Captain Kirk

Aanvallers zijn erin geslaagd om AI-platform Northflank te hacken en hebben daarbij gegevens van klanten gestolen en gebruikt. Northflank is een 'runtime platform voor autonome software'. Het bedrijf claimt dat meer dan tweeduizend bedrijven er voor de ontwikkeling van software gebruik van maken. Het zou onder andere gaan om CoreWeave, Upwork en Figma. Op de eigen statuspagina meldt Northflank dat het te maken heeft met een beveiligingsincident en gedeeltelijke uitval. Volgens het bedrijf moeten klanten ervan uitgaan dat hun omgevingsvariabelen zijn ontsleuteld en in handen van aanvallers gekomen. Deze variabelen kunnen allerlei gevoelige informatie bevatten, zoals credentials en andere secrets. Meerdere klanten hebben inmiddels gemeld dat hun "AI keys" zijn gebruikt. Northflank adviseert alle klanten om meteen hun keys en environment variables te veranderen. Verdere details zijn op dit moment niet beschikbaar. bron: https://www.security.nl

Hackers hebben actief misbruik gemaakt van een kwetsbaarheid in VMware ESXi om hun sporen te verbergen, zo melden het Amerikaanse cyberagentschap CISA en cybersecuritybedrijf CrowdStrike. De kwetsbaarheid (CVE-2026-41709) bevindt zich in verschillende VMware-onderdelen en maakt het mogelijk voor een malafide admin om bepaalde acties uit te voeren, zonder dat die worden gelogd. ESXi, onderdeel van VMware's vSphere, is een 'bare metal hypervisor' voor het virtualiseren van besturingssystemen. De virtualisatiesoftware wordt direct op een server geïnstalleerd en kan vervolgens het gevirtualiseerde besturingssysteem laden. Op 29 juli dit jaar kwam Broadcom met beveiligingsupdates voor de logging-kwetsbaarheid in ESXi, nadat het eerder was ingelicht door CrowdStrike. CVE-2026-41709 heeft een CVSS-impactscore van 2.7 op een schaal van 1 tot en met 10. Toch was de kwetsbaarheid interessant genoeg voor aanvallers om te misbruiken. Volgens CrowdStrike heeft een groep genaamd 'Warp Panda' sinds begin dit jaar van het lek gebruikgemaakt om bij aangevallen organisaties geen 'audit trail' achter te laten. Om misbruik van de kwetsbaarheid te kunnen maken moet een aanvaller al toegang tot de ESXi-omgeving hebben. Hoe dat werd gedaan bij de aanvallen waarbij CVE-2026-41709 werd ingezet laat CrowdStrike niet weten. Het Amerikaanse cyberagentschap CISA meldt ook dat aanvallers misbruik van CVE-2026-41709 maken, maar geeft geen details over de aanvallen. VMware ESXi en ESX zijn geregeld het doelwit van aanvallen. Het CISA is bekend met acht verschillende kwetsbaarheden die de afgelopen jaren bij aanvallen tegen de platforms zijn ingezet. VMware vCenter, dat in combinatie met ESXi wordt gebruikt, telt twaalf aangevallen kwetsbaarheden waardoor aanvallers dergelijke omgevingen op afstand kunnen overnemen. bron: https://www.security.nl

Een beveiligingslek in TeamViewer maakt het mogelijk voor aanvallers om het systeem over te nemen dat met hun systeem verbinding maakt. Er zijn updates uitgebracht om het probleem te verhelpen. Via TeamViewer is het mogelijk om systemen op afstand te besturen. Helpdesks maken er vaak gebruik van. De 'integer overflow' kwetsbaarheid (CVE-2026-111585) bevindt zich in het onderdeel van TeamViewer clients (Full Client, Portable en Remote Control App) dat voor de remote-control screen verwerking verantwoordelijk is. Dit is het onderdeel waardoor een helpdesk op het scherm van een ander kan meekijken. Wanneer een helpdesk met een kwetsbare versie van TeamViewer verbinding maakt met het systeem van een aanvaller, zorgt het lek ervoor dat die willekeurige code op het systeem van de helpdeskmedewerker kan uitvoeren. "Helpdesks zijn de hele dag bezig met het fixen van de computers van anderen; deze kwetsbaarheid laat één van die computers code van de aanvaller op het systeem van de helpdeskmedewerker uitvoeren zodra de sessie wordt gestart. Je hoeft nergens op te klikken en er wordt geen wachtwoord gestolen: de hele aanval is gebaseerd op het accepteren van de verbinding", aldus cybersecuritybedrijf Remedio. Dat ontdekte het probleem en rapporteerde het op 14 augustus aan TeamViewer. Op 27 oktober verschenen updates voor de kwetsbaarheid. bron: https://www.security.nl

Aanvallers maken actief misbruik van een zeer kritieke kwetsbaarheid in Drupal Commerce Core voor het aanvallen van webwinkels, die daardoor financieel gedupeerd kunnen raken, zo waarschuwt Drupal. Commerce Core is op Drupal-gebaseerde webshopsoftware. Volgens Drupal maken duizenden webwinkels gebruik van het platform. Een kwetsbaarheid in Drupal Commerce Core kan tot een 'access bypass' leiden die webshops financieel kan raken, aldus het beveiligingsbulletin van Drupal. Dat spreekt van een 'zeer kritieke' kwetsbaarheid waar aanvallers actief misbruik van maken. Verdere details over het beveiligingslek en de waargenomen aanvallen zijn niet gegeven. Wel zijn er beveiligingsupdates uitgebracht om de kwetsbaarheid (CVE-2026-118539) te verhelpen. Het gaat om Commerce Core 3.3.13 en Commerce Core 8.x-2.41 waar webshops naartoe kunnen updaten. bron: https://www.security.nl

Aanvallers zijn erin geslaagd om een officiële extensie van AI-bedrijf Anthropic te voorzien van een backdoor, zo waarschuwen beveiligingsonderzoekers. De besmette extensie zou tot vijfduizend gebruikers hebben geraakt, aldus Cursor. Het gaat om de Claude Code for VS Code-extensie die via de Cursor Marketplace werd aangeboden. De extensie biedt 'AI-programmeerhulp' voor softwareontwikkelaars. Versie 2.1.313 bevat een SSH-backdoor waarmee de aanvaller remote toegang tot het systeem krijgt. De malware in de extensie verzamelt allerlei informatie van het systeem en voegt een SSH key aan de geautoriseerde keys toe, schakelt de lokale SSH service in en opent een reverse SSH tunnel. De malware raakt zowel Linux, macOS als Windows. Volgens Cursor zijn tot vijfduizend gebruikers van de extensie door de aanval getroffen. De server van de aanvallers is inmiddels offline gehaald. Gebruikers krijgen het advies om de versie van hun extensie te controleren en in het geval van een gecompromitteerd systeem alle credentials en sessions te vervangen die vanaf het systeem toegankelijk waren. Hoe de malware kon worden toegevoegd is niet bekendgemaakt. De Britse beveiligingsonderzoeker Kevin Beaumont spreekt van een supplychain-aanval en meldt dat ook de Claude-extensie op de Visual Studio Marketplace is getroffen. Daarnaast stelt Beaumont dat Anthropic klanten nog niet heeft gewaarschuwd en Claude Code onder andere op laptops van cryptobedrijf Binance draait. Bij Binance wisten aanvallers miljarden euro's aan cryptovaluta te stelen. bron: https://www.security.nl

WordPress heeft afgelopen woensdag 28 oktober een beveiligingsupdate uitgebracht voor een kwetsbaarheid die ongeauthenticeerde remote code execution (RCE) mogelijk maakt, waardoor een aanvaller zijn code op de webserver kan uitvoeren. Kort na het uitkomen van de patch werden de eerste aanvallen al waargenomen, aldus cybersecuritybedrijf Wordfence. Dat roept webmasters en beheerders op om zo snel mogelijk naar WordPress 7.1.4 te updaten. Het probleem is alleen te misbruiken als WordPress-sites een Core-update uitvoeren, waarbij er een volledige WordPress package wordt gebruikt (full-package update). Tijdens de installatie van de update worden nieuwe bestanden naar een voorspelbare directory uitgepakt, die vanaf het internet toegankelijk is. Deze bestanden bevatten ook de WordPress-installer. Een ongeauthenticeerde aanvaller die op het juiste moment de installer aanroept kan bij een succesvolle aanroep zijn code uitvoeren. Hoewel het tijdsvenster voor een succesvolle aanval heel klein is, lijkt dat aanvallers niet te weerhouden. Wordfence meldt dat kort na het uitkomen van de patch de eerste aanvallen werden waargenomen. Daarbij bleven de aanvallers ruim veertien uur lang bij een select aantal websites continu de installer aanroepen, in de hoop dat één van de pogingen succesvol is. bron: https://www.security.nl

Het Tor Project heeft Tor Browser 16 gelanceerd, de eerste grote versie-update in een jaar. Deze versie bevat honderden bugifxes, introduceert een nieuw instellingenmenu en biedt verbeterde ondersteuning voor Linux-computers die op 64-bit ARM-processors draaien. Tor Browser bestaat uit software om verbinding te maken met het Tor-netwerk en een aangepaste Firefox-versie. De browser laat gebruikers via het Tor-netwerk surfen, waarbij hun ip-adres wordt afgeschermd en gecensureerde sites zijn te bezoeken. Miljoenen mensen maken dagelijks gebruik van het browser en het netwerk. Tor Browser 16 is de eerste versie die is gebaseerd op Firefox ESR 153. Daarnaast zijn 270 problemen die via bugplatform Bugzilla waren gemeld verholpen. Tor Browser 16 beschikt tevens over een nieuw instellingenmenu, gebaseerd op het aangepaste ontwerp dat afgelopen juni al in Firefox verscheen. Verder is er een nieuwe handleiding en is er nu native support voor Linux-computers met 64-bit ARM-processors, zoals de Raspberry Pi en Apple Macs met processoren van Apple die Linux draaien. Ook in de Android-versie zijn verschillende aanpassingen doorgevoerd. Naast een nieuwe Tor Browser is er ook een nieuwe versie van Tails verschenen, een op privacy gericht besturingssysteem. Tails staat voor The Amnesic Incognito Live System en is een volledig op Linux-gebaseerd besturingssysteem dat speciaal is ontwikkeld om de privacy en anonimiteit van gebruikers te beschermen. Het privacy-OS kan vanaf een usb-stick of dvd worden gestart. Tails maakt gebruik van het Tor-netwerk om het ip-adres van de gebruiker af te schermen en biedt allerlei op privacy gerichte applicaties. Vanwege de nieuwe Tor Browser is nu Tails 7.16 uitgebracht. bron: https://www.security.nl

Online toegankelijke Synology NAS-systemen zijn getroffen door ransomware-aanvallen waarbij allerlei bestanden zijn versleuteld, zo laten meerdere getroffen gebruikers via Reddit weten. Er wordt melding gemaakt van aanvallen door de C3rb3r/Locked3d-ransomware. Eén van de slachtoffers van de ransomware-aanvallen vermoedt dat zijn NAS-systeem via een anderhalf jaar oude kwetsbaarheid (CVE-2024-10441) is gehackt. Synology bevestigt dat de aanvallers inderdaad van deze kwetsbaarheid gebruikmaken. "Synology heeft ontdekt dat aanvallers een kwetsbaarheid misbruiken die in december 2024 is gepatcht, om apparaten aan te vallen die een verouderde versie van DSM draaien. Bij deze aanvallen wordt data versleuteld en losgeld geëist", aldus Sonology. DSM is het besturingssysteem dat op de NAS-apparaten van Sonology draait. De NAS-fabrikant roept gebruikers op om hun DSM-versie up-to-date te houden. "Alle foto's van mijn kinderen van de afgelopen 10 jaar stonden erop, waaronder mijn familiefoto's. Ik ben er echt kapot van", aldus één van de getroffen gebruikers. Op GitHub is een uitleg gepubliceerd waarin wordt gesteld dat slachtoffers in bepaalde gevallen hun bestanden zelf kunnen ontsleutelen. bron: https://www.security.nl

Aanvallers hebben geprobeerd om de GitLab-server van Linux-distributie Alpine Linux te hacken, zo hebben de ontwikkelaars zelf bekendgemaakt. Het ontwikkelteam zegt dat het geen bewijs van een succesvolle hack heeft gevonden, maar kan dit ook niet uitsluiten. Daarom werd besloten om de GitLab-server als gehackt te beschouwen en volledig van de grond af op te bouwen. Alpine Linux omschrijft zich als een op security gerichte, lichtgewicht Linux-distributie. GitLab is een populaire online DevOps-tool voor het opslaan, beheren en ontwikkelen van software, waar ook Alpine Linux gebruik van maakt. Op 12 oktober waarschuwde GitLab voor een kritieke kwetsbaarheid in de software, aangeduid als CVE-2026-97229. Het gaat om een integer overflow waardoor een ongeauthenticeerde aanvaller via een malafide CI/CD-configuratie willekeurige code op de GitLab-server kan uitvoeren. De kwetsbaarheid heeft een CVSS-impactscore van 10.0 op een schaal van 1 tot en met 10. Alpine Linux installeerde op 13 oktober door een fout GitLab versie 19.3.4, die nog steeds kwetsbaar was, in plaats van GitLab versie 19.3.5. Op 20 en 21 oktober stuurde een nieuw geregistreerde account speciaal geprepareerde CI-configuraties naar de GitLab-server van Alpine Linux, die nog steeds een kwetsbare versie draaide. Door de aanval crashte het GitLab worker proces op de server acht keer. Bij vier van de crashes kwam de aanvaller iets verder met het uitvoeren van de exploit, maar mislukte de volgende stap. De aanvaller downloadde ook de GitLab container image waar Alpine Linux gebruik van maakt, vermoedelijk om de exploit op de gebruikte build af te stellen. Het ontwikkelteam zegt geen bewijs te hebben gevonden dat de aanvaller code op de GitLab-server heeft uitgevoerd, maar kan dit ook niet uitsluiten. Het ontwikkelteam zegt verder dat het upgraden naar GitLab 19.3.6 op 22 oktober het probleem niet verhielp. Deze versie was een dag eerder uitgekomen. "De fix zit niet in de eigen code van GitLab, maar in een patch voor Ruby, die GitLab alleen toepast in de eigen officiële packages. Onze image gebruikt standaard Ruby en ontving dus niet de patch", aldus de ontwikkelaars van Alpine Linux. Die stellen dat bij GitLab-servers met een eigen Ruby het installeren van de GitLab-update niet voldoende is, maar ook een Ruby-update is vereist. Het opnieuw opbouwen van de GitLab-server werd gisteren afgerond. Daarbij zijn alle wachtwoorden gereset en alle GitLab secret keys vervangen. bron: https://www.security.nl

Een cyberaanval op de Belgische belastingdienst maakt het tijdelijk onmogelijk om belastingaangifte te doen of eerder gedane aangiftes in te zien. Mensen die nu geen aangifte kunnen doen krijgen uitstel. Gisteren meldde de Belgische overheid dat de systemen van FOD Financiën, de Belgische fiscus, waren getroffen door een cyberaanval. Uit voorzorg werden MyMinfin en enkele andere diensten tijdelijk uit de lucht gehaald. De diensten zijn ook vandaag nog altijd offline. MyMinfin is het online platform van de Belgische belastingdienst, dat onder andere wordt gebruikt voor online belastingaangifte. De Belgische overheid zegt te beseffen dat het offline zijn van het platform gevolgen heeft in het geval van fiscale deadlines. "Daarom zal er voldoende uitstel voorzien worden voor het indienen van de aangiften met specifieke inkomsten. De specifieke datum volgt zo snel mogelijk." Volgens de autoriteiten zijn er op dit moment geen aanwijzingen dat er sprake is van een datalek of dat gegevens werden buitgemaakt. Het onderzoek naar de aanval is echter nog gaande. Om wat voor soort aanval het precies gaat en hoe die mogelijk was is nog niet bekendgemaakt. bron: https://www.security.nl

Cisco waarschuwt organisaties opnieuw voor dos-aanvallen tegen de ssl vpn-service van ASA- en FTD-firewalls en heeft een noodpatch uitgebracht om het misbruikte beveiligingslek te verhelpen. In augustus was de vpn-service van de genoemde firewalls ook al het doelwit van dos-aanvallen. De Secure Firewall Adaptive Security Appliance Software (ASA) en Secure Firewall Threat Defense (FTD) software draait op allerlei netwerkapparaten van Cisco, die onder andere voor hun firewall- en vpn-functionaliteit worden gebruikt. De ssl vpn-service die op de firewalls draait bevat een kwetsbaarheid, aangeduid als CVE-2026-76418. Het gaat volgens Cisco om meerdere 'logicafouten' die zich voordoen als er een tweede configuratie voor een tunnelgroep is ingesteld. Door het versturen van een speciaal geprepareerd request kan een aanvaller, als die verbinding maakt met het vpn-systeem, het apparaat laten herstarten, wat voor een denial of service (dos) zorgt. Cisco heeft patches voor de kwetsbaarheid uitgebracht en roept klanten op die te installeren. Details over de waargenomen dos-aanvallen zijn niet gegeven, behalve dat die deze maand werden waargenomen. bron: https://www.security.nl

Een beveiligingsonderzoeker van AI-bedrijf Anthropic heeft weer met behulp van chatbot Claude kritieke kwetsbaarheden in Google Chrome gevonden. Via de beveiligingslekken kan een aanvaller code op het systeem van kwetsbare gebruikers uitvoeren, zoals malware, waarbij alleen het bezoeken van een gehackte of malafide website of te zien krijgen van een besmette advertentie voldoende is. In de nieuwste versie van Google Chrome zijn in totaal 52 kwetsbaarheden verholpen, waarvan er vier als kritiek zijn aangemerkt. Alle vier de problemen kwamen op naam van Anthropic-onderzoeker Xinyang Ge. Bij twee van de kritieke beveiligingslekken staat specifiek vermeld dat die met behulp van Claude zijn gevonden. In totaal telt deze patchronde van Chrome zes kwetsbaarheden met de naam van Ge en de omschrijving 'assisted by Claude'. De afgelopen weken rapporteerde de onderzoeker meerdere kritieke Chrome-lekken aan Google, waarbij hij ook gebruik had gemaakt van Claude. Google meldde eerder dit jaar dat AI een belangrijke rol speelt in het grote aantal beveiligingslekken dat dit jaar in de browser is gevonden. Vanwege het grote aantal kwetsbaarheden en het risico dat die steeds sneller worden misbruikt, test Google nu het uitbrengen van twee 'security releases' per week. Google Chrome 156.0.8078.73/.74 is beschikbaar voor macOS en Windows. Voor Linux is versie 156.0.8078.73 verschenen. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan echter een aantal dagen duren. Gebruikers die de update direct willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar. bron: https://www.security.nl

De makers van de populaire archiveringssoftware WinRAR hebben een nieuwe bètaversie gepubliceerd waarmee verschillende beveiligingsproblemen worden verholpen. WinRAR 7.30 Beta 2 bevat fixes voor in totaal zes beveiligingsproblemen, aldus de release notes. Via de problemen, die geen CVE-nummer hebben, is het onder andere mogelijk om informatie voor gebruikers te verbergen, bestanden buiten de bedoelde directory te schrijven en het Mark-of-the-Web omzeilen. Mark-of-the-Web (MOTW) is een beveiligingsfeature van Windows die ervoor zorgt dat bestanden die via internet zijn gedownload door Windows van een aparte tag worden voorzien. Bij het openen van bestanden met een MOTW-tag zal Windows een extra waarschuwing aan gebruikers tonen of ze het bestand echt willen openen, aangezien het vanaf internet afkomstig is. Gebruikers krijgen het advies om te updaten naar WinRAR versie 7.30 Beta 2. Dit moet handmatig gebeuren, aangezien WinRAR geen automatische updatefunctie heeft. Daardoor kunnen kwetsbare versies van de software lange tijd actief blijven, waar aanvallers weer misbruik van maken, zo waarschuwde antivirusbedrijf Trend Micro afgelopen juni. bron: https://www.security.nl

Een kwetsbaarheid in de Google Brotli-decoder, ook bekend als Node2Shell, wordt actief misbruikt bij aanvallen. Daarvoor waarschuwen cybersecuritybedrijven en overheidsinstanties. Het beveiligingslek (CVE-2026-111497) maakt remote code execution (RCE) door een ongeauthenticeerde aanvaller mogelijk. Eind vorige week verschenen beveiligingsupdates voor het probleem. Brotli is een compressie library van Google. Node.js, de software waarmee JavaScript op servers draait, wordt geleverd met een eigen versie. "Brotli verkleint de bestandsgrootte van webpagina's voordat een webserver ze naar een webbrowser stuurt", aldus het Nationaal Cyber Security Centrum (NCSC), dat vorige week met een aparte oproep kwam om de Brotli-updates meteen te installeren. Door het versturen van speciaal geprepareerde Brotli-data kan een buffer overflow ontstaan. Vervolgens kan een aanvaller in het ergste geval willekeurige code op de server uitvoeren met de rechten van het getroffen proces. Cyberagentschappen uit de Verenigde Staten en Italië melden dat aanvallers actief misbruik van Node2Shell maken. Ook cybersecuritybedrijf Previdian rapporteert dit. Aanvallers zouden malafide bestanden uploaden om zo een shell op kwetsbare servers te krijgen. bron: https://www.security.nl

Palo Alto Networks waarschuwt klanten voor misbruik van de PHP2Shell-lekken in de management-interface van de firewalls die het aanbiedt. Naast een update van het beveiligingsbulletin heeft het cybersecuritybedrijf ook een waarschuwing naar klanten gestuurd. In het bericht meldt Palo Alto Networks dat het bekend is met verhoogde 'threat actor' activiteit, gericht tegen de publiek toegankelijke management-interface van de eigen firewalls. Klanten worden opgeroepen om de management-interface niet toegankelijk vanaf het publieke internet te maken. Via de PHP2Shell-lekken (CVE-2026-109618, CVE-2026-109619) kan een ongeauthenticeerde aanvaller code op het systeem uitvoeren. "Actief misbruik is waargenomen gericht tegen de Palo Alto Networks management-interface die vanaf het internet toegankelijk is", aldus nieuwe informatie in het beveiligingsbulletin. Verdere details zijn niet gegeven. De management-interface van de Palo Alto Networks firewalls maakt gebruik van PHP. Het bedrijf heeft inmiddels beveiligingsupdates uitgebracht om de kwetsbaarheden in de eigen software te verhelpen. bron: https://www.security.nl

Mozilla heeft vandaag Firefox 159 gelanceerd, waarmee 167 kwetsbaarheden in de browser zijn verholpen. Het grootste deel van de beveiligingslekken heeft een 'high' impactbeoordeling gekregen, wat inhoudt dat aanvallers de kwetsbaarheden kunnen misbruiken om via malafide of gehackte websites informatie van andere geopende sites te stelen of code op deze websites te injecteren. Daarbij is geen verdere interactie van gebruikers vereist. Zo kunnen aanvallers allerlei gevoelige informatie stelen. Naast de verholpen kwetsbaarheden introduceert Firefox 159 ook allerlei nieuwe features, waaronder dat opgeslagen wachtwoorden nu standaard in de sidebar toegankelijk zijn. Updaten naar de nieuwste Firefox-versie kan via de automatische updatefunctie en Firefox.com. bron: https://www.security.nl

Citrix NetScaler en Palo Alto Networks hebben beveiligingsupdates uitgebracht voor de PHP2Shell-lekken in hun producten. Organisaties worden opgeroepen de updates tijdig te installeren. Beveiligingsonderzoeker Kevin Beaumont waarschuwt dat Citrix NetScaler-apparatuur niet over ASLR beschikt en dit bij de vitual machines van Palo Alto Network staat uitgeschakeld. Address space layout randomization (ASLR) is een techniek die het lastiger maakt voor een aanvaller om te voorspellen waar in het geheugen bepaalde delen van programma's worden geladen. Dit moet het uitbuiten van kwetsbaarheden in applicaties veel lastiger maken. PHP2Shell is eenvoudiger te misbruiken op systemen zonder ALSR, aldus onderzoekers. Citrix heeft de impact van de PHP-kwetsbaarheden, waardoor een ongeauthenticeerde remote aanvaller code op kwetsbare systemen kan uitvoeren, als kritiek bestempeld. Palo Alto Networks geeft het stempel 'high' en stelt dat met name systemen risico lopen waarvan de management-interface vanaf het internet toegankelijk is. Oorspronkelijk zou Palo Alto Networks op 28, 29 en 30 oktober met updates komen, maar die datums zijn naar voren gehaald. bron: https://www.security.nl

Ok, hopen dat het probleem weg blijft. Zo niet, dan horen we het vanzelf. Succes!

En, hoe staat het met het probleem?

Aanvallers maken actief misbruik van verschillende beveiligingslekken in Plex Media Server om kwetsbare servers te compromitteren. Plex publiceerde afgelopen september beveiligingsupdates voor de problemen en riep gebruikers op om die zo snel mogelijk te installeren, maar tienduizenden servers zijn nog altijd kwetsbaar. Details over de kwetsbaarheden zijn openbaar gemaakt. Ook is er proof-of-concept (PoC) exploitcode online verschenen. Plex biedt software voor het opzetten van een mediaserver om daarmee media naar apparaten te streamen. Het bedrijf claimt meer dan 25 miljoen gebruikers wereldwijd te hebben. De in totaal vier kwetsbaarheden (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 en CVE-2026-96656) worden nu actief misbruikt, zo melden beveiligingsonderzoekers. Door de problemen te combineren kan een ongeauthenticeerde aanvaller code op kwetsbare Plex-mediaservers uitvoeren. De aanval kreeg de naam 'Plex2Shell'. Bij de nu waargenomen aanvallen worden kwetsbare mediaservers voorzien van cryptominers, die de rekenkracht van het systeem gebruiken voor het minen van cryptovaluta. Daarnaast installeren de aanvallers ook proxysoftware, om vanaf de gehackte mediaserver verdere aanvallen uit te voeren. Dit is mogelijk doordat aanvallers eerst het admin-token weten te stelen dat de toegang tot server geeft. Vervolgens weet de aanvaller via een speciaal geprepareerde video malafide code naar codec directory te schrijven waarmee er een shell op het systeem wordt verkregen. Vorige maand waarschuwde The Shadowserver Foundation dat op internet zo'n 36.000 kwetsbare Plex-mediaservers zijn te vinden. Die situatie is nog altijd niet veel veranderd, zo blijkt uit de laatste meting. Nederland telt nog altijd meer dan vijftienhonderd kwetsbare servers. Gebruikers worden opgeroepen om naar versie 1.43.3 of nieuwer te updaten. De onderzoeker die de kwetsbaarheden rapporteerde ontving hiervoor een beloning van 500 dollar. bron: https://www.security.nl

Een beveiligingslek in Siemens Software Center is gebruikt bij ClickFix-aanvallen, zo laat Siemens weten. Via de kwetsbaarheid kunnen aanvallers malafide code op systemen laden. Siemens kwam op 15 oktober met een beveiligingsbulletin voor de kwetsbaarheid (CVE-2026-110936). Siemens Software Center is een applicatie voor het downloaden, installeren en activeren van aangekocht software. CVE-2026-110936 betreft een kwetsbaarheid in de software waardoor die is te misbruiken om malafide dll-bestanden te laden. Een aanvaller kan in een bepaalde directory een malafide dll-bestand plaatsen. Zodra Siemens Software Center wordt gestart zal het in deze directory naar dll-bestanden zoeken en wanneer gevonden die ook laden. Dit maakt het uitvoeren van willekeurige met de rechten van de applicatie mogelijk. Bij ClickFix-aanvallen worden mensen verleid tot het uitvoeren van malafide commando's op hun systeem, die leiden tot de installatie van malware. Bij de aanvallen waarvoor Siemens waarschuwt plaatsen de aanvallers een kwetsbare versie van Software Center op het systeem en gebruiken dat om een malafide dll-bestand te laden en zo het systeem te infecteren. Bij de ClickFix-aanvallen maken de aanvallers ook gebruik van andere software om malafide dll-bestanden te laden, zo waarschuwde cybersecuritybedrijf Forescout onlangs. Siemens adviseert om nooit commando's gegeven door een website op het eigen systeem uit te voeren. bron: https://www.security.nl

Aanvallers hebben WordPress plug-in Rank Math PRO van een backdoor voorzien, zo hebben de ontwikkelaars aangekondigd. De besmette versie werd op 15 en 16 oktober via de officiële website aangeboden, alsmede als update voor al geïnstalleerde versies. Rank Math PRO is een betaalde 'SEO' (search engine optimization) plug-in voor WordPress die ervoor moet zorgen dat websites beter door zoekmachines worden gevonden. WordPress-beheerders die de plug-in op de genoemde dagen hebben gedownload of geüpdatet moeten hun website als gecompromitteerd beschouwen en hun site via een schone back-up herstellen. Ook wordt aangeraden om alle wachtwoorden en andere credentials met betrekking tot de website aan te passen. Hoe de backdoor aan de plug-in kon worden toegevoegd is niet bekendgemaakt. De gratis WordPress plug-in Rank Math SEO, afkomstig van dezelfde ontwikkelaars, is niet door het incident getroffen. bron: https://www.security.nl

Smart home en gebouwautomatiserings-specialist LOXONE is getroffen door een cyberaanval op de interne bedrijfssystemen. De aanval werd op zondag 18 oktober 2026 ontdekt. Volgens LOXONE zijn klantinstallaties en de online diensten die nodig zijn voor de werking daarvan niet getroffen. De mogelijke gevolgen voor bedrijfsgegevens en persoonsgegevens worden nog onderzocht. LOXONE heeft vandaag bekendgemaakt (PDF) dat het bedrijf slachtoffer is geworden van een cyberaanval. Nadat het incident werd ontdekt zijn per omgaande maatregelen getroffen om de gevolgen te beperken. Zo zijn gecompromiteerde interne systemen geïsoleerd en zijn externe securityspecialisten ingeschakeld om de aanval te onderzoeken. Het bedrijf werkt momenteel aan het vaststellen van de omvang van het incident en het herstellen van de getroffen systemen. Ook zijn de relevante autoriteiten inmiddels geïnformeerd. LOXONE benadrukt dat de cyberaanval geen gevolgen heeft voor de werking van de klantinstallaties. Zowel de installaties zelf als de online diensten die nodig zijn voor de bediening en werking ervan zijn volgens het bedrijf niet getroffen. LOXONE wijst in dit kader op de decentrale architectuur van zijn automatiseringsoplossingen. De LOXONE Miniserver vormt het hart van de installatie en verwerkt automatiseringsfuncties lokaal zonder verder afhankelijk te zijn van een permanente internetverbinding of centrale cloud servers. Dit zorgt ervoor dat installaties zelfstandig kunnen blijven functioneren, ook wanneer externe systemen of verbindingen niet beschikbaar zijn. Hoewel klantinstallaties volgens LOXONE veilig zijn, bestaat er nog wel onzekerheid over de mogelijke gevolgen voor bedrijfsgegevens en persoonsgegevens. Het onderzoek moet nu uitwijzen of onbevoegden toegang hebben gekregen tot gevoelige informatie en of daarbij gegevens zijn gestolen. LOXONE geeft aan betrokken personen rechtstreeks te zullen informeren wanneer blijkt dat hun persoonsgegevens daadwerkelijk zijn getroffen. Over de aard van de aanval, de mogelijke daders en de exacte omvang van het incident zijn vooralsnog geen verdere details bekendgemaakt. LOXONE heeft aangekondigd informatie te delen zodra er meer duidelijkheid is over de gevolgen van de aanval. bron: https://www.security.nl

Onderzoekers verwachten dat aanvallers snel misbruik zullen maken van een kritieke kwetsbaarheid in webshopsoftware Adobe Commerce en Magento voor het aanvallen van webwinkels. Het beveiligingslek, aangeduid als CVE-2026-103849, laat ongeauthenticeerde aanvallers willekeurige code op de server van de webshop uitvoeren. De CVSS-impactscore bedraagt 10.0 op een schaal van 1 tot en met 10. Adobe kwam op 13 oktober met beveiligingsupdates voor het probleem. Naar schatting draaien meer dan honderdduizend webwinkels op Magento en Adobe Commerce. De laatstgenoemde wordt vooral door grote webshops gebruikt. Cybersecuritybedrijf Sansec waarschuwt dat aanvallers op korte termijn misbruik van het probleem zullen maken en houdt rekening met grootschalige aanvallen. Het Nationaal Cyber Security Centrum (NCSC) heeft ook een waarschuwing voor het probleem gegeven. "Als deze kwetsbaarheden niet worden aangepakt, kunnen aanvallers de webshop overnemen, gegevens wijzigen of verwijderen, en schadelijke code uitvoeren. Ook kunnen ze toegang krijgen tot gevoelige informatie, zoals klantgegevens en betaalinformatie", aldus de overheidsinstantie, die adviseert om de Adobe-updates zo snel mogelijk te installeren. bron: https://www.security.nl

Aanvallers hebben de update-servers van AOMEI Backupper meerdere keren misbruikt om gebruikers met malware te infecteren, zo melden Google en ManageEngine. Backupper is een oplossing van AOMEI voor het maken van back-ups, disk cloning en disaster recovery. Onderzoekers ontdekten dat de update-server werd gebruikt voor een supplychain-aanval op gebruikers van de back-upsoftware. Wat de aanval volgens Google opvallend maakt is dat de besmette 'update' slechts korte tijd aan gebruikers werd aangeboden, van vijf tot tien minuten per keer. Daarna kregen systemen die verbinding met de update-server maakten weer de normale update. Alle systemen die in het venster dat de aanval actief was verbinding maakten met de update-server ontvingen op deze manier malware. Volgens Google vonden de aanvallen in ieder geval plaats op 28 mei, 16 juli en 20 juli, maar de onderzoekers sluiten niet uit dat er ook andere momenten zijn geweest. Onderzoek werd ook bemoeilijkt omdat de gebruikte dropper-malware die via de 'update' werd geïnstalleerd zichzelf verwijderde. Twee klanten van ManageEngine werden door de aanval op 28 mei getroffen. Eén van deze niet nader genoemde organisaties nam op 7 juni contact op met ManageEngine. Op dat moment was de dropper-malware al van het getroffen systeem verdwenen. De EDR-software van ManageEngine had de activiteit van de malafide update wel opgeslagen, alsmede de telemetrie, waardoor er toch informatie beschikbaar was. Dezelfde dag nam ManageEngine contact op met AOMEI. Het softwarebedrijf stelde in eerste instantie dat aanvallers de data onderweg hadden aangepast. Onderzoek van ManageEngine wees echter uit dat de bestanden al waren aangepast toen die bij AOMEI vandaan kwamen. Door het ontbreken van de daadwerkelijke bestanden konden de onderzoekers niet aantonen dat de infrastructuur van AOMEI de malware verspreidde. ManageEngine besloot daarop specifieke url's van AOMEI te monitoren, wat uiteindelijk op 16 juli het gezochte bewijs opleverde. De aanvallers wijzigden gedurende een periode van slechts zes minuten de configuratiebestanden waardoor clients die verbinding met de update-server maakten malware kregen aangeboden. Het bleek om een backdoor te gaan. Op 20 juli ontdekten onderzoekers van Google een nieuwe aanval. Dit keer werd er via de malafide update een html-bestand op de systemen van slachtoffers geladen, die vervolgens via SMB of WebDAV verbinding maakten met de server van de aanvallers. Die ontvingen zo de NetNTLMv2 hash van systeem, die vervolgens kan worden gekraakt of voor relay-aanvallen is te gebruiken. Na te zijn ingelicht liet AOMEI weten dat het corrigerende maatregelen heeft genomen. Hoe de aanvallers de configuratiebestanden konden aanpassen is niet bekendgemaakt. Google stelt op basis van verzamelde telemetrie dat slachtoffers van de aanval zich in allerlei sectoren bevinden, zoals it-dienstverlening, telecommunicatie, onderwijs en gerelateerde entiteiten, in Australië, Brazilië, India, Pakistan, Portugal, Singapore, Zuid-Afrika, Spanje, Zwitserland, Turkije en de Verenigde Staten. De onderzoekers voegen toe vermoedelijk meer organisaties zijn getroffen dan zij hebben kunnen waarnemen. bron: https://www.security.nl