Captain Kirk

Een supplychain-aanval via ConnectWise Cloud Backup, eerder nog bekend als SkyKick, heeft tal van bedrijven en andere organisaties geraakt, zo meldt cybersecuritybedrijf Huntress. Microsoft heeft inmiddels ook een waarschuwing voor de aanval afgegeven. ConnectWise heeft toegang van de Cloud Backup applicatie uitgeschakeld, wat gevolgen heeft voor de back-updiensten waar klanten gebruik van maken. ConnectWise Cloud Backup is een back-up- en recoverydienst waarmee managed serviceproviders (MSP's) de Microsoft 365- en Google Workspace-data van hun klanten beschermen. De applicatie krijgt hiervoor brede toegang tot de mailboxes, OneDrive, SharePoint, Teams en directory data van elke omgeving waarin de applicatie is geïnstalleerd. Aanvallers hebben de OAuth-app van de ConnectWise Cloud Backup gecompromitteerd, om zo access tokens van klanten te stelen en toegang tot hun omgevingen te krijgen, aldus Microsoft. Met deze tokens kunnen de aanvallers mailboxes, bestanden en directory data lezen, net als de back-upsoftware kan. Huntress meldt dat de omgevingen van meer dan 170 organisaties op deze manier zijn gehackt. Microsoft meldt dat de aanvallers aan de gehackte omgevingen credentials voor de service principal toevoegen om toegang te behouden. Organisaties worden onder andere opgeroepen om logins van de service principal te controleren. Huntress stelt dat de aanvaller ook de M365-applicaties van ConnectWise Cloud Management voor Exchange Online, MS Teams en SharePoint online heeft gecompromitteerd. bron: https://www.security.nl

De makers van het contentmanagementsysteem Drupal waarschuwen voor twee kritieke kwetsbaarheden die remote code execution mogelijk maken, waardoor aanvallers kwetsbare websites kunnen overnemen. De problemen zijn in alle ondersteunde versies van Drupal aanwezig. Er zijn updates uitgebracht om de beveiligingslekken te verhelpen. Drupal roept webmasters en beheerders op om de patches zo snel mogelijk te installeren, omdat exploits voor de problemen binnen uren of dagen kunnen verschijnen. De eerste kwetsbaarheid (CVE-2026-108097) is aanwezig in de Field UI module van Drupal core. De kwetsbaarheid is niet direct te misbruiken binnen Drupal core, maar de ontwikkelaars waarschuwen dat er meerdere exploitmogelijkheden in combinatie met andere modules zijn. Daarnaast is het beveiligingslek door ongeauthenticeerde aanvallers te misbruiken. De tweede kwetsbaarheid CVE-2026-108099 raakt de Entity List module. Wederom is het probleem niet direct te misbruiken binnen Drupal core, maar wel in combinatie met andere modules. Beheerders worden opgeroepen om naar de laatste versies van Drupal 10 of 11l te updaten. Tevens laten de ontwikkelaars weten dat Drupal 8 en 9 end-of-life zijn. bron: https://www.security.nl

Criminelen verdienen aan de bandbreedte van gehackte D-Link- en Ubiquiti-apparaten, zo laat cybersecuritybedrijf GreyNoise op basis van eigen onderzoek weten. Het bedrijf ontdekte meerdere digitale videorecorders en NAS-systemen van Ubiquiti en D-Link die waren gehackt en voorzien van commerciële proxysoftware. In het geval van de D-Link-apparaten waren hiervoor kwetsbaarheden gebruikt die al sinds 2024 bekend zijn. In het geval van de Ubiquiti digitale videorecorders ging het om een probleem uit 2021. De aanvallers hebben het ook voorzien op kwetsbare installaties van SAP NetWeaver Visual Composer. Vervolgens installeren de aanvallers software van een commercieel proxynetwerk. Dit netwerk betaalt gebruikers als ze software installeren waarmee anderen van hun bandbreedte en ip-adres gebruik kunnen maken. Deze betalende klanten van de proxydienst kunnen bijvoorbeeld cybercriminelen zijn. Door een residential proxy te gebruiken kan de aanvaller zijn eigen ip-adres verbergen. Een ander voordeel is dat er een ip-adres kan worden gekozen dat zich in dezelfde regio als dat van het doelwit bevindt. Een inlogpoging op een account vanuit dezelfde regio waar de aangevallen organisatie zich bevindt is minder verdacht dan een inlogpoging uit een ver land. Een residential proxy biedt cybercriminelen zodoende allerlei voordelen. Er zijn verschillende manieren waarop residential proxydiensten te werk gaan. Zo kunnen ze app-ontwikkelaars betalen om hun SDK (software development kit) toe te voegen. Zodra mensen de app installeren zorgt de SDK ervoor dat het systeem onderdeel van de proxydienst wordt. Andere mogelijkheden zijn bijvoorbeeld vpn-aanbieders met verborgen voorwaarden, gehackte IoT-apparaten, malware en mensen die bewust tegen betaling proxysoftware op hun systemen installeren. "Omdat residential proxies gebruikmaken van echte, vertrouwde ip-adressen, is malafide gebruik ervan veel moeilijker te detecteren of blokkeren. Veel beveiligingssystemen en websites vertrouwen verkeer van residential proxy-IP’s meer dan verkeer van datacenters of anonieme vpn's. De residential proxies behoren immers toe aan reguliere burgers die evengoed een werknemer of klant kunnen zijn", zo liet het Nationaal Cyber Security Centrum (NCSC) eerder dit jaar weten. De overheidsinstantie waarschuwde ook dat residential proxies een gevaar voor de digitale veiligheid van Nederland zijn. Proxynetwerken kunnen ook gevolgen hebben voor gebruikers waarvan het ip-adres wordt gebruikt. Zo waarschuwde de politie onlangs dat als criminelen gebruikmaken van proxynetwerken, de ip-adressen van onschuldige burgers en bedrijven onterecht als verdacht kunnen worden aangemerkt in opsporingsonderzoeken. In het geval van de gehackte D-Link- en Ubiquiti-apparaten verdienen de aanvallers via de commerciële proxysoftware aan de bandbreedte van hun slachtoffers, die vaak niets door hebben. Daarbij accepteren de aanvallers in naam van het slachtoffer de voorwaarden van de proxydienst. GreyNoise ontdekte gehackte apparaten in 34 verschillende landen. bron: https://www.security.nl

Microsoft heeft een feature voor Edge aangekondigd waardoor beveiligingsupdates automatisch worden geïnstalleerd als de browser niets doet. 'Restart to update on idle' staat standaard uitgeschakeld, maar gebruikers kunnen de optie zelf inschakelen. Volgens Microsoft kan Restart to update herkennen wanneer gebruikers de browser of computer gebruiken, bijvoorbeeld voor het bewerken van documenten of streamen van content. Wanneer Edge detecteert dat de browser en computer niet worden gebruikt toont het vervolgens een waarschuwing dat er een herstart gaat plaatsvinden voor het installeren van een update. De gebruiker heeft dan nog de keuze om de herstart te stoppen. Microsoft waarschuwt dat de feature ervoor kan zorgen dat gebruikers data kunnen verliezen, bijvoorbeeld als ze niet opgeslagen werk of open tabs hebben die het updateproces zal sluiten. Daarnaast kijkt Microsoft ook naar een oplossing waarbij de browser nooit meer wordt herstart voor de installatie van updates. De browser zal updates installeren en meteen voor alle nieuwe tabs de bijgewerkte versie gebruiken. In het geval er tabs voor de installatie van de update waren geopend zal Edge deze niet sluiten, maar op een gepast moment wachten dat het die ook kan updaten. Dit houdt wel in dat tot dat moment deze tabs met kwetsbare browsercode draaien. Microsoft werkt aan een prototype van dit updateproces. bron: https://www.security.nl

Microsoft kwam afgelopen dinsdag met de grootste Patch Tuesday in de geschiedenis van het techbedrijf. Tijdens het vaste patchmoment dat elke tweede dinsdag van de maand plaatsvindt werden meer dan 1400 beveiligingslekken in de verschillende softwareproducten van het techbedrijf verholpen. Nu blijkt dat het aantal nog hoger ligt, omdat Microsoft het bestaan van tientallen kwetsbaarheden is vergeten te melden. Voor deze beveiligingslekken zijn wel afgelopen dinsdag updates verschenen. Het gaat onder andere om dertig kwetsbaarheden in Microsoft Office die kunnen leiden tot remote code execution of diefstal van informatie. Afgelopen dinsdag meldde Microsoft dat het 1413 verschillende kwetsbaarheden in de eigen software had gepatcht, waaronder 134 in Microsoft Office. Het totaal aantal verholpen kwetsbaarheid is nu aangepast naar 1453. Het aantal Office-lekken is gestegen naar 164. Microsoft benadrukt dat gebruikers die de oktober-updates al hebben geïnstalleerd geen extra actie hoeven te ondernemen. Hoe het kan dat de kwetsbaarheden in eerste instantie niet werden gemeld laat Microsoft niet weten. bron: https://www.security.nl

Het Nationaal Cyber Security Centrum (NCSC) verwacht een toename van het aantal aanvallen op Cisco Secure Email Gateways. Cisco kwam op 14 oktober met een beveiligingsupdate voor een kwetsbaarheid aangeduid als CVE-2026-76519. Misbruik vond op dat moment al plaats. Nu er een patch is verschenen waarschuwt het NCSC voor verder misbruik. De Secure Email Gateway, eerder bekend als Email Security Appliance, is zowel een virtuele als hardwarematige appliance voor het filteren van e-mailverkeer op allerlei dreigingen. Het product is in het verleden vaker het doelwit geweest van aanvallen, waaronder vorige maand. CVE-2026-76519 betreft een probleem met het verwerken van e-mailbijlagen als de file reputation service op de gateway staat ingeschakeld. Deze service controleert of ontvangen bestanden bekende kwaadaardige bestanden zijn. Door een speciaal geprepareerde e-mailbijlage te versturen, die vervolgens door de gateway wordt gescand, kan een aanvaller willekeurige bestanden wegschrijven en vervolgens op het onderliggende besturingssysteem van de server commando's als root uitvoeren. Daarmee heeft een aanvaller volledige controle over het systeem. "Als deze kwetsbaarheid niet wordt aangepakt, kan een aanvaller het systeem overnemen en gevoelige informatie stelen of aanpassen. Ook kan de aanvaller het systeem gebruiken voor verdere aanvallen", aldus het NCSC. De overheidsdienst meldt dat er nog geen publieke proof-of-concept exploitcode voor CVE-2026-76519 beschikbaar is, maar verwacht wel dat dit snel zal gebeuren. "Door de aard van de kwetsbaarheid is het aannemelijk dat op korte termijn een PoC of exploit publiek beschikbaar komt. Het NCSC verwacht daarom een toename in scanverkeer en pogingen tot misbruik." Organisaties worden opgeroepen om de Cisco-update zo snel mogelijk te installeren. bron: https://www.security.nl

Een kritieke kwetsbaarheid in BeyondTrust Remote Support is zeker sinds 29 augustus misbruikt bij aanvallen, aldus BeyondTrust. Op 8 oktober kwam het bedrijf met een beveiligingsupdate. Het bestaan van de kwetsbaarheid en het misbruik daarvan werd gisterenavond pas bekendgemaakt. Via BeyondTrust Remote Support kunnen beheerders allerlei systemen op afstand beheren, waaronder desktops, servers en smartphones. De on-premises versie van de oplossing wordt geïnstalleerd op een fysieke of virtuele server waarvandaan de andere apparaten zijn te beheren. Het product is meerdere keren het doelwit van aanvallen geweest. Volgens onderzoek maakten aanvallers op 29 augustus misbruik van het kritieke beveiligingslek, aangeduid als CVE-2026-102764. Het gaat om een 'authentication bypass' waardoor ongeauthenticeerde aanvallers toegang tot de server kunnen krijgen. Bij de aanval werd een BeyondTrust-hosted Remote Support instance en een self-hosted Remote Support appliance gehackt. Op 27 september vond een succesvolle aanval tegen een andere 'security device provider' plaats. Dat leidde tot onderzoek en ontdekking van de kwetsbaarheid, aldus BeyondTrust. Op 8 oktober publiceerde BeyondTrust patch BT26-05 om het probleem te verhelpen. In het geval van SaaS-klanten werd de update automatisch geïnstalleerd. Self-hosted klanten moeten dit zelf doen. Bij de aanvallen installeerden de aanvallers een webshell op de gehackte BeyondTrust-server, om zo toegang te behouden en verdere aanvallen uit te voeren. Vervolgens verhoogt de aanvaller zijn rechten van het web service account naar root. Daarmee heeft de aanvaller volledige controle over het systeem en toegang tot alle credentials die op de server zijn opgeslagen. Ook kan de aanvaller bestanden aanpassen die een reboot of reset van de configuratie overleven. Cybersecuritybedrijf Mandiant analyseerde de aanvallen en zag dat de aanvallers credentials direct uit de secrets management database op het apparaat wisten te stelen. Verder verwijderen de aanvallers allerlei logbestanden om ontdekking en onderzoek te bemoeilijken, aldus de onderzoekers. De aanvallers vielen ook systemen aan die via Remote Support worden beheerd. Daarbij werden gevoelige interne documenten van endpoints gestolen. Mandiant stelt dat de aanvallen het werk zijn van een aan China gelieerde aanvalsgroep. Verder benadrukt het cybersecuritybedrijf dat elke BeyondTrust-server die tijdens de kwetsbare periode vanaf het internet toegankelijk was als gehackt moet worden beschouwd totdat onderzoek heeft kunnen plaatsvinden. Mandiant heeft ook Indicators of Compromise gepubliceerd waarmee organisaties kunnen kijken of ze zijn gehackt. Voor CVE-2026-102764 zijn drie andere kwetsbaarheden in Remote Support misbruikt bij aanvallen, aldus het Amerikaanse cyberagentschap CISA. bron: https://www.security.nl

Online advertenties zijn gericht gebruikt om mensen met 'zero-click mercenary spyware' te infecteren, zo stellen onderzoekers van het Canadese Citizen Lab. De malafide advertenties zouden ook zijn getoond op systemen van het Internationaal Strafhof in Den Haag en het Nederlandse ministerie van Economische Zaken. Volgens de onderzoekers staat vast dat via de advertenties zeker 45 Windowscomputers van nieuwzender Al Jazeera met spyware van spywareleverancier Candiru besmet zijn geraakt. Het bedrijf gaat tegenwoordig als Integrity Labs door het leven. Alleen het laden van de advertenties was voldoende. Er was geen interactie van gebruikers vereist. De onderzoekers adviseren mensen die zich willen beschermen om online advertenties te blokkeren. Volgens de onderzoekers is dit voor het eerst dat bevestigd is dat advertenties zijn ingezet voor spyware-aanvallen. De advertenties werden niet alleen gebruikt om doelwitten met spyware te infecteren. Miljoenen systemen wereldwijd werden doorgestuurd naar servers van spywareleverancier Candiru, vermoedelijk voor grootschalige tracking en verkenning. De onderzoekers hebben de aanvallen de naam 'AdFection' gegeven. Citizen Lab is onderdeel van de universiteit van Toronto dat onderzoek doet naar het gebruik van politieke macht in cyberspace. Ook doet het al jaren uitgebreid onderzoek naar het gebruik van spyware tegen activisten, journalisten en dissidenten. De besmette advertenties waren ingekocht door een Israelisch bedrijf genaamd Discover-Tech, dat zich als legitiem advertentiebedrijf voordoet. Het fungeert als facilitator voor spywarebedrijven en biedt een platform genaamd 'Controlium' voor het aanvallen van mensen via advertenties. Via dit platform kunnen spywareleveranciers automatisch systemen de-anonimiseren, fingerprinten en met spyware infecteren zodra de advertentie op het systeem wordt weergegeven. Klanten kunnen via Controlium het mobiele advertentie-ID. browser identifier en/of ip-adres opgeven om een specifiek iemand aan te vallen of profileren. Uit het onderzoek blijkt dat de advertenties van Discover-Tech gedurende een periode van vier maanden op bijna 200.000 unieke websites en binnen Android/iOS-app zijn weergeven in tientallen landen. Dat baseren de onderzoekers op de 'bidding records' van Discover-Tech. Advertentiebedrijven kunnen bieden op de advertentieruimte op websites en binnen apps. Via 'bid requests' kan een grote hoeveelheid informatie over internetgebruikers worden verzameld. Deze informatie wordt normaal gebruikt om te bepalen welke advertentie het best aan een specifieke gebruiker kan worden getoond, maar is zoals het onderzoek laat zien ook te gebruiken voor gerichte spyware-aanvallen. Zoals gezegd is bij de aanvallen geen enkele interactie van slachtoffers vereist, wat ook wel een zero-click-aanval wordt genoemd. Alleen het te zien krijgen van een advertentie is voldoende. Zero-click-aanvallen maken misbruik van kwetsbaarheden die op het aangevallen systeem aanwezig zijn. Het onderzoeksrapport laat niet weten welke kwetsbaarheden bij de advertentie-aanvallen zijn gebruikt, maar de genoemde spywareleveranciers hebben in het verleden meerdere zerodaylekken in onder andere Windows en Google Chrome bij aanvallen ingezet. De spywareleveranciers leveren hun producten aan overheden. De afgelopen jaren is herhaaldelijk gebleken dat overheden deze 'mercenary spyware' inzetten tegen journalisten, activisten, oppositie en andere critici. De advertenties zijn wereldwijd getoond, waaronder ook in Nederland. Zo zouden advertenties onder andere te zien zijn geweest op systemen van het Internationaal Strafhof en het ministerie van Economische Zaken. De onderzoekers adviseren mensen die zich tegen dit soort aanvallen willen beschermen om online advertenties te blokkeren. Organisaties zouden dit op de gateway tot hun netwerk moeten doen. Op overheidssystemen zouden adblockers zelfs moeten worden verplicht stellen de onderzoekers. Verschillende advertentiebedrijven, waaronder Google, hebben de toegang die Discover-Tech tot hun advertentieplatforms had inmiddels opgeheven. Daarnaast pleiten de onderzoekers voor een grondige hervorming van de online advertentie-industrie en strenger toezicht. Grootschalige de-anonimisering van internetgebruikers De infrastructuur van Discover-Tech is niet alleen gebruikt door spywareleveranciers, aldus de onderzoekers. Die ontdekten ook een andere 'threat actor' die er gebruik van maakt. Deze aanvaller, die de naam 'Dark Cartographer' kreeg, gebruikt kwetsbaarheden bij allerlei telecomproviders om het advertentie-ID van telefoons aan telefoonnummers te koppelen. De onderzoekers spreken van het grootschalig de-anonimiseren van internetgebruikers. In een toekomstig rapport zal de werkwijze van deze partij worden besproken. Daarnaast werken de onderzoekers samen met leveranciers om de de-anonimiseringsaanval van Dark Cartographer tegen te gaan. bron: https://www.security.nl

Er is een nieuwe versie van Curl verschenen die meer dan twintig kwetsbaarheden verhelpt, waaronder een beveiligingslek dat remote code execution (RCE) mogelijk maakt en werd gevonden door AI-bedrijf Anthropic. Ondanks dat de kwetsbaarheid het remote uitvoeren van code mogelijk maakt is de impact van CVE-2026-92392 beoordeeld als 'high' en niet als kritiek. Dit komt volgens Curl-maintainer Daniel Stenberg omdat misbruik van het probleem lastig is. Desondanks spreekt hij van een 'nasty' Curl-kwetsbaarheid. Curl is een zeer veel gebruikte library en command-line tool voor het versturen en ontvangen van data via verschillende netwerkprotocollen. CVE-2026-92392 kan zich voordoen bij het uploaden van bestanden via Curl naar een malafide server. Hierdoor kan een use after free ontstaan, waardoor het mogelijk is voor de server om code op het systeem van de client uit te voeren. Stenberg spreekt van een ernstig probleem. Gezien de voorwaarden waaronder misbruik mogelijk is werd zoals gezegd besloten de impact niet als kritiek maar als high te bestempelen. Kwetsbaarheden met het label high worden zelden in Curl aangetroffen. Sinds 2021 kregen slechts twee kwetsbaarheden dit label. Gebruikers en beheerders worden aangeraden om naar Curl versie 8.23.0 te updaten waarin de problemen zijn verholpen. bron: https://www.security.nl

Aanvallers maken actief misbruik van een remote code execution (RCE) kwetsbaarheid in de firewalls van Palo Alto Networks, waardoor de apparaten volledig zijn over te nemen, zo laat het cybersecuritybedrijf weten. Er zijn updates uitgebracht om het probleem (CVE-2026-0322) te verhelpen. Via het beveiligingslek kan een geauthenticeerde aanvaller willekeurige code als root op de firewall uitvoeren, wat inhoudt dat er volledige controle over het systeem is. Omdat de aanvaller zich op de firewall moet kunnen authenticeren is de CVSS-impactscore beoordeeld met een 8.8 op een schaal van 1 tot en met 10. De kwetsbaarheid bevindt zich in de management-interface van PAN-OS, het besturingssysteem dat op de firewalls van Palo Alto Networks draait. Firewalls van het cybersecuritybedrijf zijn geregeld het doelwit van aanvallen. Het Amerikaanse cyberagentschap CISA is bekend met zestien verschillende PAN-OS-lekken die bij aanvallen zijn ingezet, waaronder drie dit jaar. Details over de waargenomen aanvallen zijn niet gegeven. Palo Alto Network stelt dat er 'zeer beperkt misbruik' is waargenomen, maar wat dit precies inhoudt wordt niet gemeld. Naast het installeren van de beveiligingsupdates adviseert het cybersecuritybedrijf om de management-interface alleen voor vertrouwde ip-adressen toegankelijk te maken. bron: https://www.security.nl

Aanvallers maken door middel van malafide bijlages actief misbruik van een kritieke kwetsbaarheid in de Cisco Secure Email Gateway, zo laat Cisco weten. Er zijn beveiligingsupdates uitgebracht om het probleem te verhelpen. Hoeveel organisaties via het beveiligingslek (CVE-2026-76519) zijn gehackt en sinds wanneer de aanvallen plaatsvinden is niet bekendgemaakt. Cisco zegt dat het de aanvallen deze maand ontdekte. De Secure Email Gateway, eerder bekend als Email Security Appliance, is zowel een virtuele als hardwarematige appliance voor het filteren van e-mailverkeer op allerlei dreigingen. Het product is in het verleden vaker het doelwit geweest van aanvallen, waaronder vorige maand. CVE-2026-76519 betreft een probleem met het verwerken van e-mailbijlagen als de file reputation service op de gateway staat ingeschakeld. Deze service controleert of ontvangen bestanden bekende kwaadaardige bestanden zijn. Door een speciaal geprepareerde e-mailbijlage te versturen, die vervolgens door de gateway wordt gescand, kan een aanvaller willekeurige bestanden wegschrijven en vervolgens op het onderliggende besturingssysteem van de server commando's als root uitvoeren. Daarmee heeft een aanvaller volledige controle over het systeem. Cisco heeft Indicators of Compromise (IoC's) gegeven waarmee organisaties kunnen kijken of ze zijn gehackt. Het netwerkbedrijf merkt op dat de aanvaller bij misbruik van CVE-2026-76519 over rootrechten beschikt en zo bewijs van misbruik en Indicators of Compromise kan verwijderen. bron: https://www.security.nl

Softwareontwikkelaar Ashay heeft een hotfix uitgebracht voor een kwetsbaarheid waar aanvallers al zeker sinds 4 oktober misbruik van maken. Bij de aanvallen zijn meerdere organisaties gehackt. Ahsay Cloud Backup Server (CBS) is de management console voor de back-upsoftware van Ahsay. Het wordt voornamelijk gebruikt door managed serviceproviders (MSP's) en system integrators, om zo back-ups voor hun klanten te regelen. Zo is het mogelijk om back-upbeleid in te stellen, back-ups te maken en back-ups terug te zetten. De oplossing bevat twee kwetsbaarheden (CVE-2026-105133 en CVE-2026-105134) die bij aanvallen zijn ingezet. CVE-2026-105133 is een 'authentication bypass' waardoor aanvallers de authenticatie kunnen omzeilen en toegang tot het AhsayCBS-systeem krijgen. CVE-2026-105134 maakt remote code execution met SYSTEM-rechten mogelijk. Bij de waargenomen aanvallen worden de twee kwetsbaarheden gecombineerd. Zodra aanvallers toegang tot een gecompromitteerde server hebben installeren ze webshells om toegang te behouden en verdere aanvallen uit te voeren. Bij de aanvallen installeren de aanvallers ook cryptominers, die de rekenkracht van het systeem gebruiken voor het minen van cryptovaluta. De twee kwetsbaarheden werden gevonden door cybersecuritybedrijf Huntress, dat Ashay op 4 oktober inlichtte. Op 12 oktober maakte het softwarebedrijf melding dat er een hotfix is ontwikkeld. Deze hotfix verhelpt CVE-2026-105133, aldus Huntress. Daardoor kunnen aanvallers ook geen misbruik van CVE-2026-105134 maken, tenzij ze op het systeem weten in te loggen. Het Nationaal Cyber Security Centrum (NCSC) adviseert om de beveiligingsupdates met spoed toe te passen en te onderzoeken of het systeem niet is gehackt. Na de installatie van de patch moet de server worden herstart. In het geval van een gehackt systeem raadt Ahsay aan om de server opnieuw op te bouwen en een schone configuratie terug te zetten. bron: https://www.security.nl

Elektronicaketen MediaMarkt is na een grootschalige cryptodiefstal gestopt met de verkoop van cryptowallets van fabrikant Ledger, zo laat Ledger via X weten. Eerder waarschuwden experts dat er een verborgen chip op sommige Ledger-wallets was aangetroffen, iets wat inmiddels ook door Ledger is bevestigd. Via de aangepaste wallets zou zo'n 93 miljoen dollar aan crypto zijn gestolen. Ledger biedt een apparaatje dat de keys bevat waarmee gebruikers toegang tot hun cryptovaluta kunnen krijgen. Meerdere Ledger-klanten maakten melding dat hun cryptovaluta was gestolen. Verder onderzoek wees uit dat Ledger-wallets verkocht via de Maleisische tussenhandelaar CryptoBilis waren voorzien van een malafide chip. Deze chip leest de 24 recovery woorden pixel voor pixel van het scherm, om vervolgens via een mobiele verbinding naar de aanvallers te sturen. CryptoBilis is inmiddels gestopt met de verkoop van de cryptowallets. MediaMarkt zegt tegenover het AD geen melding te hebben ontvangen van gedupeerde Ledger-gebruikers in België of Nederland. Om geen risico te nemen is besloten het product niet meer aan te bieden. Dat gebeurde via derde partijen die op de marktplaats van MediaMarkt actief zijn. De elektronicaketen ziet nog geen reden voor een terugroepactie. Klanten die twijfelen krijgen van MediaMarkt het advies om hun retourrecht te gebruiken of met de fabrikant contact op te nemen. bron: https://www.security.nl

Meerdere kritieke kwetsbaarheden in Google Chrome maken het uitvoeren van code mogelijk, waarbij alleen het bezoeken van een gehackte of malafide website of te zien krijgen van besmette advertenties voldoende is. Google heeft beveiligingsupdates uitgebracht om de problemen te verhelpen. Google maakt geen melding van misbruikte kwetsbaarheden. In de nieuwste Chrome-versie zijn in totaal 37 beveiligingslekken verholpen. Zeven van de kwetsbaarheden zijn aangemerkt als kritiek, wat inhoudt dat ze tot remote code execution kunnen leiden. De problemen bevinden zich in verschillende onderdelen van de browser, waaronder PDF, Media, Core en Angle, waarmee de browser WebGL- en andere OpenGL-content uitvoert. Twaalf van de 37 verholpen kwetsbaarheden werden door Google zelf gevonden, waaronder drie kritieke problemen. Google Chrome 155.0.8059.79/.80 is beschikbaar voor macOS en Windows. Voor Linux is versie 155.0.8059.79 verschenen. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan echter een aantal dagen duren. Gebruikers die de update direct willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar. bron: https://www.security.nl

Bij de recente aanvallen tegen Ivanti vpn-servers combineerden de aanvallers drie verschillende kwetsbaarheden om zo volledige controle over de systemen te krijgen. Vervolgens probeerden ze allerlei credentials te stelen, waaronder BitLocker recovery keys. Het Nationaal Cyber Security Centrum (NCSC), het Amerikaanse cyberagentschap CISA en andere overheidsdiensten roepen beheerders en organisaties op om hun Ivanti vpn-servers direct te patchen. Gisteren kwam Ivanti met beveiligingsupdates voor een kwetsbaarheid in Ivanti Connect Secure (CVE-2026-104935). Ivanti Connect Secure, eerder nog bekend als Pulse Secure, is een vpn-oplossing waarmee gebruikers toegang tot het netwerk van hun organisatie kunnen krijgen. Volgens Ivanti is een 'beperkt aantal' klanten via CVE-2026-104935 gehackt. Details over de aanvallen werden echter niet gegeven. Cybersecuritybedrijf Volexity ontdekte op 5 oktober een zeroday-aanval op een volledig gepatchte Ivanti vpn-server. Bij de aanval, die op 3 oktober plaatsvond, combineerden de aanvallers een authentication bypass, een remote code execution (RCE) en een privilege escalation kwetsbaarheid om zo ongeauthenticeerd code als root te kunnen uitvoeren. Daarmee wisten de aanvallers volledige controle over de vpn-server te krijgen. De authentication bypass en RCE-kwetsbaarheden hebben CVE-nummer CVE-2026-104935 gekregen. Vanaf de gehackte vpn-server vielen de aanvallers het achterliggende netwerk aan, aldus Volexity in een analyse van de aanval. Eerst verzamelden de aanvallers alle credentials op de gehackte vpn-server, waaronder domain credentials gebruikt met LDAP, standaard HTTP authentication credentials en NTLM-hashes. Dit werd mede gedaan door het onderscheppen van netwerkverkeer. Ook werd beperkte Active Directory metadata gestolen. Via een gecompromitteerd Active Directory service account en een zelfgemaakte Python LDAP tool zochten de aanvallers binnen Active Directory ook naar LAPS lokale admin-wachtwoorden, BitLocker recovery keys en 'password-bearing attributes'. Volexity weet niet wie erachter de aanval zit, maar vermoedt dat de aanvallers criminele motieven hebben en het niet om spionage gaat. Het NCSC beoordeelt de kans op misbruik van het lek en de mogelijke schade als hoog. Organisaties worden dan ook opgeroepen om de patches meteen te installeren. "Een geslaagde aanval kan een kwaadwillende controle geven over het getroffen systeem. Omdat Connect Secure toegang biedt tot de organisatieomgeving, lopen achterliggende systemen en gegevens ook gevaar." Ook het Amerikaanse cyberagentschap CISA, alsmede overheidsdiensten uit andere landen, geven hetzelfde advies. bron: https://www.security.nl

Er is een nieuwe versie van de populaire archiveringssoftware 7-Zip verschenen die meerdere bugs en kwetsbaarheden verhelpt. Wat de beveiligingslekken precies inhouden is niet bekendgemaakt. In het verleden zijn verschillende keren nieuwe versies van 7-Zip verschenen waarvan achteraf bleek dat met deze versies ook kwetsbaarheden werden gepatcht. Nu wordt wel gemeld dat het om beveiligingslekken gaat, maar is nog niet duidelijk wat die zijn. Kwetsbaarheden in 7-Zip zijn in het verleden misbruikt bij aanvallen. Gebruikers wordt dan ook aangeraden om te updaten naar 7-Zip versie 26.04. Eind juli waarschuwde de Italiaanse overheid nog dat exploitcode online was verschenen voor een kwetsbaarheid in 7-Zip waardoor remote code execution mogelijk is. Dit beveiligingslek was eind juni verholpen, maar het bestaan van de kwetsbaarheid werd pas op 15 juli bekendgemaakt. bron: https://www.security.nl

Een kritieke kwetsbaarheid in Apache OpenOffice kan een aanvaller controle over het systeem van gebruikers geven, zo waarschuwen de ontwikkelaars. Een beveiligingsupdate is nog niet beschikbaar. Het Apache OpenOffice Security Team adviseert gebruikers om de Java runtime integration binnen OpenOffice uit te schakelen of tot het uitkomen van een update geen onbetrouwbare bestanden te openen. De kwetsbaarheid (CVE-2026-59265) bevindt zich in de Java runtime integration in OpenOffice versie 4.1.16 en eerder. Mogelijk zijn ook versies van OpenOffice.org kwetsbaar. Het openen van een speciaal geprepareerd bestand kan leiden tot het uitvoeren van 'willekeurige (zelfs remote) code' op het systeem van de gebruiker, aldus het beveiligingsbulletin. Een aanvaller kan daardoor in het ergste geval het systeem van de gebruiker overnemen. De kwetsbaarheid is verholpen in OpenOffice 4.1.17 die op het moment van schrijven nog niet beschikbaar is. Om misbruik te voorkomen kunnen gebruikers de Java runtime integration uitschakelen. Als extra maatregel wordt aangeraden om geen onbetrouwbare bestanden te openen. bron: https://www.security.nl

De Belgische overheidsinstantie Belnet is eerder dit jaar gehackt via een zerodaylek in Fortinet FortiMail, waarbij aanvallers maandenlang e-mails wisten te stelen, zo heeft de organisatie via de eigen website bekendgemaakt. Naast e-mails hadden de aanvallers ook toegang tot gegenereerde downloadlinks. Belnet beheert het nationale onderzoeksnetwerk dat Belgische universiteiten, (hoge)scholen en onderzoekscentra rechtstreeks met elkaar verbindt. Het biedt via de FileSender en FedSender services de mogelijkheid om bestanden uit te wisselen. Belnet meldt dat het op 24 september een beveiligingsincident in een deel van de eigen it-infrastructuur ontdekte. Aanvallers hadden toegang gekregen door misbruik te maken van een zerodaylek in Fortinet FortiMail. Het gaat om een kritiek path traversal-lek (CVE-2026-104286) dat ervoor zorgt dat een ongeauthenticeerde aanvaller door middel van speciaal geprepareerde HTTP en HTTPS requests willekeurige bestanden naar het onderliggende systeem kan schrijven. Fortinet kwam op 1 oktober met een beveiligingsbulletin voor de kwetsbaarheid waarin de aanwezigheid van updates werd gemeld. FortiMail is een e-mailgateway die e-mails en bijlagen op allerlei dreigingen zoals malware en phishing controleert. Volgens Belnet hadden de aanvallers tussen 22 juli en de ochtend van 25 september toegang tot e-mails die via de gehackte infrastructuur werden verwerkt. Belnet meldt dat de aanvallers tijdens de genoemde periode e-mails hebben gestolen. Na ontdekking van de hack zijn uit voorzorg alle downloadlinks die nog steeds actief waren en in de genoemde periode waren aangemaakt uitgeschakeld. Klanten zijn door de Belgische overheidsinstantie inmiddels ingelicht. Het onderzoek naar de aard en omvang van het beveiligingsincident is nog gaande. Het is onbekend wie erachter de aanval zit, aldus de verklaring. bron: https://www.security.nl

Microsoft verwacht dat aanvallers misbruik zullen gaan maken van een nieuwe kwetsbaarheid in Exchange Server waarvoor afgelopen vrijdag 2 oktober updates verschenen. Via het beveiligingslek kan een geauthenticeerde aanvaller zijn rechten verhogen en toegang krijgen tot de mailboxes van alle gebruikers van de betreffende organisatie en hun e-mails en bijlagen lezen. Het probleem (CVE-2026-96940) is al door Microsoft verholpen in Exchange Online. Organisaties die met on-premises Microsoft Exchange Server werken worden opgeroepen om de patch zo snel mogelijk te installeren. Het gaat om Microsoft Exchange Server SE, 2019 en 2016. De kwetsbaarheid werd door Microsoft zelf gevonden. Wat betreft de kans dat aanvallers misbruik van het lek zullen gaan maken zegt Microsoft dat dit 'more likely' is. bron: https://www.security.nl

Citrix waarschuwt klanten voor actief misbruik van een nieuw beveiligingslek in Citrix NetScaler ADC en Citrix NetScaler Gateway (CVE-2026-88779) dat tot een denial of service kan leiden. Herhaaldelijk misbruik van het probleem kan ervoor zorgen dat de Citrix-service uitvalt. Organisaties die met de apparatuur van Citrix werken worden opgeroepen om de vandaag beschikbaar gestelde beveiligingsupdate zo snel mogelijk te installeren. Een aantal dagen geleden waarschuwde Citrix ook voor misbruik van twee andere beveiligingslekken. Citrix NetScaler ADC is een server die organisaties tussen hun servers en het internet plaatsen. De primaire functie is het verdelen van inkomend verkeer over de beschikbare servers, zodat websites en applicaties snel en goed toegankelijk blijven. Via de Citrix NetScaler Gateway kunnen medewerkers van bedrijven op afstand toegang tot bedrijfsapplicaties, bedrijfsomgevingen en intranetten krijgen. Het wordt dan ook veel voor thuiswerken gebruikt. De impact van een gehackt of uitvallend Citrix NetScaler-systeem kan dan ook groot zijn. CVE-2026-88779 betreft een memory overflow kwetsbaarheid die zich kan voordoen als de Citrix NetScaler ADC of NetScaler Gateway geconfigureerd is als SAML SP of SAML IdP. Daarnaast is de gebruikte Citrix-versie belangrijk, zo staat in het beveiligingsbulletin. Naast updates heeft Citrix ook een blog met verdere details en workarounds gepubliceerd. Details over de waargenomen aanvallen zijn niet gegeven, behalve dat het om gerichte aanvallen zou gaan. bron: https://www.security.nl

Linux-distributie Debian waarschuwt gebruikers voor ruim dertienhonderd beveiligingslekken in de Linux-kernel en roept gebruikers op om hun Linux-packages te upgraden. "In de Linux-kernel zijn verschillende kwetsbaarheden ontdekt die kunnen leiden tot privilege escalation, denial of service of informatielekken", aldus een bericht op de Debian-mailinglist. In totaal gaat het om 1313 unieke kwetsbaarheden. De impact van de beveiligingslekken is in de meeste gevallen beperkt, meldt 9to5Linux. De reden voor het grote aantal kwetsbaarheden zou onder andere komen door nieuw beleid voor het toekennen van CVE-nummers aan kwetsbaarheden. Elke commit waarmee een potentieel beveiligingsprobleem wordt opgelost krijgt nu een CVE-nummer toegekend, ook als het om een klein probleem gaat of er geen bekende exploitmethode is. Debian-gebruikers worden opgeroepen om naar Linux-kernel versie 6.12.111-1 te updaten. bron: https://www.security.nl

Aanvallers zijn erin geslaagd om het officiële X-account van Microsoft te hacken en vervolgens te gebruiken voor een cryptoscam. Het @microsoft-account op X retweette een bericht van een malafide X-account waarin reclame werd gemaakt voor een op Clippy gebaseerd cryptotoken. Tegenover The Verge bevestigt Microsoft dat aanvallers het officiële X-account hadden gehackt. "Het account is inmiddels beveiligd en de ongeautoriseerde berichten zijn verwijderd. We zijn bezig met een onderzoek naar de omstandigheden", aldus een woordvoerder. Hoe de hack mogelijk was is niet bekendgemaakt. Microsoft publiceerde, nadat het weer de controle over het X-account had, ook een excuusbericht. Daarin maakt het techbedrijf excuses en zegt juridische stappen te zullen nemen. Ook stelt Microsoft dat het geen cryptokens steunt. Deze tweet is echter ook verwijderd. bron: https://www.security.nl

Fortinet waarschuwt klanten voor een actief misbruikt path traversal-lek in FortiMail. Er zijn updates uitgebracht om het probleem te verhelpen, maar sinds wanneer FortiMail-klanten worden aangevallen is niet bekendgemaakt. FortiMail is een e-mailgateway die e-mails en bijlagen op allerlei dreigingen zoals malware en phishing controleert. Het path traversal-lek (CVE-2026-104286) zorgt ervoor dat een ongeauthenticeerde aanvaller door middel van speciaal geprepareerde HTTP en HTTPS requests willekeurige bestanden naar het onderliggende systeem kan schrijven. Fortinet meldt dat aanvallers misbruik van het probleem maken, maar geeft geen details over deze aanvallen. Er zijn updates uitgebracht om de kwetsbaarheid te verhelpen. Daarnaast kunnen organisaties binnen FortiMail als workaround Identity Based Encryption (IBE) uitschakelen. Een andere workaround die het cybersecuritybedrijf noemt is ervoor zorgen dat de FortiMail management interface niet direct vanaf het internet toegankelijk is. Fortinet heeft ook Indicators of Compromise (IoC's) gepubliceerd waarmee klanten kunnen kijken of hun FortiMail-systeem is gehackt. "Gezien de actieve exploitatie van FortiMail is het raadzaam om naast het installeren van de beveiligingsupdate ook onderzoek uit te voeren naar mogelijke compromittering. Hierbij kunnen de door Fortinet gepubliceerde IoC's worden gebruikt als onderdeel van de forensische controle", zo laat het Nationaal Cyber Security Centrum (NCSC) weten. bron: https://www.security.nl

Succes en laat maar weten aan ons of het gelukt is. Busje perslucht koop je al voordelig bij de Action. Contactspray is wat duurder maar is bij betere bouwmarkt vaak al te krijgen. Gebruik in ieder geval geen WB-40 maar echt contactspray. Succes en vingers crossed.

Soms wil het schoonmaken van de usb-ingang op je telefoon wel eens het probleem oplossen. Even met wat perslucht goed uitblazen of met een beetje contactspray. Bij gebruik contactspray wel even de telefoon uitzetten en even paar minuten wachten met inschakelen.