Captain Kirk

Aanvallers maken op grote schaal misbruik van twee kritieke Citrix-kwetsbaarheden, zo melden beveiligingsonderzoekers. Het Amerikaanse cyberagentschap CISA heeft federale overheidsinstanties opgedragen om hun eigen Citrix-systemen forensisch te onderzoeken, maar de aanvallers blijken allerlei anti-forensische maatregelen te nemen en hun sporen te verwijderen. Citrix kwam op 27 september met beveiligingsupdates voor verschillende kwetsbaarheden in NetScaler ADC en NetScaler Gateway, waaronder twee beveiligingslekken (CVE-2026-88771 en CVE-2026-88772) waar aanvallers al actief misbruik van maakten. Via de twee kwetsbaarheden kunnen ongeauthenticeerde aanvallers kwetsbare Citrix-systemen op afstand overnemen. Citrix NetScaler ADC is een server die organisaties tussen hun servers en het internet plaatsen. De primaire functie is het verdelen van inkomend verkeer over de beschikbare servers, zodat websites en applicaties snel en goed toegankelijk blijven. Via de Citrix NetScaler Gateway kunnen medewerkers van bedrijven op afstand toegang tot bedrijfsapplicaties, bedrijfsomgevingen en intranetten krijgen. Het wordt dan ook veel voor thuiswerken gebruikt. De impact van een gecompromitteerd Citrix NetScaler-systeem kan dan ook groot zijn. Misbruik van CVE-2026-88771 en CVE-2026-88772 zou al weken plaatsvinden. Via de beveiligingslekken installeren de aanvallers een webshell om toegang tot het gecompromitteerde Citrix-systeem te behouden en verdere aanvallen uit te voeren, melden CERT Europe en cybersecuritybedrijf Greynoise. Inmiddels is er sprake van grootschalige aanvallen. "Citrix Netscaler CVE-2026-88771 wordt nu op grote schaal misbruikt", zegt Simo Kohonen van cybersecuritybedrijf Defused. Ook de Britse beveiligingsonderzoeker Kevin Beaumont meldt grootschalig misbruik. Het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security kan Amerikaanse overheidsinstanties opdragen om beveiligingsupdates voor actief aangevallen kwetsbaarheden binnen een bepaalde tijd te installeren. In het geval van de Citrix-lekken zijn overheidsinstanties ook opgedragen om forensisch onderzoek naar hun Citrix-systemen uit te voeren, om zo te controleren of die niet al zijn gehackt. Hiervoor wordt verwezen naar een script van Citrix zelf. Beaumont merkt op dat dit script bekende webshells vindt, maar dat de webshells die de aanvallers gebruiken voor elk Citrix-systeem uniek zijn. Daarnaast voeren de aanvallers ook anti-forensische commando's uit en stellen ze crontab jobs in om hun sporen te verwijderen. bron: https://www.security.nl

Onderzoekers waarschuwen voor malafide Google-advertenties die voor 'vergrendelde' browsers op macOS en Windows zorgen. Het is daarbij de bedoeling dat slachtoffers een telefoonnummer bellen dat in beeld verschijnt. De Google-advertenties zijn volgens cybersecuritybedrijf Netskope op allerlei drukbezochte websites verschenen. Zodra de advertentie is geladen toont die eerst een waarschuwing. Op Windowscomputers gaat het om een zogenaamde melding van Windows Defender die beweert dat het systeem vol malware zit. In het geval van Macs wordt gedaan alsof de waarschuwing van Apple afkomstig is. Zodra het slachtoffer ergens op het scherm klikt gaat de pagina fullscreen en verbergt de adresbalk en tabs. Vervolgens verbergt de scampagina de muiscursor en roept de keyboard-lock API aan om ervoor te zorgen dat de Escape key en andere 'exit shortcuts' niet werken. Daarnaast zorgt de scampagina ervoor dat er allerlei loops actief zijn die ervoor zorgen dat de pagina traag reageert. Ook speelt de pagina een geluid af en laat uiteindelijk een zwart 'lockout' scherm zien. Dit scherm beweert dat de computer is uitgeschakeld. De gebruiker wordt in dit scherm ook opgeroepen om de computer niet te herstarten maar het opgegeven telefoonnummer te bellen. Zowel de browser als computer zijn echter niet vergrendeld. Het telefoonnummer is van helpdeskfraudeurs. In veel gevallen proberen die toegang tot het systeem van slachtoffers te krijgen om zo frauduleuze transacties uit te voeren of brengen slachtoffers hoge bedragen in rekening voor het 'oplossen' van niet aanwezige problemen. De onderzoekers adviseren gebruikers die met de scam te maken krijgen om via Task Manager (Ctrl+Shift+Esc) op Windows en Force Quit (Cmd+Option+Esc) op Mac de malafide pagina te sluiten. bron: https://www.security.nl

Er is een nieuwe versie van VLC Media Player uitgekomen waarmee meer dan 130 beveiligingslekken in de software en onderliggende libraries zijn verholpen. Het is de grootste beveiligingsupdate in het bestaan van VLC. Details over de verholpen problemen zijn nog niet gegeven, behalve dat het om meerdere out-of-bounds, integer overflow, double-free en use-after-free kwetsbaarheden gaat. Dit soort beveiligingslekken kunnen in het ergste geval tot code execution leiden. Bij eerdere beveiligingslekken in VLC is misbruik mogelijk als gebruikers malafide bestanden of streams openen. VLC-ontwikkelaar VideoLAN laat weten dat details over de kwetsbaarheden binnenkort bekend worden gemaakt. Verder maakt de software nu gebruik van een nieuwe RSA-4096 key voor het verifiëren van updates. De Duitse overheid roept gebruikers van de mediaspeler op om tijdig de update naar VLC Media Player 3.0.24 te installeren. bron: https://www.security.nl

Aanvallers maken actief misbruik van een kwetsbaarheid in Microsoft SharePoint waarvoor vorige maand updates verschenen, zo waarschuwt Microsoft. Via het beveiligingslek (CVE-2026-65660) is remote code execution mogelijk. Organisaties gebruiken SharePoint voor allerlei werkprocessen, zoals het delen van documenten en informatie en opzetten van interne websites. Het platform is al jaren het doelwit van aanvallen. Bij het uitbrengen van de beveiligingsupdates stelde Microsoft nog dat de kans op misbruik van het probleem 'less likely' was. Het beveiligingsbulletin van CVE-2026-65660 is nu door Microsoft aangepast. Het techbedrijf meldt dat het bekend is met actief misbruik van het probleem, maar geeft geen verdere details over deze aanvallen. Om misbruik van CVE-2026-65660 te kunnen maken moet een aanvaller 'low-level' toegang tot een kwetsbare server hebben. Vervolgens is door het versturen van een speciaal geprepareerd request remote code execution mogelijk. Interactie van gebruikers is niet vereist, aldus Microsoft, dat geen verdere details over de kwetsbaarheid geeft. bron: https://www.security.nl

De criminele groepering ShinyHunters voert weer op grote schaal aanvallen uit tegen Oracle PeopleSoft-servers, waarbij de aanvallers een manier hebben gevonden om Web Application Firewall (WAF) rules te omzeilen, zo waarschuwt Google. PeopleSoft is een enterprise resource planning (ERP) software suite voor allerlei zakelijke toepassingen, zoals HR, financiën, salarisadministratie en supply chain management. Het kan dan ook allerlei persoonlijke en vertrouwelijke informatie bevatten. In juni werd bekend dat ShinyHunters een zerodaylek in PeopleSoft gebruikte om grote hoeveelheden gevoelige en persoonlijke informatie bij bedrijven te stelen en die daarmee af te persen. Misbruik van het beveiligingslek (CVE-2026-35273) vond volgens Google al zeker sinds 27 mei plaats. Het techbedrijf ontdekte meerdere open directories op de servers die ShinyHunters voor het uitvoeren van de aanvallen gebruikte. Zo kreeg het techbedrijf inzicht in de operatie van de criminele groepering. Oracle kwam op 10 juni met een noodpatch voor het probleem. Voor het beschermen van onder andere PeopleSoft-servers kunnen organisaties kiezen voor een Web Application Firewall. WAF-leveranciers voerden naar aanleiding van de aanvallen rules door om nieuwe aanvallen te voorkomen. ShinyHunters heeft een manier gevonden om deze WAF rules te omzeilen doormiddel van het URL encoden van een enkel karakter in het request path. In plaats van /PSEMHUB/ te gebruiken maken de aanvallers nu gebruik van /%50SEMHUB/. Door deze methode zijn kwetsbare PeopleSoft-servers weer toegankelijk voor aanvallen en is er inmiddels sprake van "mass exploitation" van CVE-2026-35273 door ShinyHunters, aldus Google. Organisaties worden opgeroepen om de update voor CVE-2026-35273 te installeren. "WAF rules en path-based blocking zijn geen vervanging voor patches", stelt het techbedrijf. Tevens wordt aangeraden om in tijdelijke of web-toegankelijke directories te zoeken naar grote archiefbestanden en logbestanden te controleren op bulk queries of exports van databases met HR-, salaris- en studentengegevens. bron: https://www.security.nl

Citrix waarschuwt voor twee kritieke kwetsbaarheden in Citrix NetScaler ADC en Gateway waar aanvallers actief misbruik van maken. Patches zijn nu beschikbaar gesteld, maar het misbruik vond al voor het uitkomen van de updates plaats. Citrix, het Nationaal Cyber Security Centrum (NCSC) en cyberagentschappen uit andere landen roepen organisaties die met Citrix werken op om de updates zo snel mogelijk te installeren. Via de twee kwetsbaarheden (CVE-2026-88771 en CVE-2026-88772) is remote code execution door een ongeauthenticeerde aanvaller mogelijk, of kan een aanvaller willekeurige commando's uitvoeren. Citrix NetScaler ADC is een server die organisaties tussen hun servers en het internet plaatsen. De primaire functie is het verdelen van inkomend verkeer over de beschikbare servers, zodat websites en applicaties snel en goed toegankelijk blijven. Via de Citrix NetScaler Gateway kunnen medewerkers van bedrijven op afstand toegang tot bedrijfsapplicaties, bedrijfsomgevingen en intranetten krijgen. Het wordt dan ook veel voor thuiswerken gebruikt. De impact van een gecompromitteerd Citrix NetScaler-systeem kan dan ook groot zijn. "De kwetsbaarheid met CVE-2026-88771 draagt het grootste risico. Daarmee kunnen aanvallers op afstand willekeurige commando's uitvoeren op de NetScaler. Dit wordt Remote Code Execution (RCE) genoemd. Met deze kwetsbaarheid krijgen aanvallers de volledige controle over de gateway, wat directe toegang biedt naar het achterliggende interne bedrijfsnetwerk", aldus het NCSC. Alle NetScaler ADC en NetScaler Gateway servers zijn kwetsbaar voor CVE-2026-88771. Voor CVE-2026-88772 geldt dit ook zolang "DTLS", wat standaard aan staat bij VPN virtuele servers, ingeschakeld is. Sinds wanneer misbruik van CVE-2026-88771 en CVE-2026-88772 plaatsvindt laat Citrix niet weten. Citrix adviseert klanten om de patches zo snel mogelijk te installeren. Een advies dat ook wordt gegeven door het NCSC, het Amerikaanse cyberagentschap CISA en de Australische geheime dienst ASD. bron: https://www.security.nl

Hardwarefabrikant Asus heeft klanten van de eigen webwinkel gewaarschuwd dat hun persoonlijke gegevens bij een hack mogelijk zijn gestolen. In een e-mail aan de getroffen klanten meldt Asus dat er een inbraak op de 'eShop environment' heeft plaatsgevonden, waarbij gegevens van klanten zijn benaderd, waaronder contactgegevens en bestelinformatie. Creditcardgegevens of andere financiële informatie zijn niet gestolen. Hoe de inbraak mogelijk was en hoeveel klanten zijn getroffen laat Asus niet in het bericht weten. Wel worden getroffen klanten opgeroepen om alert te zijn op phishingmails, zo meldt KitGuru. bron: https://www.security.nl

Een SQL Injection-kwetsbaarheid in Roundcube wordt misbruikt bij aanvallen. Dat laat het Canadese Centrum voor Cybersecurity weten. Roundcube is opensource-webmailsoftware en wordt door allerlei organisaties wereldwijd gebruikt. De software is vaker het doelwit van aanvallers. Via het beveiligingslek (CVE-2026-48842) kan een ongeauthenticeerde aanvaller toegang tot de Roundcube-database krijgen. Er is geen interactie van gebruikers vereist om misbruik van de kwetsbaarheid te maken. Eind mei werd het probleem gepatcht in versies 1.6.16 en 1.7.1. Nu meldt het Canadese Centrum voor Cybersecurity dat de kwetsbaarheid bij aanvallen is ingezet. Details over deze aanvallen zijn niet gegeven. The Shadowserver Foundation telt zo'n 523.000 Roundcube-servers op internet. Hoeveel er daarvan kwetsbaar zijn is echter onbekend. Begin dit jaar waarschuwde het Amerikaanse cyberagentschap CISA nog voor misbruik van een cross-site scripting (XSS) kwetsbaarheid in Roundcube Webmail. bron: https://www.security.nl

De ontwikkelaars van OpenSSL komen op 29 september met een belangrijke beveiligingsupdate, zo hebben ze via de eigen mailinglist aangekondigd. De update verhelpt één of meerdere kwetsbaarheden waarvan de impact als "High" is bestempeld. Dergelijke kwetsbaarheden worden zelden in OpenSSL gerapporteerd. De afgelopen vier jaar jaar ging het om slechts een handvol van dergelijke beveiligingslekken. OpenSSL behoort tot de meest gebruikte software voor het versleutelen van internetverbindingen. Websites maken er bijvoorbeeld gebruik van om het verkeer van en naar bezoekers te versleutelen. Kwetsbaarheden in OpenSSL kunnen zeer grote gevolgen voor het internet hebben, zo heeft de Heartbleed Bug in het verleden aangetoond. Details over de kwetsbaarheden die volgende week dinsdag worden verholpen geeft het OpenSSL-team niet. Beveiligingslekken die als High zijn aangemerkt maken het mogelijk voor aanvallers om bijvoorbeeld private keys van servers te stelen of remote code uit te voeren. De reden dat dergelijke kwetsbaarheden als High zijn aangemerkt en niet als Critical is dat het probleem niet bij standaardconfiguraties voorkomt of minder eenvoudig te misbruiken is. OpenSSL versies 4.0.3, 3.6.5, 3.5.9 en 3.4.8 verschijnen op 29 september tussen 15.00 en 19.00 uur Nederlandse tijd. Voor betalende klanten komen ook versies 3.0.23, 1.1.1zj en 1.0.2zs beschikbaar. bron: https://www.security.nl

Cybersecuritybedrijf Check Point waarschuwt voor actief misbruik van een kritieke kwetsbaarheid in de vpn-producten die het biedt. Via het beveiligingslek (CVE-2026-85102) kan een ongeauthenticeerde aanvaller willekeurige code op Check Point vpn-producten uitvoeren. Beveiligingsupdates zijn sinds 7 september beschikbaar. Op 10 september waarschuwde het Nationaal Cyber Security Centrum (NCSC) dat het grootschalig misbruik van het probleem verwachtte. Check Point meldt via de eigen website dat het sinds 12 september een 'golf van aanvallen' tegen klanten heeft waargenomen waarbij misbruik van het vpn-lek werd gemaakt. Aanvallers maken naast CVE-2026-85102 ook misbruik van een andere kwetsbaarheid, aangeduid als CVE-2026-93616. Het gaat om een kritiek path traversal-lek (CVE-2026-93616) aanwezig in Multi-Domain Security Management Server en Security Management Server waarvoor op 22 september een hotfix verscheen. Misbruik vindt echter al sinds 23 juli plaats. Hoeveel klanten door de aanvallen zijn getroffen laat Check Point niet weten. "Als de kwetsbaarheden niet verholpen worden, kan een aanvaller het systeem overnemen, vertrouwelijke informatie bekijken of aanpassen, en de werking van het systeem verstoren. Dit kan leiden tot ernstige schade voor de organisatie", aldus het NCSC in de eerdere waarschuwing voor het vpn-lek. De overheidsinstantie adviseert organisaties om de advisory van Check Point met spoed op te volgen. bron: https://www.security.nl

Microsoft heeft een phishing as a service (PhaaS) platform, bekend onder de naam "EvilTokens", grotendeels weten uit te schakelen. Het EvilTokens platform werd gebruikt om Microsoft 365 accounts via device code phishing over te nemen. Vervolgens werd AI ingezet om de mailboxen van slachtoffers te analyseren en gevoelige informatie, zoals zakelijke relaties en betalingsinformatie, op te sporen. Op basis hiervan adviseerde de AI de aanvallers welke vorm van fraude naar verwachting de grootste kans van slagen had. Device code phishing maakt misbruik van de OAuth "device code authentication" flow. Deze authenticatiemethode wordt veel gebruikt om apparaten met een simpele interface, bijvoorbeeld een gameconsole of smart tv, toegang te geven tot een (Microsoft) account. Op het apparaat wordt dan een tijdelijke code getoond die de gebruiker op een ander apparaat (na authenticatie) invoert. Voor de phishingaanval wordt deze authenticatiemethode gestart door de aanvallers. Het slachtoffer wordt vervolgens naar een legitieme inlogpagina geleid en gevraagd om de tijdelijke code van de door de aanvallers gestarte sessie in te voeren. Hiermee krijgen de aanvallers toegang tot de dienst, in dit geval het Microsoft 365 account van het slachtoffer. Volgens Microsoft speelde AI een belangrijke rol in het EvilTokens platform. De ingebouwde AI werd gebruikt voor zowel het opstellen van phishingmails, waarbij gebruik werd gemaakt van eerder buitgemaakte informatie, en het analyseren van de mailboxen van slachtoffers om verdere aanvallen uit te kunnen voeren. Tevens lijken volgens Microsoft delen van het EvilTokens platform met behulp van AI te zijn ontwikkeld ("vibe coded"). Met toestemming van een Amerikaanse rechtbank heeft Microsoft in samenwerking met verschillende partners in totaal 50 websites en 150 domeinen gerelateerd aan EvilTokens weten uit te schakelen. Microsoft heeft getroffen klanten gewaarschuwd en geholpen met het herstellen van gecompromitteerde accounts. bron: https://www.security.nl

WordPress heeft versie 7.1.2 uitgebracht waarin een Path Traversal kwetsbaarheid is verholpen die onder bepaalde omstandigheden kan leiden tot het uitvoeren van willekeurige code op de server (Remote Code Execution). Deze nieuwe 7.1.2 release komt 5 dagen nadat WordPress versie 7.1.1 beschikbaar werd gesteld, waarin 11 verschillende kwetsbaarheden werden verholpen. De in WordPress 7.1.2 verholpen Path Traversal kwetsbaarheid kan worden misbruikt om code uit te voeren op de server wanneer een theme is geïnstalleerd waarin een "top-level" directory aanwezig is die begint met de string "page-", een bestaand PHP script (zoals bijvoorbeeld pearcmd.php) aanwezig is op de server dat kan worden gebruikt om systeemcommando's uit te voeren en de "register_argc_argv" setting is ingeschakeld. WordPress geeft aan dat Twenty Twelve, Twenty Fourteen en meerdere third-party themes, zoals Neve, Hestia en Sydney, de benodigde "page-" prefixed directory bevatten en dat het officiële PHP Docker image een pearcmd.php script bevat dat kan worden gebruikt voor de exploitatie en tevens de register_argc_argv setting heeft ingeschakeld. Gebruikers worden opgeroepen om de beschikbare patches zo snel mogelijk te installeren. bron: https://www.security.nl

Adobe heeft beveiligingsupdates uitgebracht voor kritieke kwetsbaarheden in Adobe Connect en Adobe Experience Manager (AEM) Forms. Verschillende beveiligingslekken maken het mogelijk om willekeurige code uit te voeren of verhoogde rechten te verkrijgen. Adobe zegt geen aanwijzingen te hebben dat de kwetsbaarheden actief worden misbruikt. In Adobe Connect zijn meerdere kritieke beveiligingsproblemen verholpen. De ernstigste kwetsbaarheid, CVE-2026-75682, heeft een CVSS-score van 9,9 op een schaal van 10 en betreft een SQL-injection. Een aanvaller met beperkte rechten kan het lek op afstand misbruiken zonder interactie van een gebruiker. Succesvolle exploitatie kan leiden tot het uitvoeren van willekeurige code. Adobe verhelpt daarnaast verschillende kritieke kwetsbaarheden in Connect die voortkomen uit cross-site scripting (XSS) en onjuiste invoervalidatie. Deze kwetsbaarheden kunnen onder meer leiden tot privilege escalatie en het uitvoeren van code. Voor een deel van deze kwetsbaarheden is interactie van een gebruiker vereist. Connect 12.11 en eerdere versies zijn kwetsbaar. Adobe adviseert gebruikers om te upgraden naar versie 12.12. Ook de Android-app van Adobe Connect bevat beveiligingsproblemen. Gebruikers van versie 4.4 en ouder wordt geadviseerd te upgraden naar versie 4.5. AEM Forms Ook Adobe Experience Manager Forms op Java Enterprise Edition (JEE) bevat verschillende kritieke kwetsbaarheden. Het ernstigste lek, CVE-2026-75745, heeft een CVSS-score van 9,8. Het probleem wordt veroorzaakt door onjuiste autorisatie en kan door een ongeauthenticeerde aanvaller op afstand worden misbruikt voor het uitvoeren van willekeurige code. Andere kwetsbaarheden in AEM Forms kunnen eveneens leiden tot code-uitvoering, privilege-escalatie en het omzeilen van beveiligingsmaatregelen. Daarbij gaat het onder meer om onvoldoende invoervalidatie en server-side request forgery (SSRF). AEM 6.5 LTS Forms Service Pack 2 en ouder en AEM 6.5 Forms 6.5.25 en ouder zijn getroffen. Voor de LTS-versie heeft Adobe Service Pack 3 beschikbaar gesteld. Voor AEM 6.5 Forms is een hotfix uitgebracht. bron: https://www.security.nl

Aanvallers zijn erin geslaagd om in te breken op private GitHub-repositories van cybersecuritybedrijf CrowdSec en hebben daarbij ook broncode buitgemaakt. Dat laat CrowdSec via de eigen website weten. De inbraak zou al in mei hebben plaatsgevonden, maar CrowdStrike zegt dat het pas op 16 september dit te horen kreeg. Volgens het bedrijf zijn er geen klantgegevens gestolen. Verder stelt CrowdSec dat de code in de private repositories waarde heeft, maar het bedrijf niet echt kan schaden. Tevens meldt het bedrijf dat de broncode, sinds die in mei werd gestolen, verder is doorontwikkeld. Wel zegt het cybersecuritybedrijf op ongewone activiteiten te monitoren. Vermoedelijk wisten de aanvallers via de TanStack supplychain-aanval toegang tot de GitHub-omgeving van CrowdSec te krijgen, zo laat het bedrijf verder weten. "Dit onderdeel werd in mei in onze organisatie gebruikt en lijkt te zijn gebackdoored om een API-key te stelen en zo toegang tot de private codebase te krijgen." TanStack biedt tal van libraries die ontwikkelaars gebruiken voor het ontwikkelen van webapplicaties. De packages van TanStack tellen tientallen miljoenen installaties. Aanvallers wisten in mei tientallen besmette packages van TanStack te publiceren. Deze packages waren voorzien van malware die op het systeem van de getroffen ontwikkelaar tokens, credentials en andere inloggegevens steelt. Daarnaast probeert de malware softwareprojecten van de getroffen ontwikkelaar te infecteren. Na de ontdekking zegt CrowdSec alle tokens en credentials te hebben aangepast om verdere incidenten te voorkomen. bron: https://www.security.nl

Aanvallers zijn erin geslaagd om wereldwijd duizenden softwareontwikkelaars en andere it'ers via malafide vacatures te hacken, om vervolgens gevoelige informatie en cryptovaluta te stelen. Dat melden opsporingsdiensten uit Duitsland, Japan, de Verenigde Staten en Australië in een gezamenlijke waarschuwing (pdf). De aanvallen zijn volgens de diensten het werk van een Noord-Koreaanse groep aanvallers genaamd 'WaterPlum'. Bij de aanvallen worden vooral softwareontwikkelaars, webontwerpers en specialisten op het gebied van crypto, blockchain en Web3-technologie door de aanvallers benaderd. Dit gebeurt via social media, freelance marktplaatsen en andere plekken. Daarbij doen de aanvallers zich voor als AI-bedrijven, cryptobeurzen en recruitmentbureaus. Sollicitanten worden vervolgens gevraagd om een programmeeropdracht uit te voeren of aan een online sollicitatiegesprek deel te nemen. Hiervoor moet het doelwit vaak malafide bestanden downloaden en uitvoeren, waardoor de aanvallers toegang tot de computer van het slachtoffer krijgen. Vervolgens zoeken de aanvallers op het systeem naar gevoelige data en informatie die toegang tot cryptowallets geeft. Volgens de FBI, de Japanse politie en Australische en Duitse inlichtingendiensten heeft de WaterPlum-groep zeker 30.000 systemen in meer dan honderd landen geïnfecteerd met malware. Via de besmette systemen zou de groep cryptovaluta uit meer dan zevenduizend cryptowallets hebben buitgemaakt. Het gestolen bedrag bedraagt ruim 10 miljoen dollar. De opsporings- en inlichtingendiensten adviseren om geen code van niet-vertrouwde derde partijen uit te voeren op systemen die voor crypto of persoonlijke data worden gebruikt. Onbekende code moet alleen in een sandbox of virtual machine worden uitgevoerd. Daarbij moet worden gecontroleerd dat er geen geobfusceerde of onleesbare delen aanwezig zijn voordat de code wordt uitgevoerd. Ook wordt aangeraden om voorzichtig te zijn met onbekende VSCode-projecten. bron: https://www.security.nl

Meer dan honderdduizend WordPress-sites zijn door een hack van marketingbedrijf Brevo voorzien van ClickFix-code en mogelijk ook een backdoor, zo meldt cybersecuritybedrijf Sansec. De hack was mogelijk doordat een aanvaller een long-lived Cloudflare API key met volledige account-permissies in de broncode van Brevo's software wist te achterhalen, aldus Brevo in een analyse van de aanval. Brevo, eerder nog bekend als Sendinblue, levert software voor e-mailmarketing. WordPress-sites kunnen de oplossing van Brevo op hun website integreren en zo e-mailadressen verzamelen en marketingmails en nieuwsbrieven naar gebruikers en klanten sturen. Via de gestolen key kon de aanvaller malafide JavaScript op brevo.com en sibforms.com injecteren, alsmede in drie JavaScript-bestanden die Brevo-klanten op hun websites embedden. De malafide JavaScript liet bezoekers van de WordPress-sites zien dat ze een zogenaamde Cloudflare-captcha moesten oplossen. In werkelijkheid ging het om een zogeheten ClickFix-aanval. Hierbij wordt automatisch een malafide commando naar het clipboard van gebruikers gekopieerd of krijgen ze de instructie het commando te kopiëren. Vervolgens wordt gebruikers gevraagd om Run dialog, Terminal of PowerShell te starten en daarin het commando uit te voeren. Op deze manier wordt er malware op het systeem geplaatst. Vaak gaat het om infostealer-malware die wachtwoorden, session cookies en andere credentials van systemen steelt. Volgens Sansec zorgde de malafide JavaScript er ook voor dat als de WordPress-beheerder op zijn site was ingelogd er automatisch een WordPress-plug-in werd geïnstalleerd. Het lukte onderzoekers niet om deze plug-in te achterhalen, maar vermoedelijk gaat het hier om een backdoor. Naar aanleiding van het incident heeft Brevo onder andere besloten om de hardcoded key uit de broncode te verwijderen en door beperkte, short-lived tokens te vervangen. Tevens worden er geen credentials meer in broncode of configuratiebestanden opgeslagen. bron: https://www.security.nl

Europese internetgebruikers en organisaties, waaronder ook in Nederland, zijn via torrents besmet geraakt met malware, zo meldt antivirusbedrijf Kaspersky. De aanvallers wisten een veelgebruikte torrent repository te compromitteren, aldus de virusbestrijder. Het gebruik van torrents voor het verspreiden van malware is een bekende techniek die al jarenlang wordt toegepast. Vandaag plaatste malware-onderzoeker VX-Underground een videoanalyse van dergelijke malware online. In deze analyse wordt getoond hoe er via torrents een filmbestand wordt aangeboden. In werkelijkheid gaat het om een executable die het systeem met infostealer-malware besmet. Kaspersky meldt een grootschalige infectiecampagne waarbij aanvallers hun malware ook als populaire films voordeden. Deze aanvallen werden uitgevoerd vanaf een gecompromitteerde, publieke repository met torrent-bestanden. Torrent-trackers die van deze repository gebruikmaakten verspreidden hierdoor malafide torrent-bestanden onder hun gebruikers. "Deze aanpak is met name krachtig omdat aanvallers zo meerdere trackers weten te bereiken, zonder elk platform apart te compromitteren", aldus de onderzoekers. Het gedownloade bestand was in werkelijkheid een executable. Daarbij hanteerden de aanvallers een lange bestandsnaam, vermoedelijk om de .exe-extensie op het einde te verbergen. Windows laat daarnaast bestandsextensies standaard niet zien. Tevens waren de executables soms voorzien van het icoon van een bekende applicatie. Via de malware krijgt de aanvaller volledige controle over het systeem van het slachtoffer. bron: https://www.security.nl

Cyberagentschappen van de Five Eyes-landen hebben achttien technieken beschreven voor het hacken van Active Directory (AD) en hoe organisaties hiermee kunnen omgaan. Active Directory is een oplossing voor identiteits- en toegangsbeheer waar talloze organisaties en bedrijven wereldwijd gebruik van maken. Het fungeert als de 'digitale poortwachter' tot het netwerk, aldus de cyberagentschappen. "De cruciale rol van Active Directory bij authenticatie en autorisatie maakt het een belangrijk doelwit voor aanvallers. Het wordt regelmatig aangevallen als onderdeel van malafide activiteiten op bedrijfsnetwerken", zo stellen de cyberagentschappen van Australië, Canada, Nieuw-Zeeland, het Verenigd Koninkrijk en de Verenigde Staten. Bij veel aanvallen proberen aanvallers controle over het AD-domein te krijgen. Hiervoor worden verschillende technieken gebruikt, zoals Kerberoasting, password spraying en het gebruik van 'golden' en 'silver' tickets. Via een gecompromitteerd AD-domein hebben aanvallers vaak volledige controle over het netwerk. Om organisaties te helpen met het detecteren van een gecompromitteerde Active Directory en het beschermen tegen aanvallen publiceerden de Five Eyes-landen twee jaar geleden een adviesdocument. Dat is nu van een update voorzien. In totaal worden 18 veelgebruikte technieken beschreven voor het aanvallen van Active Directory, waaronder een nieuwe techniek genaamd DCSync, aldus het Australische Cyber Security Centre. De diensten roepen organisaties op om de aanbevelingen uit het adviesdocument toe te passen. bron: https://www.security.nl

De Europese Commissie wil dat leeftijdsverificatie wordt verplicht voor iedereen die een nieuw account aanmaakt op social media of 'videosharingplatforms'. Dat heeft Brussel vandaag bekendgemaakt. De maatregel is onderdeel van de EU KIDS Act, die ook een leeftijdsverbod voor social media introduceert. Gisteren werden al de eerste details van het wetsvoorstel gepresenteerd, nu zijn meer details openbaar. Zo wil de Europese Commissie geen social media voor kinderen tussen de 3 en 13 jaar. Ook mogen kinderen in deze leeftijdsgroep geen eigen 'personal devices'. Wel mag deze groep via het account van een ouder maximaal één uur per dag gebruikmaken van 'kindvriendelijke' videoplatforms. Voor de groep 13 tot 15 jaar komen er 'mini-accounts', ook aangemaakt door ouders. Deze accounts hebben beperkte features wat betreft contact met anderen en zijn ook maximaal één uur per dag te gebruiken. Jongeren tussen de 15 en 18 jaar mogen hun eigen socialmedia-account aanmaken. Verder moeten platforms die diensten aan kinderen aanbieden hun algoritmes zo ontwerpen dat die 'veilig' voor kinderen zijn. Tevens moeten accounts van minderjarigen standaard op privé staan en eenvoudig ouderlijk toezicht bieden. Ook moet het voor deze accounts eenvoudig zijn om andere gebruikers te blokkeren. Leeftijdsverificatie Platforms worden ook verplicht om de leeftijd van hun gebruikers te controleren. Brussel zegt dat dit via de eigen leeftijdsverificatie-app kan. Tevens zegt de Europese Commissie dat lidstaten nauw betrokken worden bij het 'opzetten van dit ecosysteem'. Verder worden social media en videoplatfoms verplicht om leeftijdsverificatie voor nieuwe accounts uit te voeren. Voor bestaande accounts moeten platforms de leeftijd van gebruikers schatten gebaseerd op bijvoorbeeld registratiedatum of creditcardgegevens. De Europese Commissie heeft het voorstel nu aangeboden aan het Europees Parlement en de Raad. Europese wetgeving vindt plaats via een trialoog, waarbij de Europese Commissie, het Europees Parlement en de Raad van Ministers onderhandelen over wetgevende voorstellen en elk een eigen positie innemen. bron: https://www.security.nl

Cisco waarschuwt organisaties voor een kritieke kwetsbaarheid in de Identity Services Engine (ISE) waar aanvallers actief misbruik van maken. De CVSS-impactscore van het beveiligingslek is met de maximale 10.0 beoordeeld. Er zijn updates uitgebracht om het probleem te verhelpen. Cisco ISE is een 'network access control' oplossing die op een server of virtual appliance draait en organisaties laat beheren welke endpoints, gebruikers en apparaten toegang tot het netwerk krijgen. Kwetsbaarheden in Cisco ISE (CVE-2025-20337 en CVE-2025-20281) zijn in het verleden vaker gebruikt bij aanvallen, zo blijkt uit een overzicht van het Amerikaanse cyberagentschap CISA. Nu kan ook CVE-2026-76460 aan dit overzicht worden toegevoegd. Het gaat om een 'authentication bypass' van een API-endpoint. Door het versturen van een speciaal geprepareerd request naar een kwetsbaar endpoint kan een aanvaller ongeautoriseerde toegang tot het ISE-systeem krijgen, en daarbij de webmanagement-interface omzeilen. Cisco heeft Indicators of Compromise (IoC's) gegeven waarmee organisaties kunnen kijken of ze zijn gehackt, maar het netwerkbedrijf waarschuwt dat aanvallers via het lek roottoegang tot het ISE-systeem kunnen krijgen. Daardoor is het mogelijk voor aanvallers om eventuele sporen die als IoC dienen te verwijderen. Cisco adviseert dan ook dat beheerders netwerklogs en firewall-logs van buiten het mogelijk getroffen systeem bekijken. Verdere details over de aanvallen en het aantal getroffen organisaties zijn niet gegeven. bron: https://www.security.nl

Zo'n 300.000 WordPress-sites missen een beveiligingsupdate voor een kritieke kwetsbaarheid in een plug-in waar aanvallers actief misbruik van maken, zo meldt cybersecuritybedrijf Wordfence. Via het beveiligingslek kunnen ongeauthenticeerde aanvallers code op de webserver uitvoeren en zo volledige controle over de website krijgen. Het aangevallen probleem is aanwezig in de plug-in The Events Calendar. Via deze plug-in kunnen WordPress-beheerders een evenementenkalender aan hun website toevoegen. Meer dan 600.000 websites op internet maken gebruik van de plug-in. Een kwetsbaarheid (CVE-2026-78006) in een functie van de plug-in maakt het mogelijk voor ongeauthenticeerde aanvallers om PHP-objecten te injecteren, wat leidt tot remote code execution op de webserver. Voorwaarde voor misbruik is wel dat het mogelijk is voor gebruikers om op getoonde evenementen te reageren en deze reacties op de WordPress-site worden weergegeven. Het beveiligingslek is verholpen in versie 6.17.4.1, die op 10 september verscheen. Sindsdien hebben zo'n 300.000 websites de update gedownload, wat inhoudt dat zo'n 300.000 WordPress-sites nog een kwetsbare versie draaien. Wordfence publiceerde op 14 september een analyse van het beveiligingslek. Inmiddels maken aanvallers ook actief misbruik van het probleem. Het cybersecuritybedrijf zegt dat het via de web application firewall die het aanbiedt de afgelopen 24 uur honderden aanvallen heeft waargenomen. bron: https://www.security.nl

Google heeft meerdere kritieke kwetsbaarheden in Chrome verholpen die remote code execution mogelijk maken. De beveiligingslekken zorgen ervoor dat alleen het bezoeken van een gehackte of malafide website of te zien krijgen van besmette advertenties voldoende voor een aanvaller is om malware op het systeem van gebruikers te plaatsen. Er is geen verdere interactie vereist. De in totaal drie kritieke problemen in de browser bevinden zich onder andere in de Web Graphics Library (WebGL), een JavaScript API die browsers gebruiken voor het weergeven van graphics. Het is een onderdeel van de browser waarin vaker kritieke problemen zijn aangetroffen. Naast de drie kritieke problemen zijn ook 39 beveiligingslekken met een lagere impact verholpen. Het gaat om 28 kwetsbaarheden met een 'high' impact. Bij kwetsbaarheden met het stempel high kan een aanvaller in het ergste geval code binnen de context van de browser uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder. Dit soort lekken zijn op zichzelf niet voldoende om een systeem over te nemen. Via kritieke kwetsbaarheden is dat wel mogelijk. Google Chrome 153.0.8010.47/.48 is beschikbaar voor macOS en Windows. Voor Linux is versie 153.0.8010.47 verschenen. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan echter een aantal dagen. Gebruikers die de update direct willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar. bron: https://www.security.nl

Tijdens de patchronde van september heeft Oracle ruim zeshonderd beveiligingslekken in een groot aantal producten gepatcht. Het bedrijf roept klanten op om de updates zo snel mogelijk te installeren. De Critical Security Patch Update van september bevat in totaal 673 nieuwe beveiligingsupdates. Zes van de verholpen kwetsbaarheden hebben de maximale CVSS-impactscore van 10.0. Het gaat onder andere om een lek in Oracle WebLogic Server, een product dat vaker het doelwit van aanvallen is geweest. Naast de 10.0-kwetsbaarheid in WebLogic Server zijn ook meerdere beveiligingslekken in het product verholpen met een 9.8-impactscore. Meer dan honderd van de door Oracle verholpen beveiligingslekken hebben een impactscore van 9.1 of hoger, wat inhoudt dat het om kritieke problemen gaat. Via deze kwetsbaarheden kunnen aanvallers systemen op afstand volledig compromitteren. Het grootste deel van deze kwetsbaarheden bevindt zich in producten die onderdeel uitmaken van Oracle Fusion Middleware, waaronder Oracle Access Manager en Oracle Internet Directory. Oracle kwam jarenlang eens per kwartaal met beveiligingsupdates, maar besloot hier naar eigen zeggen vanwege de opkomst van AI-tools, die goed zijn in het vinden van kwetsbaarheden, vanaf te wijken. Nu verschijnen er sinds mei elke maand patches. Het softwarebedrijf stelt verder dat het nog altijd meldingen over gehackte klanten ontvangt die hadden nagelaten beschikbare beveiligingsupdates te installeren. Oracle adviseert dan ook om de updates zo snel mogelijk uit te rollen. bron: https://www.security.nl

Een beveiligingslek in de Acronis backup-plug-in voor cPanel en WHM wordt actief misbruikt bij aanvallen, zo waarschuwt Acronis. De WebHost Manager (WHM) is een interface bedoeld voor hostingproviders die daarmee servers kunnen beheren en cPanel-accounts kunnen aanmaken en beheren. CPanel is een interface bedoeld voor individuele hosting-accounts. Hostingbedrijven en systeembeheerders maken er vaak gebruik van. Via de plug-in van Acronis is het mogelijk om back-ups van de volledige cPanel-server te maken. Vervolgens kan de volledige server of specifieke websites of databases die daarop draaien worden gerestored. De plug-in bevat 'onveilige bestandspermissies' waardoor een aanvaller zijn rechten kan verhogen. Acronis geeft geen verdere details over de kwetsbaarheid en waargenomen aanvallen, behalve dat actief misbruik plaatsvindt en het probleem is verholpen in versie 1.9.3 HF3. bron: https://www.security.nl

De Belgische overheid roept eigenaren van ip-camera's op om de apparaten te beveiligen, door die bijvoorbeeld in een wifi-gastnetwerk te plaatsen. Aanleiding voor de oproep van het Belgische Centrum voor Cybersecurity (CCB) is berichtgeving over aanvallers die gehackte ip-camera's gebruiken voor spionage en ddos-aanvallen. Ook zouden inbrekers zich via de beelden van gehackte ip-camera's op inbraken kunnen voorbereiden, aldus het CCB. Om de hack van een ip-camera te voorkomen adviseert de Belgische overheidsinstantie het installeren van beveiligingsupdates en uitfaseren van end-of-life apparatuur. Verder wordt aangeraden om standaardwachtwoorden te wijzigen, waar mogelijk multifactorauthenticatie te gebruiken en inactieve gebruikersaccounts te verwijderen. Het CCB raadt ook aan om ip-camera's op een ander netwerksegment te plaatsen dan het hoofdnetwerk, waarbij als voorbeeld het wifi-gastnetwerk wordt gegeven. Het beheerderspaneel moet zo worden ingesteld dat die alleen verbindingen vanaf bepaalde ip-adressen toestaat, bij voorkeur alleen vanaf het lokale netwerk. Ook moet remote toegang waar nodig worden uitgeschakeld en is het verstandiger een vpn in plaats van port forwarding te gebruiken. Het CCB adviseert verder om services zoals FTP, SNMP, SSH en UPnP uit te schakelen, alsmede DDNS (Dynamic Domain Name System) en ongebruikte poorten te blokkeren. bron: https://www.security.nl