Captain Kirk

Onderzoekers hebben een worm gedemonstreerd waarmee het mogelijk was om WeChat-accounts zonder enige interactie van slachtoffers over te nemen. Via de 'WeWorm' konden onderzoekers van cybersecuritybedrijf Calif volledige controle over aangevallen WeChat-accounts krijgen. WeChat-ontwikkelaar Tencent heeft zowel in de Android- (versie 8.0.77) als iOS-apps (versie 8.0.76) een oplossing doorgevoerd, als aan de server side, waardoor misbruik niet meer mogelijk is. WeChat omschrijft zichzelf als een 'social communication app' met meer dan een miljard gebruikers, vooral in China. Naast de chatfunctie kunnen gebruikers via de app ook betalen. Onderzoekers van Calif vonden een kwetsbaarheid in de voip-stack van WeChat. Technische details worden op een later moment openbaar gemaakt. Via het beveiligingslek was een zero-click-aanval mogelijk. Alleen door een slachtoffer via WeChat te bellen kon zijn account worden overgenomen. Het slachtoffer hoefde niet op te nemen. De enige vereiste was dat de aanvaller al in het adresboek van het slachtoffer stond. De onderzoekers merken op dat dit beperkte bescherming biedt. Vanaf een gehackt WeChat-account zijn namelijk alle contacten van dit slachtoffer aan te vallen. Via de WeWorm kregen de onderzoekers volledige controle over gehackte accounts en konden berichten lezen en versturen en bellen uit naam van het slachtoffer. Gecombineerd met andere kwetsbaarheden in Android en iOS zou het ook mogelijk zijn om de onderliggende telefoon zonder interactie van gebruikers over te nemen, zo stellen de onderzoekers. Die laten in een video van de WeWorm-aanval zien hoe de worm vanaf een eerste telefoon het WeChat-account op een tweede telefoon hackt, om daarvandaan een WeChat-account op een derde telefoon over te nemen. De onderzoekers stellen afsluitend dat het WeChat-lek één van de vele ongewone aanvalsoppervlaktes is waar chatapps mee te maken hebben. bron: https://www.security.nl

De makers van Tor Browser hebben een belangrijke beveiligingsupdate uitgebracht wegens verschillende kwetsbaarheden die door AI-modellen zijn gevonden. Dagelijks maken miljoenen mensen gebruik van Tor Browser om hun ip-adres te verbergen en gecensureerde websites te bezoeken. Tor Browser bestaat uit een aangepaste versie van Firefox en software om verbinding met het Tor-netwerk te maken. Het Tor Project, de ontwikkelaar van Tor Browser en de Tor-software, meldt dat AI-modellen verschillende kwetsbaarheden in de Tor-software hebben gevonden. Het gaat onder andere om een use-after-free kwetsbaarheid. Deze klasse kwetsbaarheden kan leiden tot crashes, het lekken van gevoelige informatie en het uitvoeren van code. Een ander probleem maakt het mogelijk om een remote crash te veroorzaken. De in totaal zeven kwetsbaarheden zijn verholpen in Tor versie 0.4.9.12, die ook in Tor Browser versie 15.0.22 is verwerkt. Gebruikers kunnen hun Tor Browser via de automatische updatefunctie bijwerken. bron: https://www.security.nl

36.000 Plex Media-servers die vanaf het internet toegankelijk zijn, waaronder ruim duizend in Nederland, missen een belangrijke beveiligingsupdate. Plex had gebruikers en beheerders op 1 september opgeroepen om de update zo snel mogelijk te installeren. Een week na de oproep blijkt dat 36.000 servers de update missen, zo meldt The Shadowserver Foundation op basis van een eigen internetscan. Plex biedt software voor het opzetten van een mediaserver om daarmee media naar apparaten te streamen. Het bedrijf claimt meer dan 25 miljoen gebruikers wereldwijd te hebben. Op 1 september stelde Plex dat het een update had uitgerold om meerdere kwetsbaarheden te verhelpen. Wat deze beveiligingslekken zijn werd niet bekendgemaakt. Ook zijn er geen CVE-nummers genoemd waarmee de kwetsbaarheden zijn te identificeren. The Shadowserver Foundation is een stichting die onder andere onderzoek doet naar kwetsbare systemen op internet. Het voerde een online scan uit naar Plex Media-servers. Dit leverde 36.000 Plex-mediaservers op die de recente beveiligingsupdate missen. Het grootste aantal kwetsbare Plex-servers werd in de Verenigde Staten aangetroffen, zestienduizend. In Nederland gaat het om 1100 servers, aldus The Shadowserver Foundation. De stichting hekelt het ontbreken van CVE-nummers en informatie over de problemen. "Er zijn geen CVE's toegekend, wat inhoudt dat de kwetsbaarheden eigenlijk onzichtbaar zijn voor de security-community, wat een effectieve respons belemmert." Wanneer Plex met meer informatie komt is onbekend. Een kwetsbaarheid in Plex Media Server werd in 2022 gebruikt voor een aanval op wachtwoordmanager LastPass, waarbij klant- en kluisdata werd gestolen. bron: https://www.security.nl

Google heeft een beveiligingsupdate voor Chrome uitgebracht die ruim tweehonderd beveiligingslekken verhelpt, waaronder een kwetsbaarheid waar aanvallers actief misbruik van maken. Van de in totaal 230 gepatchte kwetsbaarheden zijn er vijf als kritiek aangemerkt. Bij dergelijke beveiligingslekken kan een aanvaller malafide code op de systemen van Chrome-gebruikers uitvoeren, waarbij alleen het bezoeken van een malafide of gehackte website of te zien krijgen van besmette advertenties voldoende is. De actief misbruikte kwetsbaarheid (CVE-2026-87491) is aanwezig in V8, de JavaScript-engine die Chrome en andere browsers gebruiken voor het uitvoeren van JavaScript. In het onderdeel zijn herhaaldelijk beveiligingslekken gevonden die al voor het beschikbaar komen van updates werden misbruikt bij aanvallen. Vorige week waarschuwde Google voor een ander actief misbruikt V8-lek in Chrome. Opvallend aan CVE-2026-87491 is dat Google de impact van het lek als 'medium' bestempelt. Nagenoeg alle misbruikte kwetsbaarheden in Chrome hebben het stempel 'high'. Via beveiligingslekken die als medium zijn aangeduid kan een aanvaller een 'beperkte hoeveelheid' informatie lezen die op zich niet gevaarlijk is, maar gecombineerd met andere kwetsbaarheden ernstige gevolgen kan hebben. Het probleem werd op 6 augustus door een Zuid-Koreaanse onderzoeker aan Google gerapporteerd. Verdere details over het waargenomen misbruik zijn niet gegeven. Google Chrome 153.0.8010.36/.37 is beschikbaar voor macOS en Windows. Voor Linux is versie 153.0.8010.36 verschenen. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan echter een aantal dagen duren. Gebruikers die de update direct willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar. bron: https://www.security.nl

Microsoft heeft tijdens de patchdinsdag van september bijna duizend beveiligingslekken verholpen, waaronder twee kwetsbaarheden die al voor het uitkomen van de patches werden misbruikt bij aanvallen tegen Windows-gebruikers. Daarnaast is er ook een update beschikbaar voor een Exchange-lek waardoor een ongeauthenticeerde aanvaller code op Exchange-servers kan uitvoeren en zijn meerdere kwetsbaarheden in SharePoint gepatcht die remote code execution mogelijk maken. Microsoft stelt dat de 'September 2026 Security Updates' in totaal 974 unieke beveiligingslekken verhelpen, wat een recordaantal voor de maandelijkse patchronde van Microsoft is. Het grootste deel (723) bevindt zich in Windows. Elke tweede dinsdag van de maand brengt Microsoft updates uit. Niet eerder verschenen er in één keer zoveel beveiligingsupdates. Volgens cybersecuritybedrijf ZDI gaat het onder andere om twintig kwetsbaarheden waardoor een computerworm zich zonder enige interactie van gebruikers onder systemen kan verspreiden. De twee actief aangevallen kwetsbaarheden bevinden zich in de Windows Update Stack (CVE-2026-81963) en Windows Advanced Local Procedure Call (ALPC) (CVE-2026-85880). Via de beveiligingslekken kan een aanvaller die al toegang tot het systeem heeft zijn rechten verhogen naar die van SYSTEM. Met deze rechten heeft de aanvaller volledige controle over het systeem. De twee aangevallen beveiligingslekken werden door Microsoft zelf gevonden, alsmede door cyberscuritybedrijven Volexity en Proofpoint en een externe beveiligingsonderzoeker. Microsoft waarschuwt ook voor een kwetsbaarheid (CVE-2026-55007) waardoor een ongeauthenticeerde aanvaller door het versturen van e-mail met een Visio-bijlage naar een Exchange-server code op de server kan uitvoeren. Er is geen interactie van gebruikers vereist. Microsoft verwacht dat aanvallers deze kwetsbaarheid niet zullen misbruiken, maar in het verleden is gebleken dat een dergelijke beoordeling van Exchange-lekken niet altijd klopt. Tevens zijn meerdere kwetsbaarheden in Microsoft Office SharePoint verholpen die remote code execution mogelijk maken. Een ander kritiek probleem in Remote Desktop Services maakt ook remote code execution door een ongeauthenticeerde aanvaller mogelijk. Verder zijn er zeker twintig beveiligingslekken, voornamelijk in Windows DNS Server en Windows DHCP Server, waardoor een computerworm zich zonder enige interactie van gebruikers kan verspreiden. Ruim honderd van de door Microsoft verholpen kwetsbaarheden zijn als kritiek aangemerkt. De patches zullen op de meeste systemen automatisch worden geïnstalleerd. bron: https://www.security.nl

De standaard-installatie van LibreOffice zal voorlopig geen AI-features bevatten, zo laat The Document Foundation (TDF) weten, de beheerder van de opensource-kantoorsoftware. Een aantal dagen geleden werd LibreOffice 26.8 gelanceerd. Binnen een week was de software meer dan een miljoen keer gedownload. Niet eerder werd een release in de eerste week zo vaak gedownload, aldus The Document Foundation. Eén van de 'features' van de nieuwste LibreOffice is het ontbreken van AI. "LibreOffice 26.8 bevat geen generatieve AI-features. Documenten worden niet verstuurd naar remote services om te worden verwerkt, en geen onderdeel van de software vereist netwerktoegang om te werken. Dit is een bewuste keuze. Elke organisatie die met vertrouwelijke, juridisch vertrouwelijke of persoonlijke data werkt moet weten waar die data heen gaat, en de enige garantie die een audit doorkomt is dat het niet de machine verlaat", aldus TDF bij de aankondiging van de nieuwste versie. In een reactie op de lancering met de kop 'ja, geen AI is nu een feature', zegt TDF dat LibreOffice kunstmatige intelligentie niet op voorhand uitsluit. "Maar een office suite die tientallen miljoenen mensen gebruiken, in scholen, ziekenhuizen, publieke instanties, advocatenkantoren en duizenden andere organisaties, zal geen feature toevoegen aan de standaarconfiguratie totdat die feature kan worden aangeboden onder de voorwaarden van het project en in overeenstemming met diens principes." The Document Foundation stelt dat gebruikers volledige controle over de uitvoering van AI moeten hebben, er geen content zonder toestemming de computer mag verlaten, er geen enkele telemetrie plaatsvindt, de AI niet afhankelijk is van één partij, de gegenereerde content in het ODF-formaat is en AI altijd volledig optioneel is. Vooralsnog voldoet geen enkele AI-integratie aan deze voorwaarden. Tot dan zal ook geen enkele vorm van AI aan de standaard-installatie worden toegevoegd, zo laat TDF weten. Gebruikers die AI wel binnen LibreOffice willen integreren kunnen hiervoor extensies gebruiken. bron: https://www.security.nl

Online leeftijdsverificatie is het einde van de vrije toegang tot internet, zo waarschuwt de Europese digitale burgerrechtenbeweging EDRi. Die stelt ook dat de leeftijdsverificatie-app van de Europese Commissie het mogelijk maakt om te achterhalen voor welke websites mensen hun leeftijd verifiëren. Zo kan worden achterhaald wie er bijvoorbeeld achter een bepaald account zit. "De wet zegt dat het systeem niet-koppelbaarheid moet "garanderen" waar nodig. Dit houdt in dat niemand via de Wallet je online activiteiten waarvoor leeftijdsverificatie is vereist aan je echte identiteit kan koppelen. De Commissie verandert deze vereiste naar alleen het "lastiger maken" van koppelbaarheid, wat inhoudt dat het lastig moet zijn maar niet onmogelijk. Dat is geen geruststellend uitgangspunt voor de nieuwe leeftijdsverificatiemaatregel", aldus EDRi. De burgerrechtenbeweging merkt op dat het mogelijk is om een leeftijdscontrole uit te voeren zonder dat hiervoor de identiteit moet worden gecontroleerd. Dit kan via een systeem genaamd Zero Knowledge Proofs (ZKP's). Brussel heeft het gebruik van ZKP's echter niet voor leeftijdsverificatie-apps verplicht gesteld. Het is vrijblijvend. "Anders gezegd, het systeem vereist niet dat betrokken partijen de best mogelijke technologieën gebruiken om de privacy te beschermen", aldus EDRi. Verder hekelt de burgerrechtenbeweging dat nationale leeftijdsverificatie-apps en onderliggende infrastructuur niet verplicht open source zijn en sommige landen inmiddels apps met proprietary code ontwikkelen. Verder hebben meerdere landen aangegeven de technische specificaties van de Europese Commissie niet te zullen volgen, wat voor een lappendeken aan apps zorgt en het lastiger maakt om die allemaal te controleren. Een ander risico dat EDRi noemt is dat als de infrastructuur er straks ligt, de gedane privacybeloftes kunnen worden ingetrokken. Mensen zouden dan kunnen worden verplicht om zich eerst te identificeren voordat ze op social media mogen. "Leeftijdsverificatie is het einde van de vrije toegang tot het internet. We moeten het weigeren te bouwen, of het nu op EU of nationaal niveau is, nu weigeren nog een optie is. Online veiligheid is op andere manieren te bereiken." bron: https://www.security.nl

Duizenden gehackte websites zijn voorzien van malafide code waardoor ze ClickFix-aanvallen tegen bezoekers uitvoeren, om die zo met malware te infecteren. Adblocker uBlock Origin helpt tegen dit soort aanvallen, aldus beveiligingsonderzoekers. Bij een ClickFix-aanval worden mensen verleid tot het uitvoeren van een malafide commando op hun systeem. Vaak moet er dan een zogenaamde captcha worden opgelost. ClickFix-aanvallen waren de oorzaak van ransomware-aanvallen bij de gemeente Epe en Duitse hoofdstad en deelstaat Berlijn. Voor het uitvoeren van ClickFix-aanvallen voegen criminelen vaak malafide code toe aan gehackte websites. Deze code laat de pop-up zien met instructies voor het oplossen van de 'captcha'. Ook kopieert deze code het malafide commando naar het clipboard van de bezoeker. Die hoeft zodoende alleen maar het Run Dialog, PowerShell of een Terminal te starten om het commando te plakken. Het commando downloadt vervolgens malware op het systeem. Cybersecuritybedrijf NetSkope meldt dat het de afgelopen maanden meer dan 5400 gehackte websites heeft waargenomen die van ClickFix-code waren voorzien. Het gaat dan voornamelijk om WordPress-sites. Iets waar ook de Australische overheid voor waarschuwde. Volgens de Britse beveiligingsonderzoeker Kevin Beaumont werkt adblocker uBlock Origin uitstekend tegen het blokkeren van ClickFix-aanvallen. De adblocker kan sinds juli dit soort aanvallen detecteren en stoppen en heeft sindsdien allerlei verbeteringen doorgevoerd, aldus Beaumont. De beveiligingsonderzoeker hekelt Google en Microsoft en stelt dat de techbedrijven een dergelijke maatregel ook in hun browsers zouden moeten inbouwen. "Ze zitten letterlijk aan het begin en hebben er helemaal niets aan gedaan. Beide bedrijven hebben een gigantische cybersecurity business met threat intelligence en incidentrespons en hebben een financiële prikkel om niets te doen", aldus Beaumont. bron: https://www.security.nl

Een kwetsbaarheid in de populaire archiveringssoftware 7-Zip maakt het mogelijk voor aanvallers om het Mark-of-the-Web te omzeilen, wat kan leiden tot het uitvoeren van willekeurige code op het systeem van de gebruiker. Ook zou een aanvaller via het lek 'file content' kunnen spoofen. Er is een nieuwe versie van 7-Zip uitgebracht waarin de kwetsbaarheid is verholpen. Mark-of-the-Web (MOTW) is een beveiligingsfeature van Windows die ervoor zorgt dat bestanden die via internet zijn gedownload door Windows van een aparte tag worden voorzien. Bij het openen van bestanden met een MOTW-tag zal Windows een extra waarschuwing aan gebruikers tonen of ze het bestand echt willen openen, aangezien het vanaf internet afkomstig is. De kwetsbaarheid in 7-Zip (CVE-2026-58052) doet zich voor bij het verwerken van speciaal geprepareerde RAR5-archiefbestanden. Wanneer 7-Zip bestanden uit een speciaal geprepareerd archiefbestand uitpakt dat van de MOTW-tag is voorzien, wordt het Mark-of-the-Web niet aan de uitgepakte bestanden toegekend. Zo kan een aanvaller SmartScreen/MOTW-waarschuwingen omzeilen en file content spoofen, aldus de beschrijving van CVE-2026-58052. De kwetsbaarheid is gepatcht in 7-Zip versie 26.03. Gebruikers moeten de update handmatig installeren, aangezien 7-Zip geen automatische updatefunctie kent. bron: https://www.security.nl

De Nederlandse reisapp Polarsteps heeft de persoonlijke gegevens van miljoenen gebruikers gelekt, zo meldt Follow the Money (FTM). Het zou gaan om namen, foto's en gps-locaties. Polarsteps stelt dat er geen sprake is van een datalek en er alleen toegang is verkregen tot openbare reisgegevens. Volgens FTM kon het gebruikers ook in real-time via de backend van de app volgen. Dit was mogelijk via de API (application programming interface) waar de app gebruik van maakt om informatie tussen de Polarsteps-server uit te wisselen. Via Polarsteps kunnen mensen hun reisbewegingen bijhouden en delen. Het probleem met de API werd vorig jaar gevonden door de Franse beveiligingsonderzoeker Louis Couderc. Hij waarschuwde Polarsteps, maar het bedrijf liet weten al van het probleem te weten, aldus FTM. De onderzoeker vond dat Polarsteps niet goed op zijn bevindingen reageerde en stapte daarom naar FTM. De website zegt dat het via de API gegevens van meer dan 23 miljoen gebruikers kon downloaden, waaronder namen, foto's en informatie over hun vrienden en familie. Gebruikers kunnen ervoor kiezen om hun locaties privé te houden, met iedereen te delen of alleen voor volgers toegankelijk te maken. FTM ontdekte dat het ook mogelijk was om de gegevens te verkrijgen van mensen die hun reis alleen met volgers deelden. Polarsteps liet in eerste instantie aan FTM weten dat het maatregelen had genomen om scraping via de API tegen te gaan. Later erkende het bedrijf dat deze maatregelen te weinig effect hadden. FTM kon alle data vanaf één ip-adres scrapen en gedurende maanden aanvullen, zonder enige belemmering. Polarsteps zegt dat het de rate limiting-instellingen heeft aangepast. Ook overweegt het bedrijf de registratie van gebruikers en hun reizen aan te passen. "Geen datalek" Polarstep meldt in een reactie op de eigen website dat de claim van FTM dat er sprake is van een datalek niet klopt. Het ging alleen om publiek toegankelijke informatie. Daarnaast kon FTM alleen mensen volgen die hun profiel zo hadden ingesteld dat ze voor iedereen waren te volgen. Verder zou de website gebruik hebben gemaakt van de 'auto-follow' instellingen om bepaalde gebruikers te volgen. Via deze instellingen worden volgers automatisch geaccepteerd. Er is volgens Polarsteps dan ook geen sprake van een 'breach' van de privacy controls. Verder stelt Polarsteps dat het al bezig was met de problemen die de Franse onderzoeker had aangekaart. "Het is niet zo dat we van de beveiligingsproblemen wisten en er niets mee deden." De reisapp zegt dat het op bepaalde punten beter had gekund. Zo zijn de 'API controls' inmiddels aangescherpt om grootschalige scraping tegen te gaan en is de beveiliging van de 'secret link' feature aangescherpt. Via deze link kunnen mensen hun reisbewegingen met alleen hun volgers delen. Tevens zegt Polarsteps dat het gebruikers beter wil uitleggen wat openbaar en privé is van hun reizen. bron: https://www.security.nl

Het datalek bij cryptowallet Trezor is veel groter dan eerst werd gemeld en kan tot "fysieke beveiligingsrisico's" bij slachtoffers leiden, zo waarschuwt het bedrijf. In plaats van 14.000 klanten zoals eerst werd gemeld blijken de gegevens van in totaal 81.000 klanten te zijn gestolen. Daarnaast blijkt dat het gaat om gegevens die teruggaan tot 2019. Trezor biedt een apparaatje dat de keys bevat waarmee gebruikers toegang tot hun cryptovaluta kunnen krijgen. Op 13 augustus liet Trezor weten dat bij bezorgdienst ShipMonk, waar het gebruik van maakt voor het laten bezorgen van bestellingen, gegevens van klanten waren gestolen. Het zou gaan om de data van veertienduizend klanten uit de Verenigde Staten, het Verenigd Koninkrijk, Zweden, Columbia, Brazilië, Italië en Portugal die in de 90 dagen voor 8 augustus een bestelling hadden geplaatst. De gestolen data bestond uit namen, telefoonnummers, e-mailadressen en adresgegevens. In een update meldt Trezor dat het datalek veel groter is dan in eerste instantie werd gecommuniceerd. De aanvallers hebben ook de gegevens van nog eens 67.000 Amerikaanse klanten buitgemaakt. Het gaat om klanten die tussen november 2019 en augustus 2021 bestellingen hadden geplaatst. Trezor zegt dat het herhaaldelijk aan ShipMonk had gevraagd om deze gegevens te vernietigen en ook bevestiging kreeg dat dit was gedaan. Nu blijkt dat deze gegevens toch niet zijn vernietigd, aldus Trezor. "Fysieke beveiligingsrisico's" Trezor waarschuwt gedupeerden om alert te zijn op phishing. De gestolen informatie zou zijn te gebruiken voor phishingmails en frauduleuze telefoontjes en brieven. Daarnaast kan het datalek slachtoffers ook blootstellen aan "fysieke beveiligingsrisico's", aldus de walletfabrikant. Vorig jaar werden wereldwijd bij gewelddadige aanvallen tientallen miljoenen euro's aan cryptovaluta gestolen. De meeste incidenten werden in Frankrijk gemeld, aldus crypto-analysebedrijf Chainalysis. bron: https://www.security.nl

WordPress-sites worden aangevallen via een kritieke kwetsbaarheid in de plug-in Super Forms. Een update voor het probleem is sinds 8 juli beschikbaar. Misbruik vindt sinds 14 juli plaats, aldus cybersecuritybedrijf Wordfence. Super Forms is een plug-in voor WordPress voor het maken van allerlei soorten webformulieren. Naar schatting zou de plug-in op zo'n dertienduizend WordPress-sites zijn geïnstalleerd. De plug-in blijkt bestandstype en extensie van geuploade bestanden niet te controleren. Daarnaast vereist de uploadfunctie wel een session nonce, maar die is eenvoudig via een ander endpoint voor ongeauthenticeerde gebruikers verkrijgbaar. Een aanvaller kan zo via twee HTTP requests eerst de vereiste nonce bemachtigen en daarna PHP-bestanden naar de webserver uploaden. "Dit maakt het mogelijk voor ongeauthenticeerde aanvallers om een PHP-webshell naar de site te schrijven en willekeurige code uit te voeren, die te gebruiken is om admin-accounts aan te maken, data te stelen of de website volledig over te nemen", aldus Wordfence. Dat zegt al meer dan 250.000 aanvalspogingen te hebben gezien waarbij werd geprobeerd om sites via het lek aan te vallen. Super Forms is een betaalde plug-in. Er zijn daardoor geen cijfers beschikbaar hoeveel websites de update van 8 juli hebben geïnstalleerd. bron: https://www.security.nl

Google waarschuwt voor actief misbruik van een beveiligingslek in Chrome. Er zijn updates uitgebracht om het probleem te verhelpen. De kwetsbaarheid is aanwezig in V8, de JavaScript-engine die Chrome en andere browsers gebruiken voor het uitvoeren van JavaScript. In het onderdeel zijn herhaaldelijk beveiligingslekken gevonden die al voor het beschikbaar komen van updates werden misbruikt bij aanvallen. Het beveiligingslek (CVE-2026-85046) werd op 4 augustus door een externe beveiligingsonderzoeker aan Google gerapporteerd. De impact van de kwetsbaarheid is als 'high' beoordeeld. Bij kwetsbaarheden met het stempel high kan een aanvaller in het ergste geval code binnen de context van de browser uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen. Kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen ook onder het stempel high. Dit soort lekken zijn op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem. Behalve dat het om een 'type confusion' kwetsbaarheid gaat geeft Google geen verdere details over het beveiligingslek en de waargenomen aanvallen. Google Chrome 152.0.7977.82/.83 is beschikbaar voor macOS en Windows. Voor Linux is versie 152.0.7977.82 verschenen. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan echter een aantal dagen duren. Gebruikers die de update direct willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar. bron: https://www.security.nl

Leverancier van virtualisatiesoftware Broadcom waarschuwt vandaag voor een kritieke kwetsbaarheid in VMware Workstation en VMware Fusion waardoor een aanvaller vanuit een virtual machine code op de onderliggende host kan uitvoeren. Er zijn updates uitgebracht om het probleem (CVE-2026-59346) te verhelpen. VMware Workstation en Fusion zijn desktop hypervisors waarmee gebruikers meerdere virtual machines op hun systeem kunnen draaien. De vm-oplossingen bevatten een 'integer-overflow' kwetsbaarheid in de VMXNET3 virtuele netwerkadapter. Een aanvaller die adminrechten heeft in een virtual machine met VMXNET3 virtuele netwerkadapter kan via het lek code op de onderliggende host uitvoeren. De CVSS-impactscore is op een schaal van 1 tot en met 10 beoordeeld met een 9.3. Broadcom meldt dat de kwetsbaarheid door twee onderzoekers onafhankelijk van elkaar was gerapporteerd. Gebruikers worden opgeroepen om de updates te installeren. bron: https://www.security.nl

Aanvallers maken actief misbruik van een kritieke upload-kwetsbaarheid in Elementor Pro voor het aanvallen van WordPress-sites. Daarvoor waarschuwt cybersecuritybedrijf Wordfence. Via het beveiligingslek kan een aanvaller PHP-bestanden naar de webserver uploaden en uitvoeren. Vervolgens is het mogelijk om backdoors te installeren of malafide admin-accounts aan te maken. Een beveiligingsupdate voor de kwetsbaarheid verscheen op 19 augustus. Elementor Pro draait naar schatting op zes miljoen WordPress-sites. Elementor is een zogeheten "page builder" plug-in die de standaard WordPress-editor vervangt. Het biedt gebruikers meer vrijheid en mogelijkheden voor het vormgeven van hun WordPress-site en introduceert allerlei extra functionaliteit. Naast de gratis Elementor-plug-in, die op meer dan tien miljoen websites draait, is er ook de betaalde plug-in Elementor Pro die nog meer opties en mogelijkheden toevoegt. Een kritieke kwetsbaarheid in de pro-versie van de plug-in zorgt ervoor dat een aanvaller uitvoerbare bestanden naar de webserver kan uploaden. Bij het verwerken van geuploade bestanden voert de plug-in twee stappen uit. Tijdens de eerste stap wordt de extensie van het bestand gecontroleerd. Bij de tweede stap wordt het bestand naar een publiek toegankelijke directory verplaatst. De kwetsbaarheid doet zich voor wanneer een bestand wordt geupload met een lege bestandsnaam. Dit zorgt ervoor dat de resterende bestanden in hetzelfde uploadveld niet meer worden gecontroleerd, aldus Wordfence. Vereiste voor misbruik is wel dat de WordPress-site een gepubliceerde Elementor-pagina met een Form widget en uploadveld heeft. De makers van Elementor Pro werden op 16 juli over de kwetsbaarheid (CVE-2026-32475) ingelicht. Op 19 augustus verscheen versie 4.2.2 waarin het probleem is verholpen. In tegenstelling tot plug-ins die via WordPress.org worden aangeboden zijn van betaalde WordPress-plug-ins geen downloadcijfers bekend. Het is daardoor onbekend hoeveel sites nog een kwetsbare versie draaien. Volgens Wordfence vindt misbruikt ook sinds 19 augustus plaats, toen het de details van het probleem openbaarde. Het cybersecuritybedrijf zegt dat het inmiddels meer dan 190.000 aanvalspogingen heeft waargenomen. Bij de aanvallen uploaden de aanvallers een PHP-bestand om zo de website volledig over te nemen. bron: https://www.security.nl

Cisco heeft updates voor de Nexus 9000-switches uitgebracht wegens een kritieke kwetsbaarheid waardoor een ongeauthenticeerde aanvaller code als root kan uitvoeren. De Nexus 9000-switches zijn voornamelijk bedoeld voor datacenters. Het kritieke beveiligingslek (CVE-2026-20212) wordt veroorzaakt doordat TCP-poorten 43210 en 43211 toegankelijk zijn in de standaard Layer 3 (L3) virtual routing en forwarding (VRF). Een aanvaller kan dit misbruiken om verbinding met de switches te maken en vervolgens code met rootrechten uit te voeren. Cisco biedt zowel beveiligingsupdates als workarounds voor het probleem aan. Het gaat dan om het gebruik van access control lists om alleen vereist verkeer toe te staan of alle TCP-pakketten te blokkeren die naar een lokaal geconfigureerd ip-adres met destination poort 43210 of 43211 worden gestuurd. bron: https://www.security.nl

Aanvallers zijn erin geslaagd om vijfduizend Dropbox-accounts te hacken en data van gebruikers te stelen, zo heeft de opslagdienst zelf bekendgemaakt. Om op de accounts in te breken maakten de aanvallers gebruik van frauduleus aangemaakte Lenovo ID's. Dropbox werkt samen met Lenovo, waarbij de laatstgenoemde een identity provider is. Hierdoor kunnen gebruikers met een geverifieerd Lenovo ID inloggen op hun Dropbox-account. Volgens Dropbox maakten de aanvallers misbruik van een probleem met het verificatieproces van Lenovo ID's. Hierdoor konden de aanvallers een Lenovo ID met het e-mailadres van Dropbox-gebruikers registreren, ook al hadden deze gebruikers zelf helemaal geen Lenovo ID aangemaakt. Vervolgens bleek het mogelijk om via dit Lenovo ID in te loggen op het Dropbox-account van de betreffende gebruiker, zonder dat hiervoor het Dropbox-wachtwoord was vereist. Dat laat de opslagdienst weten in een bericht aan getroffen gebruikers. De aanvallen vonden plaats tussen 4 en 21 augustus. Dropbox stelt tegenover persbureau Reuters dat bij de aanval zo'n vijfduizend accounts zijn gehackt. Bij minder dan een derde van de gehackte accounts zouden de aanvallers ook data hebben gestolen. Naar aanleiding van het incident heeft Dropbox alle sessies tussen Lenovo ID's en Dropbox-accounts uitgelogd en aanpassingen doorgevoerd. Daardoor moeten gebruikers die weer via hun Lenovo ID willen inloggen ook hun Dropbox-wachtwoord opgeven. bron: https://www.security.nl

Microsoft zal volgende maand bij bepaalde Windows 11-computers een securityfeature inschakelen genaamd memory integrity protection. Het techbedrijf meldde eerder dat de beveiligingsmaatregel de gaming performance van systemen kan raken. Memory integrity is een virtualisatie-gebaseerde beveiligingsmaatregel (VBS) die de Windows-kernel tegen aanvallen moet beschermen. VBS gebruikt de Windows-hypervisor om een virtuele omgeving te maken die de 'root of trust' van het besturingssysteem vormt. Memory integrity maakt hiervan gebruik. Ook controleert de securityfeature kernel-mode code die wordt uitgevoerd en beperkt het toewijzen van kernelgeheugen, om zo te voorkomen dat het systeem wordt gecompromitteerd, legt Microsoft uit. De maatregel moet ervoor zorgen dat alleen vertrouwde kernel-mode code en drivers op het systeem kunnen draaien. Bijna vier jaar geleden liet Microsoft weten dat memory integrity invloed op de gaming performance van het systeem kan hebben. In een supportdocument van Microsoft, dat inmiddels niet meer online staat, stelde het techbedrijf dat gamers die de prestaties van het systeem belangrijk vinden de maatregel kunnen uitschakelen tijdens het gamen, om die daarna weer in te schakelen. Volgens The Verge zou memory integrity vooral invloed hebben op systemen met oudere processors. Microsoft laat nu weten dat het de beveiligingsmaatregel volgende maand automatisch op Windows 11-computers zal inschakelen die aan de gestelde voorwaarden voldoen. Daarbij wordt onder andere gekeken naar de systeemspecificaties en 'performance overwegingen'. Gebruikers en beheerders hebben nog steeds de optie om de maatregel uit te schakelen. Op systemen waar de maatregel al door gebruikers was uitgeschakeld zal die met de update van volgende maand niet weer worden ingeschakeld, aldus Microsoft. bron: https://www.security.nl

Meer dan tweehonderd PaperCut NG/MF-servers, waaronder zeven in Nederland, missen een belangrijke beveiligingsupdate voor twee kwetsbaarheden waar aanvallers actief misbruik van maken. Via de beveiligingslekken proberen aanvallers data van kwetsbare organisaties te stelen. Dat melden The Shadowserver Foundation en cybersecuritybedrijf Defused. PaperCut NG en MF zijn oplossingen waarmee organisaties allerlei printgerelateerde zaken kunnen beheren, zoals het inzien van het aantal geprinte pagina's, beheer van print queues, toevoegen van watermerken en access control. Twee kwetsbaarheden in de printsoftware worden misbruikt bij aanvallen. Het gaat om een authentication bypass in de webinterface van de server (CVE-2026-81578) waardoor een ongeauthenticeerde aanvaller toegang tot adminfuncties kan krijgen. De impact van de kwetsbaarheid is als high aangemerkt. Het tweede probleem betreft een kritieke kwetsbaarheid waardoor een aanvaller configuratieparameters van het systeem kan aanpassen. Dit maakt het mogelijk om willekeurige Java bytecode op de server uit te voeren en zo volledige controle over het systeem te krijgen. Naar aanleiding van de aanvallen heeft PaperCut vorige week twee noodpatches uitgebracht om de problemen te verhelpen. The Shadowserver Foundation is een stichting die zich onder andere bezighoudt met onderzoek naar kwetsbare systemen op internet. Het voerde een online scan uit naar toegankelijke PaperCut NG/MF-servers. Dat leverde 204 servers op die de updates voor de genoemde kwetsbaarheden missen. De meeste kwetsbare servers werden waargenomen in de Verenigde Staten en het Verenigd Koninkrijk. In Nederland gaat het om zeven servers. Cybersecuritybedrijf Defused meldt dat aanvallers de kwetsbaarheden onder andere gebruiken voor het stelen van data van organisaties. bron: https://www.security.nl

Organisaties in allerlei sectoren, waaronder gezondheidszorg, overheid, onderwijs en logistiek, zijn door het downloaden van fake software besmet geraakt met malware, zo meldt Microsoft. De 'software' wordt op legitiem lijkende websites aangeboden en doet zich onder andere voor als Microsoft Edge, Kaspersky Antivirus, ebooksoftware Calibre en drivers voor verschillende muizen. In werkelijkheid is het malware die aanvallers toegang tot het systeem geeft. Deze malware schakelt ook Windows Update uit, wijzigt de instellingen van Microsoft Defender en probeert SYSTEM-rechten te krijgen. Vanaf de besmette systemen proberen de aanvallers vervolgens via SMB (Server Message Block) zich lateraal naar andere systemen in het netwerk te bewegen. Microsoft zegt dat het infecties heeft waargenomen bij gezondheidszorg, productie, gaming, technologie, logistiek, overheid en hoger onderwijs, verspreid over diverse organisaties en sectoren. Met name vestigingen van multinationals in China en Chineestalige gebruikers zouden door de aanvalscampagne zijn getroffen. Wat het doel is van de aanvallers laat Microsoft niet weten, maar het techbedrijf stelt dat de aanval vermoedelijk het werk is van een groep genaamd SilverFox. Eerder dit jaar meldde antivirusbedrijf Kaspersky dat de groep het mogelijk heeft voorzien op gevoelige informatie van organisaties. Microsoft adviseert onder andere het blokkeren van uitvoerbare bestanden die niet aan bepaalde voorwaarden voldoen en het blokkeren van geobfusceerde scripts. Daarnaast wordt organisaties aangeraden om te voorkomen dat medewerkers software van niet-vertrouwde bronnen downloaden. bron: https://www.security.nl

Google heeft beveiligingsupdates uitgebracht voor kritieke kwetsbaarheden in Chrome die remote code execution mogelijk maken. Een aanvaller kan zo code op de systemen van gebruikers uitvoeren, waarbij alleen het bezoeken van een gehackte of malafide website of te zien krijgen van besmette advertenties voldoende is. Er is geen verdere interactie van gebruikers vereist. De nieuwste Chrome-update verhelpt volgens Google in totaal 26 kwetsbaarheden, waarvan er twee als kritiek zijn aangemerkt (CVE-2026-84353 en CVE-2026-84352). Het gaat om use-after-free kwetsbaarheden in Shared Tab Groups en WebGL. De Web Graphics Library (WebGL) is een JavaScript API die browsers gebruiken voor het weergeven van graphics. Beide problemen werden door Google zelf gevonden. Van de 26 verholpen beveiligingslekken kwamen er 23 voor rekening van Google. Negen kwetsbaarheden hebben het stempel 'High' gekregen. Bij kwetsbaarheden met het stempel High kan een aanvaller in het ergste geval code binnen de context van de browser uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder. Dit soort lekken zijn op zichzelf niet voldoende om een systeem over te nemen. Via kritieke kwetsbaarheden is dat wel mogelijk. Google Chrome 152.0.7977.75/.76 is beschikbaar voor macOS en Windows. Voor Linux is versie 152.0.7977.75 verschenen. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan echter een aantal dagen tot weken duren. Gebruikers die de update direct willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar bron: https://www.security.nl

Netwerkbeveiliger SonicWall waarschuwt voor actief misbruik van twee kwetsbaarheden in de SMA1000-gateway. Er zijn updates uitgebracht om de problemen te verhelpen. Eén van de verholpen kwetsbaarheden (CVE-2026-83548) heeft een CVSS-impactscore van 10.0 op een schaal van 1 tot en met 10. De SMA1000-gateway is in het verleden vaker het doelwit van aanvallen geweest. De Secure Mobile Access (SMA) appliance is een apparaat dat als gateway wordt gebruikt om gebruikers bijvoorbeeld op het bedrijfsnetwerk te laten inloggen. Het biedt onder andere vpn-functionaliteit en load balancing. Een gehackte SMA1000-gateway biedt aanvallers dan ook mogelijkheden voor allerlei verdere aanvallen tegen organisaties. Kwetsbaarheden in het product zijn in het verleden onder andere bij ransomware-aanvallen ingezet. Het beveiligingslek CVE-2026-83548 betreft Server-Side Request Forgery (SSRF) en zorgt ervoor dat een ongeauthenticeerde aanvaller ongeautoriseerde toegang tot 'gevoelige functies' kan krijgen en ongeautoriseerde operaties kan uitvoeren. De tweede aangevallen kwetsbaarheid (CVE-2026-83549) maakt het voor een geauthenticeerde aanvaller mogelijk om willekeurige OS-commando's uit te voeren, wat kan leiden tot remote code execution. Verdere details zijn niet gegeven. SonicWall roept klanten op om de laatste updates te installeren en contact met de helpdesk op te nemen om de gateway op de aanwezigheid van Indicators of compromise (IoC's) te controleren. IoC's bevatten allerlei informatie waarmee kan worden gekeken of een systeem is gehackt. In het geval van een gehackte SMA1000-gateway wordt aangeraden om de hardware opnieuw te imagen of de virtual appliances opnieuw uit te rollen, alle wachtwoorden te wijzigen en TOTP-tokens te resetten. Hoeveel organisaties die van de SMA1000-gateway gebruikmaken via de kwetsbaarheden zijn aangevallen is niet bekendgemaakt. Ook laat SonicWall niet weten sinds wanneer het misbruik is gedetecteerd. bron: https://www.security.nl

Zo'n 22.000 Microsoft Exchange-servers, waarvan ruim vijfhonderd in Nederland, missen een update voor een kritiek beveiligingslek. Dat meldt The Shadowserver Foundation op basis van eigen onderzoek. Via de 'authentication bypass' kwetsbaarheid (CVE-2026-62911) kan een aanvaller toegang tot de mailboxes van alle gebruikers op de Exchange-server krijgen. Vervolgens is het mogelijk om e-mails te lezen, te versturen en bijlagen te downloaden. Het Nationaal Cyber Security Centrum (NCSC) kwam vorige week met een aparte waarschuwing voor het probleem. Aanleiding was het verschijnen van proof-of-concept exploitcode voor het beveiligingslek. De overheidsinstantie besloot daarop de inschaling van de kwetsbaarheid aan te passen van Medium/High naar High/High. Dat houdt in dat zowel de kans op misbruik als schade groot zijn. Microsoft publiceerde op 11 augustus beveiligingsupdates voor de kwetsbaarheid, die aanwezig is in Exchange Server 2016, 2019 en SE. The Shadowserver Foundation is een stichting die onderzoek doet naar kwetsbare systemen op internet. Het besloot een scan naar Exchange-servers uit te voeren. Dat leverde zo'n 22.000 servers op die de update voor CVE-2026-62911 missen. Het gaat ook om 537 servers in Nederland. Het grootste aantal kwetsbare Exchange-servers werd in de Verenigde Staten en Duitsland waargenomen. Organisaties worden opgeroepen de update te installeren. Het NCSC waarschuwde dat misbruik van het Exchange-lek kan leiden tot bijvoorbeeld datalekken of verstoring van de bedrijfsvoering. "Microsoft heeft updates beschikbaar gesteld om de kwetsbaarheden te verhelpen. Installeer deze updates zo snel mogelijk", zo adviseert de overheidsinstantie. bron: https://www.security.nl

Organisaties zouden het Run Dialog (Uitvoeren-venster) voor standaard Windows-gebruikers moeten verwijderen, om zo ClickFix-aanvallen tegen te gaan. In het geval van macOS-gebruikers moet toegang tot de Terminal worden beperkt. Dat adviseert het Ransom-ISAC. Dit specifieke Information Sharing and Analysis Center (ISAC) is een samenwerkingsverband bestaande uit organisaties, bedrijven en experts die zich met de bestrijding van ransomware bezighouden. Eén van de manieren waardoor organisaties met ransomware besmet raken is via een ClickFix-aanval. Hierbij krijgen internetgebruikers instructies van cybercriminelen die voor een geïnfecteerd systeem zorgen. Bij veel ClickFix-aanvallen weten aanvallers eerst een legitieme website te hacken. Vervolgens plaatsen ze op deze gehackte sites zogenaamde captcha's. Deze 'captcha's' stellen dat de gebruiker via het Run Dialog op Windows of de Terminal op macOS een commando moet uitvoeren. In werkelijkheid zorgt het commando voor de installatie van malware. Volgens Ransom-ISAC kunnen organisaties verschillende maatregelen nemen om ClickFix-aanvallen tegen te gaan. De eerste is het verwijderen van het Run Dialog voor standaard Windows-gebruikers, wat via een Windows policy kan. In het geval van macOS wordt aangeraden om toegang tot de Terminal voor niet-technisch personeel via mobile device management (MDM) te beperken. Verder moeten beheerders een Alert instellen voor een bepaalde registerwaarde die bij ClickFix-aanvallen wordt aangemaakt. Het gaat om een Windows registry key die bijhoudt welke commando's via het Run Dialog zijn uitgevoerd. Windows Terminal Het gebruik van het Run Dialog is echter niet de enige manier waarop ClickFix-aanvallen op Windows mogelijk zijn. Microsoft maakt melding van aanvallen waarbij de aanvallers de Windows Terminal of PowerShell inzetten. Bij deze ClickFix-aanvallen moeten gebruikers ook een 'captcha' oplossen. In de gegeven instructies wordt echter niet aangegeven het Run Dialog te openen, maar de Windows Terminal of PowerShell. Het commando dat de gebruiker vervolgens moet uitvoeren leidt tot de installatie van malware. Microsoft adviseert organisaties om het uitvoeren van commando's in het Run Dialog en PowerShell te beperken en gebruikers over ClickFix-aanvallen te informeren. Zo is het mogelijk om via een App Control policy in te stellen dat native Windows binaries niet vanuit het Run Dialog zijn uit te voeren. Verder kunnen beheerders instellen dat via PowerShell alleen vertrouwde, gesigneerde scripts worden uitgevoerd. bron: https://www.security.nl

Al eens geprobeerd om op je desktop de printer door de eigen software van HP te laten vinden? Wel even de kabel van de printer halen. Soms wil dat voldoende zijn.