zegt verder dat het upgraden naar GitLab 19.3.6 op 22 oktober het probleem niet verhielp. Deze versie was een dag eerder uitgekomen. "De fix zit niet in de eigen code van GitLab, maar in een patch voor Ruby, die GitLab alleen toepast in de eigen officiële packages. Onze image gebruikt standaard Ruby en ontving dus niet de patch", aldus de ontwikkelaars van Alpine Linux. Die stellen dat bij GitLab-servers met een eigen Ruby het installeren van de GitLab-update niet voldoende is, maar ook een Ruby-update is vereist. Het opnieuw opbouwen van de GitLab-server werd gisteren afgerond. Daarbij zijn alle wachtwoorden gereset en alle GitLab secret keys vervangen. bron: https://www.security.nl

Een cyberaanval op de Belgische belastingdienst maakt het tijdelijk onmogelijk om belastingaangifte te doen of eerder gedane aangiftes in te zien. Mensen die nu geen aangifte kunnen doen krijgen uitstel. Gisteren meldde de Belgische overheid dat de systemen van FOD Financiën, de Belgische fiscus, waren getroffen door een cyberaanval. Uit voorzorg werden MyMinfin en enkele andere diensten tijdelijk uit de lucht gehaald. De diensten zijn ook vandaag nog altijd offline. MyMinfin is het online platform van de Belgische belastingdienst, dat onder andere wordt gebruikt voor online belastingaangifte. De Belgische overheid zegt te beseffen dat het offline zijn van het platform gevolgen heeft in het geval van fiscale deadlines. "Daarom zal er voldoende uitstel voorzien worden voor het indienen van de aangiften met specifieke inkomsten. De specifieke datum volgt zo snel mogelijk." Volgens de autoriteiten zijn er op dit moment geen aanwijzingen dat er sprake is van een datalek of dat gegevens werden buitgemaakt. Het onderzoek naar de aanval is echter nog gaande. Om wat voor soort aanval het precies gaat en hoe die mogelijk was is nog niet bekendgemaakt. bron: https://www.security.nl

Cisco waarschuwt organisaties opnieuw voor dos-aanvallen tegen de ssl vpn-service van ASA- en FTD-firewalls en heeft een noodpatch uitgebracht om het misbruikte beveiligingslek te verhelpen. In augustus was de vpn-service van de genoemde firewalls ook al het doelwit van dos-aanvallen. De Secure Firewall Adaptive Security Appliance Software (ASA) en Secure Firewall Threat Defense (FTD) software draait op allerlei netwerkapparaten van Cisco, die onder andere voor hun firewall- en vpn-functionaliteit worden gebruikt. De ssl vpn-service die op de firewalls draait bevat een kwetsbaarheid, aangeduid als CVE-2026-76418. Het gaat volgens Cisco om meerdere 'logicafouten' die zich voordoen als er een tweede configuratie voor een tunnelgroep is ingesteld. Door het versturen van een speciaal geprepareerd request kan een aanvaller, als die verbinding maakt met het vpn-systeem, het apparaat laten herstarten, wat voor een denial of service (dos) zorgt. Cisco heeft patches voor de kwetsbaarheid uitgebracht en roept klanten op die te installeren. Details over de waargenomen dos-aanvallen zijn niet gegeven, behalve dat die deze maand werden waargenomen. bron: https://www.security.nl

Een beveiligingsonderzoeker van AI-bedrijf Anthropic heeft weer met behulp van chatbot Claude kritieke kwetsbaarheden in Google Chrome gevonden. Via de beveiligingslekken kan een aanvaller code op het systeem van kwetsbare gebruikers uitvoeren, zoals malware, waarbij alleen het bezoeken van een gehackte of malafide website of te zien krijgen van een besmette advertentie voldoende is. In de nieuwste versie van Google Chrome zijn in totaal 52 kwetsbaarheden verholpen, waarvan er vier als kritiek zijn aangemerkt. Alle vier de problemen kwamen op naam van Anthropic-onderzoeker Xinyang Ge. Bij twee van de kritieke beveiligingslekken staat specifiek vermeld dat die met behulp van Claude zijn gevonden. In totaal telt deze patchronde van Chrome zes kwetsbaarheden met de naam van Ge en de omschrijving 'assisted by Claude'. De afgelopen weken rapporteerde de onderzoeker meerdere kritieke Chrome-lekken aan Google, waarbij hij ook gebruik had gemaakt van Claude. Google meldde eerder dit jaar dat AI een belangrijke rol speelt in het grote aantal beveiligingslekken dat dit jaar in de browser is gevonden. Vanwege het grote aantal kwetsbaarheden en het risico dat die steeds sneller worden misbruikt, test Google nu het uitbrengen van twee 'security releases' per week. Google Chrome 156.0.8078.73/.74 is beschikbaar voor macOS en Windows. Voor Linux is versie 156.0.8078.73 verschenen. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan echter een aantal dagen duren. Gebruikers die de update direct willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar. bron: https://www.security.nl

De makers van de populaire archiveringssoftware WinRAR hebben een nieuwe bètaversie gepubliceerd waarmee verschillende beveiligingsproblemen worden verholpen. WinRAR 7.30 Beta 2 bevat fixes voor in totaal zes beveiligingsproblemen, aldus de release notes. Via de problemen, die geen CVE-nummer hebben, is het onder andere mogelijk om informatie voor gebruikers te verbergen, bestanden buiten de bedoelde directory te schrijven en het Mark-of-the-Web omzeilen. Mark-of-the-Web (MOTW) is een beveiligingsfeature van Windows die ervoor zorgt dat bestanden die via internet zijn gedownload door Windows van een aparte tag worden voorzien. Bij het openen van bestanden met een MOTW-tag zal Windows een extra waarschuwing aan gebruikers tonen of ze het bestand echt willen openen, aangezien het vanaf internet afkomstig is. Gebruikers krijgen het advies om te updaten naar WinRAR versie 7.30 Beta 2. Dit moet handmatig gebeuren, aangezien WinRAR geen automatische updatefunctie heeft. Daardoor kunnen kwetsbare versies van de software lange tijd actief blijven, waar aanvallers weer misbruik van maken, zo waarschuwde antivirusbedrijf Trend Micro afgelopen juni. bron: https://www.security.nl

Een kwetsbaarheid in de Google Brotli-decoder, ook bekend als Node2Shell, wordt actief misbruikt bij aanvallen. Daarvoor waarschuwen cybersecuritybedrijven en overheidsinstanties. Het beveiligingslek (CVE-2026-111497) maakt remote code execution (RCE) door een ongeauthenticeerde aanvaller mogelijk. Eind vorige week verschenen beveiligingsupdates voor het probleem. Brotli is een compressie library van Google. Node.js, de software waarmee JavaScript op servers draait, wordt geleverd met een eigen versie. "Brotli verkleint de bestandsgrootte van webpagina's voordat een webserver ze naar een webbrowser stuurt", aldus het Nationaal Cyber Security Centrum (NCSC), dat vorige week met een aparte oproep kwam om de Brotli-updates meteen te installeren. Door het versturen van speciaal geprepareerde Brotli-data kan een buffer overflow ontstaan. Vervolgens kan een aanvaller in het ergste geval willekeurige code op de server uitvoeren met de rechten van het getroffen proces. Cyberagentschappen uit de Verenigde Staten en Italië melden dat aanvallers actief misbruik van Node2Shell maken. Ook cybersecuritybedrijf Previdian rapporteert dit. Aanvallers zouden malafide bestanden uploaden om zo een shell op kwetsbare servers te krijgen. bron: https://www.security.nl

Palo Alto Networks waarschuwt klanten voor misbruik van de PHP2Shell-lekken in de management-interface van de firewalls die het aanbiedt. Naast een update van het beveiligingsbulletin heeft het cybersecuritybedrijf ook een waarschuwing naar klanten gestuurd. In het bericht meldt Palo Alto Networks dat het bekend is met verhoogde 'threat actor' activiteit, gericht tegen de publiek toegankelijke management-interface van de eigen firewalls. Klanten worden opgeroepen om de management-interface niet toegankelijk vanaf het publieke internet te maken. Via de PHP2Shell-lekken (CVE-2026-109618, CVE-2026-109619) kan een ongeauthenticeerde aanvaller code op het systeem uitvoeren. "Actief misbruik is waargenomen gericht tegen de Palo Alto Networks management-interface die vanaf het internet toegankelijk is", aldus nieuwe informatie in het beveiligingsbulletin. Verdere details zijn niet gegeven. De management-interface van de Palo Alto Networks firewalls maakt gebruik van PHP. Het bedrijf heeft inmiddels beveiligingsupdates uitgebracht om de kwetsbaarheden in de eigen software te verhelpen. bron: https://www.security.nl