Captain Kirk

Kritieke kwetsbaarheden in Microsoft Exchange Online en Microsoft 365 Copilot hadden door aanvallers kunnen worden gebruikt om hun rechten te verhogen, zo laat Microsoft weten. Het techbedrijf heeft de twee kwetsbaarheden inmiddels verholpen en stelt dat klanten geen actie hoeven te ondernemen. 'Elevation of Privilege' kwetsbarheden worden meestal niet als kritiek bestempeld, maar dat is bij CVE-2026-54998 en CVE-2026-41106 wel het geval. CVE-2026-54998 betrof een probleem in Microsoft Exchange Online. "Incorrecte autorisatie" in de maildienst zorgde ervoor dat een ongeautoriseerde aanvaller over een netwerk zijn rechten kon verhogen, aldus het beveiligingsbulletin van Microsoft dat geen verdere informatie bevat. Het probleem werd door een externe onderzoeker gerapporteerd. CVE-2026-41106 in 365 Copilot betrof een 'url redirect naar een onbetrouwbare site ('open redirect')' waardoor wederom een aanvaller zijn rechten over een netwerk kon verhogen, zo stelt het beveiligingsbulletin. Wederom wordt geen informatie gegeven, zoals hoe aanvaller er misbruik van had kunnen maken en welke rechten een aanvaller had kunnen krijgen. Dit lek werd door Microsoft zelf gevonden. Het techbedrijf zegt niet bekend te zijn met misbruik van de twee problemen. bron: https://www.security.nl

Google heeft in samenwerking met de FBI en cybersecuritybedrijf Lumen een operatie uitgevoerd tegen proxynetwerk NetNut, dat ook bekendstaat als Popa. Volgens het techbedrijf bestaat het proxynetwerk uit minstens twee miljoen apparaten wereldwijd. Als onderdeel van de operatie zijn Google-accounts en -services uitgeschakeld die NetNut gebruikte voor het aansturen van apparaten. Ook heeft Google bij gebruikers apps uitgeschakeld waarin de NetNut-software actief was. NetNut is een residential proxynetwerk, dat het verkeer van betalende klanten via de systemen en internetverbindingen van legitieme thuisgebruikers laat lopen. Deze betalende klanten kunnen bijvoorbeeld cybercriminelen zijn. Door een residential proxy te gebruiken kan de aanvaller zijn eigen ip-adres verbergen. Een ander voordeel is dat er een ip-adres kan worden gekozen dat zich in dezelfde regio als dat van het doelwit bevindt. Een inlogpoging op een account vanuit dezelfde regio waar de aangevallen organisatie zich bevindt is minder verdacht dan een inlogpoging uit een ver land. Een residential proxy biedt cybercriminelen zodoende allerlei voordelen. Er zijn verschillende manieren waarop residential proxydiensten te werk gaan. Zo kunnen ze app-ontwikkelaars betalen om hun SDK (software development kit) toe te voegen. Zodra mensen de app installeren zorgt de SDK ervoor dat het systeem onderdeel van de proxydienst wordt. Andere mogelijkheden zijn bijvoorbeeld vpn-aanbieders met verborgen voorwaarden, gehackte IoT-apparaten, malware en mensen die bewust tegen betaling proxy-software op hun systemen installeren. NetNut biedt SDK's aan voor onder andere smart-tv's en streaming-apparaten. Deze apparaten worden zo onderdeel van het NetNut-proxynetwerk. Niet alleen worden de apparaten vervolgens gebruikt bij het uitvoeren van aanvallen, er zijn ook gevallen bekend waarbij de apparaten zelf werden besmet met varianten van de Mirai-malware. Deze malware gebruikt geïnfecteerde apparaten voor het uitvoeren van ddos-aanvallen. Volgens Google hebben de nu genomen acties grote gevolgen voor het functioneren van het NetNut-proxynetwerk en is het aantal beschikbare apparaten met miljoenen afgenomen. Tevens adviseert Google gebruikers om bij de aanschaf van apparatuur alleen producten van bekende fabrikanten aan te schaffen. Een aantal dagen geleden deed de Amerikaanse burgerrechtenbeweging EFF nog een oproep aan Amazon en andere webshops om te stoppen met het aanbieden van besmette Android-apparaten. Afgelopen mei kwam het Nationaal Cyber Security Centrum (NCSC) ook nog met een waarschuwing voor residential proxynetwerken en sprak van een zorgwekkende trend. "Het misbruik van residential proxies maakt het moeilijker digitale dreigingen en digitale aanvallen in kaart te brengen. Doordat de schaal van digitale aanvallen toeneemt, kan de weerbaarheid van organisaties onder druk komen te staan." bron: https://www.security.nl

Een nieuwe kwetsbaarheid in Citrix NetScaler ADC en Gateway waarvoor op 30 juni een beveiligingsupdate verscheen, is een dag na de bekendmaking misbruikt bij aanvallen, zo meldt cybersecuritybedrijf Lupovis in een analyse. Het beveiligingslek, aangeduid als CVE-2026-8451, betreft een 'memory overread'. Ongeauthenticeerde aanvallers kunnen hierdoor informatie uit het geheugen van het Citrix NetScaler-systeem stelen waarmee toegang kan worden verkregen en verdere aanvallen zijn uit te voeren. In het verleden zijn meer van dergelijke "CitrixBleed" kwetsbaarheden gevonden en misbruikt bij aanvallen. Citrix NetScaler ADC is een server die organisaties tussen hun servers en het internet plaatsen. De primaire functie is het verdelen van inkomend verkeer over de beschikbare servers, zodat websites en applicaties snel en goed toegankelijk blijven. Via de Citrix NetScaler Gateway kunnen medewerkers van bedrijven op afstand toegang tot bedrijfsapplicaties, bedrijfsomgevingen en intranetten krijgen. Het wordt dan ook veel voor thuiswerken gebruikt. De impact van een gecompromitteerd Citrix NetScaler-systeem kan dan ook groot zijn. CVE-2026-8451 werd gevonden en gerapporteerd door cybersecuritybedrijf watchTowr, dat op dezelfde dag dat Citrix met beveiligingsupdates kwam een technische uitleg van de kwetsbaarheid publiceerde. Het Nationaal Cyber Security Centrum (NCSC) adviseerde organisaties om de door Citrix beschikbaar gestelde beveiligingsupdate op korte termijn te installeren. Lupovis laat weten dat het binnen een dag na de openbaarmaking actief misbruik van het lek heeft waargenomen en is nu met Indicators of Compromise van de aanval gekomen. Misbruik van CVE-2026-8451 is nog niet door Citrix of andere partijen bevestigd. bron: https://www.security.nl

Opera heeft een maatregel aan de browser toegevoegd die gebruikers tegen ClickFix-aanvallen moet beschermen. Bij een ClickFix-aanval krijgen gebruikers bij het bezoeken van een website vaak te zien dat ze een 'captcha' moeten oplossen. In werkelijkheid gaat het hier om malafide instructies, waarbij een commando automatisch naar het clipboard van de gebruiker wordt gekopieerd. De gebruiker krijgt vervolgens instructies om dit commando op zijn systeem te pasten, waarna er malware wordt gedownload en uitgevoerd. Aanvallers plaatsen de malafide code die de zogenaamde captcha laat zien vaak op gehackte websites. Een ClickFix-aanval zorgde er bij de gemeente Epe voor dat de persoonlijke gegevens van nagenoeg alle inwoners konden worden gestolen. Om gebruikers tegen dit soort aanvallen te beschermen heeft Opera de Paste Protect feature uitgebreid. Zodra de feature ontdekt dat een website malafide commando's naar het clipboard wil kopiëren, blokkeert het dit en waarschuwt de gebruiker. Paste Protect is geen nieuwe feature, die werd namelijk al in 2021 aan de browser toegevoegd. De feature moest gebruikers oorspronkelijk beschermen tegen clipper-malware. Gebruikers van cryptovaluta die een betaling willen doen of geld naar een andere wallet willen overmaken kopiëren hiervoor vaak het walletadres van de begunstigde en plakken dat vervolgens in een veld op de transactiepagina. Op dat moment bevindt het adres zich in het clipboard van de computer of telefoon. De malware kan op dat moment het gekopieerde adres aanpassen naar een adres van de aanvaller. Zodra het slachtoffer het adres op de transactiepagina plakt, en niet goed oplet, maakt hij zo geld over naar de wallet van de aanvaller in plaats van de oorspronkelijk bedoelde begunstigde. Dit wordt ook wel clipper-malware genoemd. Nu beschermt Opera gebruikers ook tegen ClickFix-aanvallen. Paste Protect staat standaard ingeschakeld, maar gebruikers kunnen de feature uitschakelen. bron: https://www.security.nl

Criminelen hebben meerdere organisaties door middel van gehackte Fortinet-firewalls geïnfecteerd met ransomware, aldus cybersecuritybedrijf SOCRadar. Bij de aanvallen werden honderden systemen van deze organisaties versleuteld. In juni werd bekend dat criminelen de inloggegevens van zo'n 74.000 Fortinet-firewalls en vpn-gateways in handen hebben en te koop aanbieden. De firewalls zouden zijn gecompromitteerd door eerder gestolen inloggegevens en bruteforce-aanvallen. Ook zouden de aanvallers een manier hebben om de configuratie van de firewalls te dumpen en zo wachtwoordhashes te kraken. Bij zeker twaalf organisaties zijn de gehackte Fortinet-firewalls vervolgens gebruikt om achterliggende systemen van de betreffende organisaties aan te vallen. De aanvallen zouden verband houden met de ransomwaregroepen INC Ransom en Lynx. SOCRadar vermoedt dat een groep van ongeveer twintig mensen achter de "FortiBleed" aanvallen zitten, waarbij de groepsleden verschillende expertises hebben, zoals het binnendringen van organisaties en technische support. Het cybersecuritybedrijf zegt binnenkort meer informatie over de ransomware-aanvallen te zullen publiceren. bron: https://www.security.nl

Een kwetsbaarheid in Microsoft SharePoint waardoor remote code execution (RCE) mogelijk is wordt actief misbruikt bij aanvallen, zo waarschuwt het Amerikaanse cyberagentschap CISA. Microsoft kwam tijdens de patchcyclus van mei met beveiligingsupdates voor het probleem, maar vergat naar eigen zeggen het bestaan van de kwetsbaarheid te melden. Pas op 21 mei verscheen het beveiligingsbulletin voor de kwetsbaarheid, aangeduid als CVE-2026-45659. Microsoft geeft niet veel details over het probleem, behalve dat een geauthenticeerde aanvaller door middel van 'deserialization of untrusted data' code op de SharePoint-server kan uitvoeren. De aanvaller moet hierbij minimaal over 'Site Member' permissies beschikken. Verder achtte Microsoft de kans dat aanvallers het lek zouden misbruiken 'less likely'. Toch is de kwetsbaarheid bij aanvallen ingezet, aldus het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security. Details over de aanvallen zijn echter niet gegeven. bron: https://www.security.nl

De makers van het op privacy gerichte besturingssysteem hebben een nieuwe versie uitgebracht die twee kwetsbaarheden in de Linux-kernel verhelpt waardoor gebruikers zijn te ontmaskeren. Het gaat om de kwetsbaarheden met de naam DirtyClone (CVE-2026-43503) en pedit COW (CVE-2026-46331) waardoor een lokale aanvaller zijn rechten kan verhogen. De problemen zijn in verschillende Linux-distributies aanwezig en hebben inmiddels ook updates ontvangen. Tails staat voor The Amnesic Incognito Live System en is een volledig op Linux-gebaseerd besturingssysteem dat speciaal is ontwikkeld om de privacy en anonimiteit van gebruikers te beschermen. Het privacy-OS kan vanaf een usb-stick of dvd worden gestart. Tails maakt gebruik van het Tor-netwerk om het ip-adres van de gebruiker af te schermen en biedt allerlei op privacy gerichte applicaties. Via DirtyClone en pedit COW zou een met Tails meegeleverde applicatie admin-rechten kunnen krijgen. "Als een aanvaller bijvoorbeeld andere onbekende kwetsbaarheden weet te misbruiken in een applicatie van Tails, kunnen ze CVE-2026-46331 gebruiken om volledige controle over je Tails-installatie te krijgen en je de-anonimiseren", aldus het ontwikkelteam. Dat voegt toe dat een dergelijk aanval onwaarschijnlijk is, maar is uit te voeren door een sterke aanvaller zoals een overheid of hackingbedrijf. De Tails-ontwikkelaars zijn niet bekend met misbruik van beide problemen. Gebruikers worden opgeroepen om te updaten naar Tails 7.9.1. bron: https://www.security.nl

De Belgische politie heeft een aparte eenheid opgericht die zich met de bestrijding van phishing gaat bezighouden. De 'Nationale Cel Phishing' bestaat uit gespecialiseerde 'cyberspeurders', administratieve ondersteuning en misdrijfanalisten om trends, fenomenen en criminele structuren achter phishing in kaart te brengen. De focus ligt op de personen die phishingcampagnes opzetten, daders met specifieke rollen en het wegsluizen van gestolen geld. “Dit is een belangrijke en noodzakelijke stap in de strijd tegen phishing”, zegt Eric Snoeck, commissaris-generaal van de Federale Politie. "Door feiten van phishing te clusteren en verbanden te leggen, zullen we criminele netwerken doelgerichter kunnen aanpakken." De eenheid moet ook zorgen voor een betere coördinatie van de strijd tegen phishing door versnipperde informatie uit dossiers van politieregio's en federale diensten te bundelen, bepaalde werkwijzen te detecteren, daderprofielen te vergelijken en verbanden tussen de verschillende dossiers te leggen. Voor de analyses maakt de Nationale Cel Phishing gebruik van Phishnet, een platform dat phishingmeldingen omzet in visuele weergaven. "Het systeem maakt het mogelijk om gelijkaardige feiten aan elkaar te koppelen en patronen te herkennen die anders onopgemerkt blijven", aldus de Federale Politie. De eenheid werkt ook samen met verschillende partners. Zo wisselt Phishnet informatie uit met het Centre for Cybersecurity Belgium (CCB). Daarnaast wordt ook gebruikgemaakt van Phishline, een tool die ervoor zorgt dat bepaalde informatie uit phishingaangiften automatisch wordt doorgestuurd naar de juiste partners, zoals de bank van het slachtoffer, het CCB en het meldpunt van de Belgische ministerie van Economie. "De samenleving verandert, criminele praktijken evolueren continu. Ook wij moeten snel kunnen schakelen. Door technologie, data-analyse en samenwerking slim te combineren, versterken we niet alleen onze eigen slagkracht, maar ook die van al onze partners. Want geen enkele organisatie kan phishing alleen bestrijden", zegt Snoeck. De nieuwe eenheid gaat deze zomer van start en wordt de komende periode verder uitgebouwd. bron: https://www.security.nl

Google heeft de eigen captcha-oplossing reCaptcha van een nieuwe feature voorzien waarbij internetgebruikers een video van hun hand moeten maken, die vervolgens door het techbedrijf wordt geanalyseerd. Als onderdeel van 'handgebaarverificatie' moeten gebruikers reCaptcha toegang tot hun camera geven en hierna verschillende handgebaren maken. Vervolgens haalt Google allerlei data uit de gemaakte video, waaronder 21 coördinaten van vingerknokkels. ReCaptcha wordt door miljoenen websites gebruikt om mensen van bots te onderscheiden. Gebruikers moeten daarvoor allerlei puzzels oplossen. Ook voert het systeem een gedragsanalyse uit en laat gebruikers een checkbox aanklikken dat ze geen bot zijn. In april kondigde Google nieuwe eisen aan om reCaptcha te laten werken. Als het systeem gedrag waarneemt dat het verdacht vindt, krijgen gebruikers geen puzzel meer te zien, maar moeten ze een QR-code scannen. Deze scan verplicht dat op Androidtelefoons Google Play Services draait. Nu heeft het techbedrijf weer een nieuwe methode aangekondigd, waarbij gebruikers hun hand moeten filmen. Google zegt dat het gemaakte afbeeldingen en video's van handgebaren na de verificatie verwijdert en de data niet voor andere doeleinden gebruikt. "Video's of afbeeldingen worden automatisch verwijderd nadat de challenge is afgerond. De informatie die Google verzamelt wordt in overeenstemming met de Google Privacy Policy gebruikt en bewaard." In de documentatie over handgebaarverificatie stelt Google dat de feature kan worden toegepast als die staat ingeschakeld. Voor gebruikers die de captcha met handgebaren niet kunnen oplossen blijven visuele en audio challenges beschikbaar, aldus het techbedrijf. Ook zegt Google 'meer toegankelijke en veiligere alternatieven' te ontwikkelen. "De geruststelling is gebaseerd op vertrouwen en Google heeft mensen jarenlang redenen gegeven om hier terughoudend mee te zijn. Dit is een bedrijf dat bestaat door het verzamelen en verkopen van persoonlijke data en vraagt nu om je camera in te schakelen en je hand te lezen", stelt Reclaim the Net. bron: https://www.security.nl

Een beveiligingslek in WinRAR maakt het mogelijk voor aanvallers om code op het systeem van gebruikers uit te voeren. De kwetsbaarheid is verholpen in versie 7.23 van de populaire archiveringssoftware. Gebruikers moeten de update zelf installeren, omdat WinRAR niet over een automatische updatefunctie beschikt. Iets dat volgens antivirusbedrijf Trend Micro ervoor zorgt dat er nog steeds misbruik van oude WinRAR-lekken plaatsvindt. Volgens een beschrijving van de European Vulnerability Database is de kwetsbaarheid, aangeduid als EUVD-2026-40869, een variant van een kwetsbaarheid waarvoor in 2023 al een beveiligingsupdate verscheen en die bekendstaat als CVE-2023-40477. Het probleem doet zich voor bij het verwerken van recovery volumes. Het probleem werd destijds alleen verholpen met het RAR3-formaat. Het probleem kan zich echter ook voordoen bij het RAR5-formaat. Misbruik van de kwetsbaarheid vereist dat een WinRAR-gebruiker een malafide webpagina bezoekt of een malafide bestand opent, aldus de beschrijving van het probleem door cybersecuritybedrijf ZDI. Het beveiligingslek is verholpen in WinRAR 7.23. Onlangs stelde Trend Micro dat WinRAR lastig binnen organisaties is te patchen, waardoor aanvallers oude, bekende kwetsbaarheden in de software kunnen blijven misbruiken. De virusbestrijder hekelde onder andere het ontbreken van een automatische updatefunctie en het niet ondersteunen van Group Policy, alsmede dat de software buiten zakelijke patchsystemen zoals WSUS, SCCM of Intune valt. "Software met deze eigenschappen blijft lang te misbruiken nadat patches zijn verschenen, wat voor een permanente blinde vlek in het vulnerability management van organisaties zorgt." bron: https://www.security.nl

Adobe waarschuwt voor zes kritieke kwetsbaarheden in het product ColdFusion waarvan de impact met de maximale score van 10.0 is beoordeeld. Het softwarebedrijf roept klanten op om de beveiligingsupdates voor de problemen zo snel mogelijk te installeren, waarbij als voorbeeld binnen 72 uur wordt genoemd. Beveiligingslekken in ColdFusion zijn in het verleden vaker misbruikt bij aanvallen. ColdFusion is een platform voor het ontwikkelen van webapplicaties. De software bevat elf kritieke kwetsbaarheden waarvoor Adobe gisterenavond patches uitbracht. Via het Common Vulnerability Scoring System (CVSS) wordt de impact van kwetsbaarheden op een schaal van 1 tot en met 10 beoordeeld. Zes van de kritieke ColdFusion-lekken hebben de maximale score van 10.0 en maken het mogelijk voor ongeauthenticeerde aanvallers om willekeurige code op de ColdFusion-server uit te voeren. Adobe heeft het installeren van de updates de hoogste prioriteitsscore gegeven. Het doet dit alleen in het geval van producten die in het verleden zijn aangevallen of kans lopen om te worden aangevallen. Adobe is niet bekend met misbruik van de nu verholpen problemen. Het Amerikaanse cyberagentschap CISA houdt een overzicht bij van aangevallen kwetsbaarheden in allerlei producten. In het overzicht staan zestien ColdFusion-lekken waarvan is bevestigd dat ze bij aanvallen zijn ingezet. bron: https://www.security.nl

Google heeft beveiligingsupdates voor Chrome gepubliceerd, waarmee 382 kwetsbaarheden in de browser worden verholpen. Het gaat om één van de grootste updates in de geschiedenis van de browser. Vijftien van de beveiligingslekken zijn als kritiek aangemerkt en maken remote code execution (RCE) mogelijk. Alleen door het bezoeken van een gehackte of malafide website of te zien krijgen van een besmette advertentie kan een aanvaller kwaadaardige code op het systeem van gebruikers uitvoeren. Er is geen verdere interactie van gebruikers vereist. De kritieke lekken bevinden zich in allerlei onderdelen van de browser, zoals WebUSB, Extensions, Bluetooth en Dawn, een open source en crossplatform implementatie van de WebGPU-standaard. Van de 382 kwetsbaarheden werden er maar liefst 358 door Google zelf gevonden. Alle kritieke beveiligingslekken kwamen ook voor rekening van het techbedrijf. Google zegt niet bekend te zijn met misbruik van de nu verholpen problemen. De grootste Chrome-update tot nu toe verscheen begin juni en verhielp 429 beveiligingslekken. Google heeft nog niets gezegd waar het grote aantal kwetsbaarheden in de browser vandaan komt, maar experts denken dat de problemen door middel van AI zijn gevonden. Google Chrome 150.0.7871.46/.47 is beschikbaar voor macOS en Windows. Voor Linux is versie 150.0.7871.46 verschenen. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan echter een aantal dagen tot weken duren. Gebruikers die de update direct willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar. bron: https://www.security.nl

De Belgische overheid adviseert mensen om openbare wifi-netwerken van bijvoorbeeld hotels, luchthavens en cafés volledig te vermijden. "Op een onbeveiligd open netwerk kan een aanvaller in de buurt al het verkeer van aangesloten apparaten onderscheppen zonder ontdekt te worden: alles wat in leesbare tekst wordt verzonden, is leesbaar", aldus het Centrum voor Cybersecurity België (CCB), dat vanwege de aankomende vakantie een aantal beveiligingstips geeft. Volgens de Belgische overheidsinstantie kunnen met een wachtwoord beveiligde openbare wifi-netwerken wel worden gebruikt. Daarbij kunnen het regelmatig updaten van software, het gebruik van een VPN en het valideren van DNS responses via het DNSSEC-protocol een extra beschermingslaag bieden. "Hoewel een VPN op zichzelf nooit als een wondermiddel mag worden beschouwd", aldus het CCB. Na het gebruik van een openbaar wifi-netwerk adviseert het CCB om die altijd uit de lijst met bekende wifi-netwerken te verwijderen. Gebruikers krijgen verder het advies om nooit de standaardinstellingen van hun thuisrouter te behouden. "Van routers die door internetproviders (ISP’s) worden geleverd, wordt vaak aangenomen dat ze standaard veilig zijn. Die misvatting kan gevaarlijk zijn. Veel consumentenrouters blijven geconfigureerd met fabrieksinstellingen die in feite een open deur zijn: generieke wachtwoorden, verouderde protocollen en firmware die nooit is bijgewerkt." Het CCB raadt mensen aan om sterke wachtwoorden van minstens twaalf tekens in te stellen, gebruik te maken van het WPA3-protocol en beschikbare firmware-updates te installeren. Voor bedrijven adviseert het Centrum voor Cybersecurity België om het gastnetwerk van het interne netwerk te scheiden. Ook moeten ondernemingen beseffen dat via wifi persoonsgegevens kunnen worden verwerkt en het interactie kan hebben met met betalings- of operationele systemen. "In de praktijk moeten horeca-aanbieders wifi daarom niet beschouwen als een gratis extraatje, maar als een cruciale, gesegmenteerde en gemonitorde dienst." bron: https://www.security.nl

In de Microsoft Edge Add-ons store zijn meer dan honderd extensies ontdekt, met bij elkaar 2,6 miljoen gebruikers, die in werkelijkheid malware waren. Via de extensies konden aanvallers inloggegevens van Google-accounts en 2FA-codes, session cookies en wachtwoorden van WordPress-admins stelen. Daarnaast fungeerden de extensies als backdoor waardoor aanvallers na de installatie code op besmette systemen konden uitvoeren. Microsoft meldt dat het de extensies uit de Add-ons store heeft verwijderd. De in totaal 119 extensies deden zich onder ander voor als adblocker, vpn, vertaal-extensie en video-downloaders. Via de "RCE-backdoor" waarover de extensies beschikten konden de aanvallers aanvullende malware installeren, waaronder modules waarmee inloggegevens van WordPress-admins werden gestolen, alsmede session cookies. Ook waren inloggegevens van Google-accounts het doelwit, waarbij zowel wachtwoorden en 2FA-codes tijdens het inloggen werden buitgemaakt. Zo konden aanvallers de betreffende accounts eenvoudig overnemen. Tevens werden de extensies voor advertentiefraude gebruikt, waarbij allerlei advertenties op websites werden geïnjecteerd. Microsoft heeft zoals gezegd de 119 extensies uit de Add-ons store verwijderd en de negentig accounts van de betreffende ontwikkelaars geschorst. Verder zegt Microsoft dat de detectie om malafide extensies te detecteren is verbeterd. Het techbedrijf heeft ook een lijst met de malafide extensies gepubliceerd en adviseert Edge-gebruikers om regelmatig hun geïnstalleerde extensies te controleren en extensies die niet meer in gebruik zijn of worden herkend te verwijderen. bron: https://www.security.nl

Een gevaarlijke kwetsbaarheid in SimpleHelp RMM-servers wordt actief misbruikt bij aanvallen en kan grote gevolgen voor allerlei organisaties hebben, zo waarschuwt het Amerikaanse cyberagentschap CISA. De impact van het beveiligingslek (CVE-2026-48558) is op een schaal van 1 tot en met 10 beoordeeld met een 10.0. SimpeHelp is een remote monitoring en management toepassing, gebruikt voor het beheer van systemen. Onder andere managed serviceproviders (MSP's) gebruiken RMM-oplossingen om de systemen van hun klanten te beheren. De MSP heeft vanaf de RMM-server toegang tot de systemen van klanten. Een kritieke kwetsbaarheid in SimpleHelp zorgt ervoor dat een ongeauthenticeerde aanvaller, dus zonder inloggegevens, een 'Technician' account op de RMM-server kan aanmaken. Het Technician-account heeft toegang tot beheerde endpoints, kan scripts en admin-acties uitvoeren en remote systemen beheren. De kwetsbaarheid doet zich voor wanneer er gebruik wordt gemaakt van OpenID Connect (OIDC) authenticatie. SimpleHelp blijkt de digitale signature van tokens die tijdens het inloggen worden verstrekt niet te controleren. Een aanvaller kan zo een vervalst token aanbieden dat het systeem accepteert en als Technician inloggen. De kwetsbaarheid werd op 12 juni bekendgemaakt. SimpleHelp had een week eerder al een patch beschikbaar gesteld, maar nog geen informatie over het beveiligingslek verstrekt. Het probleem was gevonden door onderzoekers van cybersecuritybedrijf Horizon3.ai. Dat besloot vanwege de impact nog geen technische details te publiceren. Gisteren rapporteerde cybersecuritybedrijf Blackpoint dat de kwetsbaarheid bij aanvallen wordt ingezet, waarbij de aanvallers systemen infecteren die via de RMM-server worden beheerd. Bij de aanvallen worden systemen met infostealer-malware geïnfecteerd waarmee allerlei inloggegevens worden gestolen, waardoor de aanvallers aanvullende systemen en omgevingen kunnen compromitteren, zoals cloudomgevingen. Volgens Horizon3.ai zijn 14.000 SimpleHelp-servers vanaf het internet toegankelijk, waarvan meer dan zeven procent kwetsbaar is. Het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security is ook bekend met actief misbruik, zo laat het weten, maar geeft geen details over de aanvallen. bron: https://www.security.nl