Captain Kirk

Microsoft waarschuwt organisaties voor misbruik van een kritieke kwetsbaarheid in Entra ID waar aanvallers actief misbruik van maken. Er is een beveiligingsupdate uitgebracht om het probleem te verhelpen. Via het beveiligingslek (CVE-2026-69836) kan een ongeauthenticeerde aanvaller code uitvoeren, aldus het beveiligingsbulletin. De CVSS-impactscore van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 10.0. Entra ID, voorheen nog bekend als Azure Active Directory, is een in de cloud draaiende oplossing voor identiteits- en toegangsbeheer van Microsoft. Organisaties gebruiken het om hun gebruikers toegang tot apps en andere 'resources' te geven. Een 'deserialization of untrusted data' kwetsbaarheid in de service maakte remote code execution mogelijk. Verdere details over het probleem zijn niet door Microsoft gegeven. Het techbedrijf, dat de kwetsbaarheid zelf ontdekte, meldt wel dat aanvallers er misbruik van maakten. Dat gebeurde voordat het probleem werd gepatcht. Details over deze aanvallen zijn ook niet gegeven. Microsoft merkt op dat klanten geen verdere actie hoeven te ondernemen, omdat het probleem inmiddels is verholpen. bron: https://www.security.nl

Google heeft een beveiligingsupdate voor Chrome uitgebracht die meerdere kwetsbaarheden verhelpt, waaronder een kritiek beveiligingslek waardoor aanvallers code op het systeem van gebruikers kunnen uitvoeren. Alleen het bezoeken van een gehackte of malafide website of te zien krijgen van besmette advertenties kan dan al voldoende zijn. Er is geen verdere interactie van de gebruiker vereist. Dit soort aanvallen worden ook wel drive-by downloads genoemd. De kwetsbaarheid bevindt zich in het remote desktop protocol van de browser, door Google Chromoting genoemd. Het protocol maakt het mogelijk om een andere computer op afstand via de browser te bedienen. Het probleem werd door Google zelf gevonden en betreft een 'use after free' kwetsbaarheid. Verdere details zijn niet gegeven. Daarnaast heeft het techbedrijf ook meerdere problemen in de browser gepatcht waarvan de impact als 'High' is beoordeeld. Bij kwetsbaarheden met het stempel High kan een aanvaller in het ergste geval code binnen de context van de browser uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder. Dit soort lekken zijn op zichzelf niet voldoende om een systeem over te nemen. Via kritieke kwetsbaarheden is dat wel mogelijk. Google Chrome 151.0.7922.173/.174 is beschikbaar voor macOS en Windows. Voor Linux is versie 151.0.7922.173 verschenen. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan echter een aantal dagen tot weken duren. Gebruikers die de update direct willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar. bron: https://www.security.nl

Een kritieke kwetsbaarheid in de populaire WordPress-plug-in Elementor Pro maakt het mogelijk voor ongeauthenticeerde aanvallers om WordPress-sites volledig over te nemen. Via het beveiligingslek kan een aanvaller PHP-bestanden naar de webserver uploaden en uitvoeren. Vervolgens is het mogelijk om backdoors te installeren of malafide admin-accounts aan te maken. Cybersecuritybedrijf Patchstack verwacht dat aanvallers actief misbruik van het lek zullen gaan maken. Elementor Pro zou naar schatting op zo'n zes miljoen websites draaien. Elementor is een zogeheten "page builder" plug-in die de standaard WordPress-editor vervangt. Het biedt gebruikers meer vrijheid en mogelijkheden voor het vormgeven van hun WordPress-site en introduceert allerlei extra functionaliteit. Naast de gratis Elementor-plug-in, die op meer dan tien miljoen websites draait, is er ook de betaalde plug-in Elementor Pro die nog meer opties en mogelijkheden toevoegt. Een kritieke kwetsbaarheid in de pro-versie van de plug-in zorgt ervoor dat een aanvaller uitvoerbare bestanden naar de webserver kan uploaden. Bij het verwerken van geuploade bestanden voert de plug-in twee stappen uit. Tijdens de eerste stap wordt de extensie van het bestand gecontroleerd. Bij de tweede stap wordt het bestand naar een publiek toegankelijke directory verplaatst. De kwetsbaarheid doet zich voor wanneer een bestand wordt geupload met een lege bestandsnaam. Dit zorgt ervoor dat de resterende bestanden in hetzelfde uploadveld niet meer worden gecontroleerd, aldus cybersecuritybedrijf Wordfence. Vereiste voor misbruik is wel dat de WordPress-site een gepubliceerde Elementor-pagina met een Form widget en uploadveld heeft. De makers van Elementor Pro werden op 16 juli over de kwetsbaarheid (CVE-2026-32475) ingelicht. Op 19 augustus verscheen versie 4.2.2 waarin het probleem is verholpen. In tegenstelling tot plug-ins die via WordPress.org worden aangeboden zijn van betaalde WordPress-plug-ins geen downloadcijfers bekend. Het is daardoor onbekend hoeveel sites nog een kwetsbare versie draaien. Andere beveiligingslekken in Elementor Pro zijn in het verleden misbruikt bij aanvallen. bron: https://www.security.nl

Een kritieke kwetsbaarheid in Citrix NetScaler ADC en Citrix NetScaler Gateway kan ongeauthenticeerde aanvallers toegang tot het systeem geven. Er zijn beveiligingsupdates uitgebracht om het probleem (CVE-2026-19490) te verhelpen. Misbruik van de 'authentication bypass' is mogelijk als het systeem is geconfigureerd als Gateway (VPN-virtuele server, ICA Proxy, CVPN, RDP Proxy), AAA virtual server of SAML Identity Provider. Verdere details over het beveiligingslek zijn niet door Citrix gegeven. Citrix NetScaler ADC is een server die organisaties tussen hun servers en het internet plaatsen. De primaire functie is het verdelen van inkomend verkeer over de beschikbare servers, zodat websites en applicaties snel en goed toegankelijk blijven. Via de Citrix NetScaler Gateway kunnen medewerkers van bedrijven op afstand toegang tot bedrijfsapplicaties, bedrijfsomgevingen en intranetten krijgen. Het wordt dan ook veel voor thuiswerken gebruikt. De impact van een gecompromitteerd Citrix NetScaler-systeem kan dan ook groot zijn. Organisaties worden door Citrix opgeroepen om de updates zo snel mogelijk te installeren. Cybersecuritybedrijf Rapid7 meldt dat Citrix-systemen een belangrijk doelwit voor aanvallers zijn en vaak met misbruik te maken krijgen. Organisaties zouden het patchen van deze systemen dan ook de hoogste prioriteit moeten geven. Het Amerikaanse cyberagentschap CISA houdt een overzicht bij van aangevallen kwetsbaarheden, waaronder in producten van Citrix. In het overzicht komen 22 unieke Citrix-kwetsbaarheden voor. bron: https://www.security.nl

Een kritieke kwetsbaarheid in GitLab, de populaire online DevOps-tool voor het ontwikkelen van software, wordt twee dagen na het uitkomen van de beveiligingsupdate al misbruikt bij aanvallen. Dat laat cybersecuritybedrijf watchTowr weten. Door het beveiligingslek kan een ongeauthenticeerde aanvaller via een GraphQL-directive publieke projecten en gebruikersdata aanpassen of verwijderen, aldus het beveiligingsbulletin over de kwetsbaarheid (CVE-2026-19478). De CVSS-impactscore van het probleem is op een schaal van 1 tot en met 10 beoordeeld met een 9.4. GitLab kwam op 17 augustus met beveiligingsupdates voor de kwetsbaarheid. Gisteren meldde het Computer Security Incident Response Team van de Italiaanse overheid (CSIRT Italia) via X dat proof-of-concept exploitcode om misbruik van het lek te kunnen maken online was verschenen. Cybersecurity watchTowr heeft gisteren ook misbruik waargenomen. "Het recent onthulde code injection lek laat een ongeauthenticeerde aanvaller publiek toegankelijke GitLab-projecten verwijderen en hun state herschrijven, repositories volledig verwijderen, merge records vervalsen of maintainers via één enkel HTTP request verbannen, zonder dat hiervoor inloggegevens, interactie van gebruikers of ongebruikelijke configuraties voor zijn vereist", zegt onderzoeker Jake Knott tegenover SecurityWeek. bron: https://www.security.nl

Een kritieke kwetsbaarheid in de Windows Internet Key Exchange (IKE)-extensie, die remote code execution op Windowssystemen mogelijk (RCE) maakt, wordt misbruikt bij aanvallen. Dat meldt het Amerikaanse cyberagentschap CISA. Microsoft kwam op 14 april dit jaar met een beveiligingsupdate voor het lek, aangeduid als CVE-2026-33824. Internet Key Exchange is een protocol voor het opzetten van een beveiligd kanaal over ip-netwerken, bijvoorbeeld via IPsec of vpn. De IKE-extensie voorziet het protocol van extra mogelijkheden. CVE-2026-33824 betreft een 'double free' kwetsbaarheid in de extensie waardoor een ongeauthenticeerde aanvaller code op systemen kan uitvoeren met SYSTEM-rechten. Hiervoor moet een aanvaller speciaal geprepareerde pakketten sturen naar een Windowssysteem waarop IKE versie 2 staat ingeschakeld. Het beveiligingslek, aanwezig in alle ondersteunde versies van Windows, heeft een CVSS-impactscore van 9.8 op een schaal van 1 tot en met 10. Cybersecuritybedrijf ZDI waarschuwde bij het uitkomen van de beveiligingsupdates voor het probleem. De kwetsbaarheid zou namelijk door een computerworm zijn te gebruiken, die zich zonder interactie van gebruikers kan verspreiden. Daarnaast laat het aanvallers die al toegang tot een netwerk hebben zich lateraal naar andere systemen bewegen. Organisaties werden opgeroepen om de patches snel te installeren. Microsoft stelde in het beveiligingsbulletin dat het misbruik van de kwetsbaarheid 'less likely' achtte. Aanvallers maken echter misbruik van het probleem, aldus het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security. Details over de aanvallen zijn niet gegeven. Wel zijn Amerikaanse overheidsinstanties door het CISA opgedragen om de updates binnen drie dagen te installeren mocht dat nog niet zijn gedaan. bron: https://www.security.nl

Microsoft heeft voor it-professionals een handleiding gepubliceerd met opties en scenario's voor het herstellen van Windowscomputers, bijvoorbeeld in het geval van grootschalige uitval zoals met de wereldwijde CrowdStrike-storing gebeurde. Twee jaar geleden zorgde een defecte update voor de beveiligingssoftware van CrowdStrike dat naar schatting 8,5 miljoen Windowscomputer stopten met werken. Een groot aantal daarvan moest handmatig worden hersteld. Microsoft kondigde vervolgens verschillende initiatieven aan om 'Windows device recovery' te verbeteren. Volgens Microsoft zijn de herstelmogelijkheden van Windowscomputers het afgelopen jaar sterk verbeterd. In de nu gepubliceerde handleiding worden verschillende scenario's beschreven, zoals problemen met individuele systemen na de installatie van een update, een beschadigd geraakt besturingssysteem of grootschalige uitval waardoor systemen niet meer kunnen opstarten. Voor dergelijke scenario's ontwikkelde Microsoft verschillende oplossingen, zoals Quick machine recovery (QMR), Cloud rebuild en point-in-time restore. QMR is een tool die IT-beheerders de mogelijkheid biedt opstartproblemen van Windows 11-systemen op afstand op te lossen. Indien een systeem niet kan opstarten, wordt de Windows Recovery Environment (WinRE) geladen en QMR gestart. De tool verstuurt vervolgens via internet informatie over het probleem naar Microsoft. IT-beheerders kunnen vervolgens eventuele problematische updates op afstand verwijderen en instellingen aanpassen om het opstartprobleem te verhelpen. Point-in-time restore maakt automatisch herstelpunten aan en bewaart die lokaal op het systeem. Zo kunnen gebruikers en beheerders het besturingssysteem, geïnstalleerde applicaties, systeem- en applicatieconfiguraties, instellingen en lokale gebruikersbestanden herstellen. Microsoft stelt dat er een verschil is met de System Restore feature waarover Windows al beschikt. Zo worden bij point-in-time restore gebruikersbestanden wel opgeslagen. Bij Cloud rebuild wordt het besturingssysteem opnieuw geïnstalleerd, waarbij er een Windows-image vanuit de cloud wordt gedownload. Herstel vereist zo geen usb-stick of fysieke toegang tot het systeem. Microsoft stelt dat computerstoringen vele vormen kunnen aannemen, zoals een verkeerd ingesteld policy die ervoor zorgt dat duizenden computers niet meer opstarten, tot defecte hardware of gebruikers die belangrijke systeeminstellingen aanpassen. Door verschillende tools en opties aan te bieden zou herstel van systemen sneller moeten kunnen plaatsvinden, claimt het techbedrijf. bron: https://www.security.nl

Google heeft kritieke kwetsbaarheden in Chrome gedicht die remote code execution (RCE) mogelijk maken. Alleen het bezoeken van een gehackte of malafide website of te zien krijgen van een besmette advertentie is voldoende voor aanvallers om via de beveiligingslekken code op de systemen van Chrome-gebruikers uit te voeren. Er is geen verdere interactie vereist. De in totaal twee kritieke beveiligingslekken betreffen buffer overflows in WebGL en Dawn, twee onderdelen die betrokken zijn bij het weergeven van websites en afbeeldingen. Beide problemen werden door Google zelf gevonden. Daarnaast heeft het techbedrijf ook meerdere problemen in de browser gepatcht waarvan de impact als 'High' is beoordeeld. Bij kwetsbaarheden met het stempel High kan een aanvaller in het ergste geval code binnen de context van de browser uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder. Dit soort lekken zijn op zichzelf niet voldoende om een systeem over te nemen. Via kritieke kwetsbaarheden is dat wel mogelijk. Google Chrome 151.0.7922.169/.170 is beschikbaar voor macOS en Windows. Voor Linux is versie 151.0.7922.169 verschenen. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan echter een aantal dagen tot weken duren. Gebruikers die de update direct willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar. bron: https://www.security.nl

Nederlandse Firefox-gebruikers kunnen vanaf nu de Nederlandse zoekmachine Startpage als ingebouwde zoekoptie kiezen, zo laat Mozilla weten. Volgens de Firefox-ontwikkelaar maken gebruikers al lange tijd gebruik van Startpage en gaat het om meer dan een miljard zoekopdrachten per jaar die Firefox-gebruikers via de zoekmachine uitvoeren. Het gebruik van Startpage vereiste voorheen het gebruik van een extensie, handmatige instelling of workaround, aldus Mozilla. Met de lancering van Firefox 154 is Startpage nu één van de standaard ingebouwde zoekopties waar gebruikers uit kunnen zien. De optie is beschikbaar voor desktopgebruikers in Nederland, Duitsland, Frankrijk, Oostenrijk en Zwitserland. Startpage verschijnt binnenkort ook als optie in Firefox voor Android en iOS. Mozilla stelt dat Startpage hoogwaardige zoekresultaten levert zonder dat dit ten koste van de privacy gaat. "Het toevoegen van Startpage maakt een echte private zoekmachine-optie, met echte resultaten, nul profilering en AI-vrij, één klik verwijderd voor miljoenen mensen in Europa", zegt Ajit Varma, hoofd van Firefox. "Deze lancering vindt als eerste plaats in de thuismarkten van Startpage: een in Nederland gevestigde zoekmachine, nu ingebouwd in de browser voor enkele van de meest privacybewuste gebruikers in de wereld. Op een moment dat zoveel van de internetervaring wordt bepaald door een handvol grote bedrijven, is een zoekoptie die privé by design is en van Europese oorsprong geen kleinigheid", laat Mozilla verder weten. bron: https://www.security.nl

Oracle heeft tijdens de patchronde van augustus 943 beveiligingsupdates voor kritieke kwetsbaarheden in een groot aantal producten uitgerold. Klanten worden opgeroepen om de patches meteen te installeren. Oracle zegt dat het geregeld berichten ontvangt van klanten die via een Oracle-lek zijn gehackt waarvoor een update beschikbaar was. Klanten hadden echter nagelaten de beschikbare updates te installeren. De 943 uitgebrachte patches willen niet zeggen dat er ook 943 kwetsbaarheden zijn verholpen. Eén kwetsbaarheid kan namelijk in meerdere Oracle-producten aanwezig zijn, maar wel aparte patches ontvangen. Vorige maand meldde Oracle ook nog het aantal unieke kwetsbaarheden, maar heeft dat nu nagelaten. Wel laten de CVSS-impactscore zien dat het om een groot aantal kritieke beveiligingslekken gaat. Zo zijn er 89 patches met een impactscore van 9.8 of hoger op een schaal van 1 tot en met 10, waaronder drie 10.0-kwetsbaarheden. Het grootste aantal kritieke problemen bevindt zich in producten die onderdeel zijn van Oracle Fusion Middleware, zoals Oracle Internet Directory, Oracle Identity Manager, Oracle Managed File Transfer en Oracle WebLogic Server. Producten die in het verleden ook geregeld het doelwit van aanvallen zijn geweest. Er is ook een kritiek lek in Oracle PeopleSoft gepatcht, een platform dat recentelijk nog het doelwit was van aanvallen door de criminele groepering ShinyHunters. Oracle kwam jarenlang eens per kwartaal met beveiligingsupdates, maar besloot hier naar eigen zeggen vanwege de opkomst van AI-tools, die goed zijn in het vinden van kwetsbaarheden, vanaf te wijken. Nu verschijnen er sinds mei elke maand patches. bron: https://www.security.nl

Mozilla heeft vandaag een nieuwe versie van Firefox gelanceerd die over een ingebouwde AI-assistent beschikt. Daarnaast kondigt de browser-ontwikkelaar een samenwerking aan met AI-bedrijf Exa. Mozilla omschrijft 'Smart Window', zoals de AI-assistent wordt genoemd, als een 'AI-powered browsing experience'. De chatbot kijkt bij het beantwoorden van vragen van gebruikers onder andere naar geopende tabs en eerder bezochte websites. Als onderdeel van de samenwerking met AI-bedrijf Exa kan Smart Window informatie van het internet halen en de gebruikte bronnen tonen, zonder dat hiervoor een aparte resultatenpagina wordt geladen. Ook kan Smart Window suggesties doen om geopende tabs te groeperen. Smart Window bevindt zich in de bètafase en Mozilla is van plan om de komende tijd nieuw features toe te voegen. Tegelijkertijd met de aankondiging van Smart Window laat Mozilla weten dat het samenwerkt met AI-bedrijf Exa. De diensten van het bedrijf worden gebruikt in Smart Window en de Quick Answers-functie binnen Firefox voor iOS. Mozilla voegt toe dat er meer samenwerkingen zoals met Exa zullen plaatsvinden. Smart Window is beschikbaar in Firefox 154. De browser beschikt over een ingebouwde optie om AI-features uit te schakelen. bron: https://www.security.nl

Microsoft heeft een kritieke kwetsbaarheid in AI-assistent Copilot verholpen waardoor informatie kon lekken. Het beveiligingslek werd gevonden door cybersecuritybedrijf Varonis, dat het probleem 'CoSnitch' noemt. Het probleem, ook aangeduid als CVE-2026-24301, werd afgelopen december aan Microsoft gerapporteerd en is vandaag gepatcht. Het beveiligingsbulletin van Microsoft bevat geen details over de kwetsbaarheid, behalve dat de chatbot niet goed omging met 'speciale elementen gebruikt in een commando'. Varonis publiceerde een blogposting waarin het probleem wordt omschreven. De onderzoekers wisten via Copilot een ongedocumenteerde url-parameter te achterhalen die ervoor zorgt dat een prompt van de aanvaller meteen bij het laden van de pagina door de chatbot wordt uitgevoerd. De onderzoekers beschrijven een aanval waarbij het slachtoffer eerst een speciaal geprepareerde url van de aanvaller opent die naar copilot.microsoft.com/?q=[malafide prompt]&autorun=1 linkt. Deze url laadt copilot.microsoft.com in de actieve, ingelogde sessie van het slachtoffer. Vervolgens zorgt de url-parameter ervoor dat de prompt van de aanvaller meteen wordt uitgevoerd. Copilot verwerkt de prompt en kan bijvoorbeeld informatie uit 'connected apps' en het geheugen stelen en naar de aanvallers terugsturen. Volgens Varonis moeten bedrijven AI-assistenten zoals Copilot als een 'privileged insider' behandelen. Daarnaast kunnen organisaties, omdat de aanval begint met een slachtoffer dat op een link klikt, overwegen of url's van AI-assitenten extra controle verdienen. bron: https://www.security.nl

Microsoft is begonnen met het volledig verwijderen van de Windows Management Instrumentation Command-line (WMIC)-tool uit Windows 11. WMIC is een command-line tool waarmee gebruikers vanaf de command prompt WMI-operaties kunnen uitvoeren. WMI biedt een interface voor verschillende beheerfuncties. Zo kunnen systeembeheerders via WMI-scripts allerlei taken op beheerde computers automatiseren. WMIC wordt echter ook geregeld bij 'living off the land' aanvallen ingezet. Hierbij maken aanvallers gebruik van tooling die al op het systeem aanwezig is, wat detectie lastiger moet maken. Microsoft kondigde eerder al plannen aan om WMIC uit te faseren. Nu meldt het techbedrijf dat de Windows Management Instrumentation Command-line in de nieuwste testversie van Windows 11 is verwijderd. Het gaat om de Windows 11 Insider Beta (26H1) Preview. Als vervanger voor WMIC wijst Microsoft naar PowerShell. Wanneer de aanpassing in de standaarde release van Windows 11 wordt doorgevoerd is nog niet bekendgemaakt. bron: https://www.security.nl

GeoServer heeft een beveiligingsupdate gepubliceerd voor een kritiek SQL Injection-lek in GeoTools waar aanvallers al misbruik van maakten voordat de patch beschikbaar was. GeoTools is een library voor het verwerken van geospatiale data. GeoServer is een op GeoTools gebaseerde opensourceserver waarmee gebruikers geografische gegevens kunnen delen, bewerken en publiceren. GeoServer en GeoTools zijn in het verleden vaker het doelwit van aanvallen geweest. Onlangs werd bekend dat GeoServer een kwetsbaarheid bevat waardoor SQL Injection mogelijk is. Bij SQL-injection kan een aanvaller SQL-opdrachten op een systeem uitvoeren. Het is een probleem dat al sinds 1998 bekend is, maar nog altijd voorkomt omdat webontwikkelaars onveilig programmeren en organisaties hun applicaties niet laten controleren. "De genoemde kwetsbaarheid is een oudere kwetsbaarheid, waarvan recentelijk is gebleken dat deze niet adequaat is verholpen. De kwetsbaarheid stelde een kwaadwillende in staat om willekeurige SQL-code uit te voeren in de onderliggende database", aldus het Nationaal Cyber Security Centrum (NCSC). The Shadowserver Foundation, een stichting die zich bezighoudt met de bestrijding van cybercrime en onderzoek doet naar kwetsbare systemen op internet, meldt dat het RondoDox-botnet de kwetsbaarheid probeert uit te buiten. Op basis van een online scan ontdekte Shadowserver meer dan 1500 GeoServer-installaties wereldwijd die vanaf het internet toegankelijk zijn. Het gaat ook om 39 servers in Nederland. Bij de scan is niet gekeken of de servers ook kwetsbaar zijn. Het RondoDox-botnet gebruikt allerlei soorten kwetsbaarheden om tal van systemen te kunnen aanvallen. Besmette apparaten worden vervolgens ingezet voor het uitvoeren van ddos-aanvallen. bron: https://www.security.nl

Een kritieke kwetsbaarheid in Citrix NetScaler ADC en Citrix NetScaler Gateway die remote code execution (RCE) mogelijk maakt wordt misbruikt bij aanvallen, zo melden onderzoekers. Vorige week liet cybersecuritybedrijf watchTowr weten dat het probleem (CVE-2026-8452) ongeauthenticeerde aanvallers ook code op kwetsbare systemen laat uitvoeren. Citrix kwam op 30 juni met beveiligingsupdates. In het beveiligingsbulletin stelde het bedrijf dat de kwetsbaarheid kan leiden tot 'onvoorspelbaar of foutief' gedrag en denial of service. Citrix NetScaler ADC is een server die organisaties tussen hun servers en het internet plaatsen. De primaire functie is het verdelen van inkomend verkeer over de beschikbare servers, zodat websites en applicaties snel en goed toegankelijk blijven. Via de Citrix NetScaler Gateway kunnen medewerkers van bedrijven op afstand toegang tot bedrijfsapplicaties, bedrijfsomgevingen en intranetten krijgen. Het wordt dan ook veel voor thuiswerken gebruikt. De impact van een gecompromitteerd Citrix NetScaler-systeem kan dan ook groot zijn. WatchTowr liet afgelopen vrijdag zien hoe CVE-2026-8452 is te gebruiken om code als root uit te voeren en via het lek een webshell te installeren, waarmee er toegang tot het gehackte Citrix-systeem wordt behouden en verdere aanvallen zijn uit te voeren. Niet lang na de publicatie van de technische details werd het eerste misbruik gesignaleerd, zo melden cybersecuritybedrijf Defused en de Britse beveiligingsonderzoeker Kevin Beaumont. Die voegt toe dat het aantal slachtoffers waarschijnlijk zal meevallen, omdat de meeste organisaties hun Citrix-systeem niet als SAML (Security Assertion Markup Language) Identity Provider (IdP) hebben ingesteld, wat de vereiste is voor misbruik. bron: https://www.security.nl

Honderdduizenden WordPress-sites missen een beveiligingsupdate voor een kritieke kwetsbaarheid in de plug-in Forminator Forms. Via het beveiligingslek kan een ongeauthenticeerde aanvaller willekeurige bestanden naar de webserver uploaden en afhankelijk van de gebruikte configuratie ook op de server uitvoeren. Zodoende kan er volledige controle over de website worden verkregen en zijn allerlei verdere aanvallen mogelijk. Forminator Forms is een plug-in waarmee WordPress-beheerders eenvoudig contactformulieren, betaalformulieren en andere webformulieren kunnen maken, alsmede polls, quizzen en de mogelijkheid voor het uploaden van bestanden. Meer dan 600.000 WordPress-sites maken er gebruik van. Een kwetsbaarheid in de plug-in maakt het mogelijk voor een ongeauthenticeerde aanvaller om PHP-bestanden naar de webserver te uploaden. Dit is mede mogelijk doordat de controle op gevaarlijke bestandstypes die worden geupload niet waterdicht is. In de standaarconfiguratie worden bestanden geupload naar een directory die via een .htaccess bestand is beveiligd en zo het uitvoeren van PHP-code voorkomt. Als een WordPress-beheerder echter een aparte directory voor geuploade bestanden heeft ingesteld, kan het zijn dat de .htaccess hier niet op van toepassing is, laat cybersecuritybedrijf Wordfence weten. Dat heeft nu de technische details van het probleem openbaar gemaakt. De ontwikkelaar van Forminator Forms kwam op 30 juli met versie 1.56.2 waarin het probleem is verholpen. Uit cijfers van WordPress.org blijkt dat zo'n 350.000 websites de update niet hebben geïnstalleerd en zodoende risico lopen. bron: https://www.security.nl

Firefox voor iOS beschikt nu over een ingebouwde adblocker, zo laat Mozilla weten. De adblocker staat niet standaard ingeschakeld. Mozilla spreekt dan ook over een 'optionele adblocker'. Voor het blokkeren van trackers en advertenties maakt de adblocker gebruik van een op de EasyList gebaseerde filterlijst. EasyList is een lijst met allerlei trackers en advertenties. Volgens Mozilla probeert de adblocker zoveel mogelijk advertenties te blokkeren voordat ze kunnen worden geladen. Advertenties op de resultatenpagina van zoekmachines worden niet geblokkeerd, alsmede gesponsorde content op de startpagina en nieuwe tabbladen van Firefox. Vorige week kwam Mozilla in het nieuws omdat het nogmaals herhaalde dat Firefox als enige grote browser adblocker uBlock blijft ondersteunen. bron: https://www.security.nl

Microsoft verwacht dat AI voor meer beveiligingsupdates tijdens Patch Tuesday zal zorgen, zo laat het techbedrijf aan klanten weten. Volgens Microsoft zorgt AI ervoor kwetsbaarheden in groten getale en sneller worden gevonden. Dit zorgt echter ook voor meer beveiligingsupdates tijdens de vaste patchdinsdagen van Microsoft. Iets waar klanten rekening mee moeten houden. Volgens Microsoft is het belangrijk dat gebruikers en klanten updates zo snel mogelijk installeren. "Snel patchen is één van de meest effectieve manieren om kwetsbaarheden te verminderen, zeker nu AI de snelheid vergroot waarmee kwetsbaarheden kunnen worden gevonden en misbruikt." Het techbedrijf voegt toe dat de situatie bij elke klant anders is. "Veel organisaties moeten een risicoanalyse maken, updates controleren, de uitrol in de juiste volgorde uitvoeren en belangrijke systemen voorrang geven." Microsoft adviseert deze organisaties om hun belangrijkste systemen op basis van de beveiligingsbulletins eerst te beschermen. Onlangs besloot Oracle om wegens de ontwikkeling van AI-tools die kwetsbaarheden kunnen vinden en verhelpen om voortaan elke maand kritieke beveiligingsupdates uit te brengen. Het softwarebedrijf kwam voorheen ééns per kwartaal met patches, maar dat is volgens Oracle door de komst van AI niet langer houdbaar. bron: https://www.security.nl

Cisco komt op 15 juli met belangrijke updates voor kwetsbaarheden in Cisco Identity Services Engine (ISE). Dat staat in een vooraankondiging van het netwerkbedrijf. Details over de beveiligingslekken zijn niet gegeven. Cisco ISE is een 'network access control' oplossing waarmee organisaties kunnen beheren welke endpoints, gebruikers en apparaten toegang tot het netwerk krijgen. Kwetsbaarheden in Cisco ISE (CVE-2025-20337 en CVE-2025-20281) zijn in het verleden vaker gebruikt bij aanvallen, zo blijkt uit een overzicht van het Amerikaanse cyberagentschap CISA. Eind juni publiceerde Cisco voor het eerst een 'Advance Notification for Publication', toen wegens belangrijke updates voor Cisco Catalyst Center en antivirussoftware ClamAV die voor 1 juli gepland stonden. bron: https://www.security.nl

Microsoft heeft drie weken na de aankondiging een beveiligingsupdate uitgebracht voor het 'RoguePlanet-lek' in Windows Defender, de in Windows ingebouwde virusscanner. Op 16 juni waarschuwde Microsoft voor het probleem waardoor een lokale gebruiker of een aanvaller die al toegang tot een systeem heeft SYSTEM-rechten kan krijgen. Hiermee heeft een aanvaller volledige controle over het systeem. Een week voordat Microsoft met het beveiligingsbulletin kwam publiceerde een onderzoeker op internet de details van het 'RoguePlanet-lek', inclusief proof-of-concept exploitcode. De betreffende onderzoeker publiceerde eerder al verschillende andere kwetsbaarheden in Windows, waaronder een lek in encryptiesoftware BitLocker genaamd YellowKey. Voor alle beveiligingslekken waren op het moment van de publicatie nog geen beveiligingsupdates van Microsoft beschikbaar, zo ook voor het RoguePlanet-lek. Microsoft stelde in het beveiligingsbulletin dat het aan een oplossing werkte. Het techbedrijf meldde ook dat het verwachtte dat aanvallers misbruik van het probleem zouden gaan maken. Gisterenavond kwam Microsoft met een update voor de kwetsbaarheid (CVE-2026-50656). Standaard worden updates voor Defender automatisch geïnstalleerd. Microsoft adviseert zowel bedrijven als eindgebruikers het automatisch updaten te gebruiken. Daarnaast wordt aangeraden om wel periodiek te controleren of de virusscanner nog automatisch updates ontvangt. bron: https://www.security.nl

Nextcloud heeft door een configuratiefout de gegevens van klanten en medewerkers gelekt. Het ging om een fout met de hostingconfiguratie waardoor een Elasticsearch-database van het bedrijf voor iedereen op internet toegankelijk was, zo meldt Cybernews. In de database werden 367.000 interne records gevonden. Het ging onder andere om facturen, contracten, e-mails, installatiescripts en gegevens van medewerkers en klanten. Elasticsearch is zoekmachinesoftware voor het indexeren van allerlei soorten informatie. Het wordt onder andere ingezet voor het doorzoeken van websites, documenten en applicaties, maar is ook te gebruiken voor analytics, monitoring en data-analyse. Het komt geregeld voor dat onbeveiligde Elasticsearch-databases voor datalekken zorgen. De gevonden scripts waren voor klanten ontwikkeld zodat die de diensten van Nextcloud met hun systemen kunnen integreren. De informatie in deze scripts zou aanvallers bij verdere aanvallen kunnen helpen, aldus Cybernews. Nextcloud is een suite van producten die een alternatief voor Microsoft 365 kan zijn, zo liet minister Heerma van Binnenlandse Zaken onlangs nog weten. Nextcloud stelt in een reactie op het datalek dat de servers van klanten niet zijn getroffen. Daarnaast zegt het bedrijf dat er geen aanwijzingen zijn gevonden die op misbruik van de gelekte data wijzen. Het probleem met de onbeveiligde database werd op 25 mei aan Nextcloud gemeld en was op 27 mei verholpen. bron: https://www.security.nl

De nieuwste versie van de DuckDuckGo Browser blokkeert nu ook standaard advertenties op YouTube, zo heeft ontwikkelaar DuckDuckGo aangekondigd. 'YouTube Ad Blocking' zoals de feature heet staat standaard ingeschakeld bij de meeste gebruikers op iOS, Windows en macOS. Binnenkort zal de feature ook bij Android-gebruikers automatisch worden ingeschakeld, maar in de tussentijd kunnen die de feature zelf inschakelen. Voor het detecteren en blokkeren van YouTube-advertenties maakt DuckDuckGo Browser gebruik van filterlijsten afkomstig van adblocker uBlock Origin. Daarnaast kan DuckDuckGo ook eigen rules toepassen. De browser-ontwikkelaar waarschuwt dat het gebruik van de adblocker soms voor extra laadtijden kan zorgen. DuckDuck is vooral bekend van de zoekmachine, maar lanceerde in 2022 ook een eigen browser. bron: https://www.security.nl

Proton, het bedrijf achter de gelijknamige vpn- en maildienst, heeft uitgehaald naar de aanwezigheid van het Global Device ID (GDID) in Windows. Deze week werd bekend dat de FBI door middel van het GDID een verdachte wist op te sporen die van allerlei ransomware-aanvallen wordt verdacht, ook al maakte die gebruik van een vpn. Veel details over het GDID ontbreken echter. Microsoft heeft nauwelijks informatie over deze identifier openbaar gemaakt. "Als je van Windows gebruikmaakt weet je waarschijnlijk dat je laptop je bespioneert. Deze week werden we eraan herinnerd hoe groot de privacyinbreuk is van Microsofts overal aanwezige besturingssysteem", aldus Proton. Het bestaan van het GDID werd genoemd in de aanklacht tegen de verdachte. Daarin stond vermeld hoe de FBI via het GDID dat Microsoft aan de opsporingsdienst verstrekte de verdachte op het spoor kwam. "Het GDID roept belangrijke vragen op over toestemming van gebruikers en wie eigenlijk de eigenaar is van de hardware waarvoor je betaalt. Je wordt nooit gevraagd om akkoord te gaan met het GDID op je apparaat, en er is geen eenvoudige manier om het te verwijderen. Zelfs het opnieuw installeren van Windows is slechts een gedeeltelijke oplossing", aldus de vpn- en mailprovider. Proton merkt op dat alle grote commerciële besturingssystemen waaronder Android, iOS en macOS zeer waarschijnlijk apparaten uniek kunnen identificeren. "Helaas accepteren de meeste mensen deze situatie gewoon. Voor degenen die dit niet doen, is de enige praktische manier om dit te voorkomen het gebruik van opensource-besturingssystemen zoals Linux." bron: https://www.security.nl

Mozilla gaat de iOS-versie van Firefox voorzien van een ingebouwde adblocker en vpn-feature, zo heeft de ontwikkelaar in een roadmap aangekondigd. De vpn, die al in de desktopversie van Firefox aanwezig is, komt ook beschikbaar voor de Androidversie van de browser. De roadmap beschrijft verschillende features en aanpassingen die Mozilla de komende tijd aan Firefox wil doorvoeren. In de categorie 'Privacy Controls' noemt Mozilla verschillende zaken. Zo wordt de vpn-feature die eerder aan desktopversie werd toegevoegd uitgebreid naar de Android- en iOS-versies. De ingebouwde vpn-functie, die inmiddels ook voor Nederlandse gebruikers beschikbaar is, laat het verkeer van gebruikers via een proxy lopen. Dat maakt het volgens Mozilla een eenvoudige manier om te voorkomen dat Big Tech het ip-adres van gebruikers kan tracken. De iOS-versie van Firefox krijgt daarnaast een ingebouwde adblocker voor het blokkeren van trackers en advertenties. Er wordt geen melding gemaakt van een adblocker voor Android of de desktop, maar voor de deskopversie zijn bijvoorbeeld al allerlei adblockers via extensies beschikbaar. Verder wordt het mogelijk om in 'privénavigatie' via één klik alle cookies te verwijderen en krijgt Firefox Sync ondersteuning van passkeys. Mozilla laat niet weten wanneer de features aan Firefox worden toegevoegd. bron: https://www.security.nl

Joomla-websites worden actief aangevallen via twee kritieke kwetsbaarheden in page builder-extensies voor het platform, zo meldt het Amerikaanse cyberagentschap CISA. Via de beveiligingslekken in Page Builder CK en SP Page Builder kan een ongeauthenticeerde aanvaller uitvoerbare bestanden uploaden wat tot remote code execution op de webserver leidt. De impact van de twee kwetsbaarheden (CVE-2026-48908 en CVE-2026-56290) is met de maximale CVSS-score van 10.0 op een schaal van 1 tot en met 10 beoordeeld. Joomla is een contentmanagementsysteem (CMS) dat volgens W3Techs voor meer dan één procent van alle websites op internet wordt gebruikt. Voor Joomla zijn allerlei page builder-extensies beschikbaar die het eenvoudiger maken om een Joomla-website te maken. Voor de kwetsbaarheden in Page Builder CK en SP Page Builder verschenen eind juni updates. Gisterenavond meldde het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security dat aanvallers misbruik van beide problemen maken. Details over de aanvallen zijn niet gegeven. Onlangs werd bekend dat aanvallers ook misbruik maken van een kritieke kwetsbaarheid in de Joomla Content Editor (JCE). bron: https://www.security.nl