Captain Kirk

Vanuit mijn optiek gezien, mijn advies: Indien je nog dus wel, ook al is het via je beschreven omweg, bij de data kunt, je data veilig stellen. Volgens toch contact opzoeken met de beheerder. Deze zal het systeem opnieuw kunnen installeren. Ik heb het idee dat hier iemand met een niet-Windows-progje heeft zitten klieren om wat voor reden dan ook. Wie of wat is voor jullie een mooi klusje om uit te zoeken.

Een kritieke kwetsbaarheid in ConnectWise ScreenConnect maakt het mogelijk voor aanvallers om code op kwetsbare client-systemen uit te voeren. ConnectWise heeft een update uitgebracht om het probleem (CVE-2026-84869) te verhelpen. De CVSS-impactscore van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.9. ScreenConnect is software om systemen op afstand mee te beheren en monitoren. Managed serviceproviders (MSP's) maken er gebruik van om de systemen van hun klanten te beheren. Kwetsbaarheden in ScreenConnect zijn in het verleden bij grootschalige aanvallen gebruikt, onder andere voor de verspreiding van ransomware. CVE-2026-84869 betreft een probleem met het overzetten van bestanden in ScreenConnect Remote Access Support en Access sessions. Hierdoor is het mogelijk om via een actieve remote sessie zonder autorisatie of 'Host confirmation' bestanden naar ScreenConnect-clients te kopiëren en daar uit te voeren. Het probleem raakt zowel cloud als on-premises installaties. ConnectWise waarschuwde op 3 september al voor het probleem, maar had toen nog geen beveiligingsupdate beschikbaar. Wel werden er tijdelijke mitigatiemaatregelen gegeven. Een patch is nu wel beschikbaar, die van ConnectWise de hoogste prioriteit heeft gekregen. De leverancier doet dit alleen bij kwetsbaarheden waar al misbruik van wordt gemaakt of die risico op misbruik lopen. Cloud deployments zijn al automatisch gepatcht. Organisaties met on-premises installaties moeten dit zelf doen. bron: https://www.security.nl

Aanvallers zijn er onlangs in geslaagd om vierhonderd organisaties te hacken via kwetsbaarheden in PaperCut MF/NG. Dat meldt cybersecuritybedrijf GreyNoise op basis van eigen onderzoek. Op 27 augustus waarschuwde PaperCut voor actief misbruik van kwetsbaarheden in PaperCut MF/NG. Een dag later volgden noodpatches. PaperCut NG en MF zijn oplossingen waarmee organisaties allerlei printgerelateerde zaken kunnen beheren, zoals het inzien van het aantal geprinte pagina's, beheer van print queues, toevoegen van watermerken en access control. Volgens GreyNoise heeft een aanvaller met behulp van AI een exploit voor de PaperCut NG/MF-lekken CVE-2026-81578 en CVE-2026-82078 ontwikkeld en getest. Vervolgens werd de exploit toegepast, waarbij zeker 440 PaperCut NG/MF-servers van 395 organisaties in 48 landen werden gecompromitteerd. "PaperCut NG en MF zijn self-hosted Java-webapplicaties die standaard op Windows met SYSTEM-rechten draaien en meestal domain-joined en geïntegreerd met Active Directory zijn", aldus GreyNoise. Volgens de onderzoekers is het onduidelijk of de aanvaller zich alleen richt op het verkrijgen van toegang, die daarna wordt doorverkocht aan andere cybercriminelen, of dat verdere aanvallen zoals ransomware en datadiefstal nog zullen volgen. "Als deze kwetsbaarheden niet worden aangepakt, kunnen aanvallers de controle over de printomgeving overnemen en toegang krijgen tot andere systemen in je netwerk. Dit kan leiden tot het uitvoeren van schadelijke acties, zoals het stelen van gegevens of het verstoren van de bedrijfsvoering, met grote schade tot gevolg", zo waarschuwde het Nationaal Cyber Security Centrum (NCSC) naar aanleiding van de PaperCut-lekken. Uit onderzoek van The Shadowserver Foundation blijkt dat nog honderd PaperCut-servers vanaf het internet toegankelijk zijn die de noodpatches missen. bron: https://www.security.nl

347.000 klanten van cryptowallet Trezor zijn het doelwit geworden van een phishingaanval waarbij er werd geprobeerd om toegang tot hun cryptovaluta te krijgen, zo laat het bedrijf weten. Deze klanten moeten er ook rekening mee houden dat hun e-mailadres in de toekomst voor phishingmails zal worden gebruikt. De phishingaanval vond plaats via Brevo, een e-mailprovider die Trezor gebruikt voor het versturen van nieuwsbrieven. Volgens Trezor wisten aanvallers bij Brevo toegang te krijgen tot de accounts van honderdtwintig klanten. Via verschillende van deze accounts werden vervolgens phishingmails verstuurd, waaronder het account van Trezor. Het bedrijf biedt een apparaatje dat de keys bevat waarmee gebruikers toegang tot hun cryptovaluta kunnen krijgen. In de phishingmail die aanvallers verstuurden werd beweerd dat een bug in een microcontroller van de Trezor-wallet het mogelijk maakte om de seed phrases van de cryptowallet te brute-forcen en zo toegang tot de cryptovaluta van de gebruiker te krijgen. De phishingmail linkte naar een phishingsite die gebruikers vroeg een app te installeren. Deze app vroeg gebruikers om hun recovery seed, waarmee er toegang tot hun cryptowallet kon worden verkregen. Trezor meldt dat het phishingdomein binnen twintig minuten offline werd gehaald. 2500 mensen hadden toen al op de phishinglink geklikt. Gebruikers die hun seed phrase hebben ingevoerd worden aangeraden om hun cryptovaluta meteen naar een nieuwe wallet over te zetten. Verder waarschuwt Trezor dat de 347.000 e-mailadressen rekening moeten houden met meer phishingaanvallen in de toekomst. Alle gedupeerden zijn inmiddels door Trezor over het incident ingelicht. bron: https://www.security.nl

Fabrikanten van producten met digitale componenten moeten vanaf vandaag verplicht melden als ze bekend zijn met actief misbruikte kwetsbaarheden of met ernstige incidenten te maken hebben gekregen. De meldplicht is onderdeel van de Europese Cyber Resilience Act (CRA). De CRA stelt onder andere 'essentiële cyberbeveiligingsvereisten' aan producten met digitale elementen. Het gaat hierbij niet alleen om fysieke, digitale apparaten, zoals IoT-apparatuur, firewalls of netwerkapparatuur, maar ook software zoals videogames, mobiele apps of besturingssystemen en componenten zoals videokaarten en software libraries. De CRA kent ook een meldplicht. Het gaat dan om gevallen van actief misbruikte kwetsbaarheden en ernstige incidenten die de beveiliging van geleverde producten raken. Na ontdekking van een incident of misbruikt beveiligingslek moeten fabrikanten en leveranciers binnen 24 uur een vroegtijdige melding doen, gevolgd door een uitgebreidere melding binnen 72 uur. Na deze melding moet er een verplicht eindverslag volgen. Bij een actief misbruikt lek moet dit binnen 14 dagen na het uitbrengen van een patch. Bij een incident een maand na de gedane melding. Alle termijnen starten op het moment dat de fabrikant of leverancier kennis van de kwetsbaarheid of het incident heeft. Het melden kan via het Nationaal Cyber Security Centrum (NCSC). De overheidsinstantie benadrukt dat de meldplicht ook voor oudere producten geldt. "Alles wat vandaag op de Europese markt beschikbaar is, telt mee." Een brede coalitie van beveiligings- en privacyexperts die werkzaam zijn voor securitybedrijven, antivirusleveranciers en burgerrechtenbewegingen, waarschuwden (pdf) eerder nog voor de meldplicht. De verstrekte informatie zou voor surveillance en inlichtingendoeleinden zijn te misbruiken. bron: https://www.security.nl

Een aanvaller is erin geslaagd om in te breken op een interne testomgeving van vpn-provider Surfshark, zo heeft het bedrijf bekendgemaakt. Volgens Surfshark zijn er geen klantgegevens of gevoelige data buitgemaakt. De oorzaak ligt in een menselijke fout, aldus een aankondiging van het incident. Daarin zegt Surfshark dat het op 31 augustus eerste signalen detecteerde. Er kwam een waarschuwing van een geïsoleerde testomgeving. De vpn-provider behandelde deze melding als een 'lower-risk' geval. Op 2 september bevestigde Surfshark naar eigen zeggen de verdachte activiteit en verwijderde de dreiging. Het bedrijf zegt het gat tussen de eerste melding en de daadwerkelijke opvolging als een leermoment te beschouwen. Volgens Surfshark was het incident veroorzaakt door een menselijke fout. Een interne testserver gebruikt door de engineering teams was door een misconfiguratie toegankelijk vanaf het internet. Via de server wist de aanvaller toegang te krijgen tot 'beperkt intern engineering materiaal'. Het gaat om delen van systeem binaries en interne configuraties voor bepaalde services. Verschillende interne, build-gerelateerde credentials waren al aan de code history gecommit, stelt Surfshark. De vpn-proivider voegt toe dat geen van de credentials toegang tot gebruikersgegevens of productiesystemen gaf waar gebruikers gebruik van maken. Ook is er geen misbruik van de credentials waargenomen. De vpn-provider besloot wel alle gecompromitteerde credentials te vervangen. Verder bleek dat de aanvaller ook toegang heeft gekregen tot een geïsoleerde 'content accessibility optimisation' server. Deze server fungeerde als proxy. Volgens Surfshark had deze server geen toegang tot ip-adressen, 'user identities', encryptiesleutels of internetverkeer. Gebruikers hebben dan ook geen risico gelopen, aldus de verklaring. Naar aanleiding van het incident zegt de vpn-provider verschillende maatregelen te zullen doorvoeren, waaronder het verbeteren van de detectie en monitoring van de testomgeving. bron: https://www.security.nl

(Captain kirk) Normaal plaatsen wij van PCH hier niet iets over Apple. Maar ik vond dat onze leden hier toch wel van op de hoogte moeten zijn. Lees het artikel hieronder: Apple heeft een nieuwe feature voor Apple Watches geïntroduceerd waarmee het mogelijk is om gesprekken op te nemen en automatisch uit te werken tot samenvattingen. Critici noemen Siri Recap, zoals de feature heet, Apples audioversie van Meta's 'gluurbrillen' en zijn bang dat mensen in de buurt van de Apple Watch-drager zonder hun toestemming worden opgenomen. Apple stelt in een document dat deze zorgen onterecht zijn. Volgens Apple kunnen gebruikers Siri Recap zelf in- en uitschakelen. Zo is het mogelijk om een tijdschema in te stellen waarbinnen de Apple Watch alle gesprekken opneemt en uitwerkt, of een bepaalde locatie op te geven, zoals kantoor. Ook is de optie handmatig in en uit te schakelen. Verder laat Apple weten dat Siri Recap gevoelige informatie uit de gemaakte samenvattingen weglaat. Het gaat dan bijvoorbeeld om financiële gegevens, burgerservicenummers, inloggegevens en bepaalde 'personal identifiers'. Wat betreft zorgen over het afluisteren van de omgeving zegt Apple dat Siri Recap de mensen in de buurt van de drager 'respecteert'. Zo maakt Siri Recap geen opnames en produceert geen letterlijke verslagen, staat in de uitleg (pdf). Ook identificeert het sprekers niet en geeft ook niet aan wie wat gezegd heeft, zo laat de uitleg van Apple verder weten. Tevens zegt Apple dat er geen 'raw audio' wordt bewaard en er geen manier is om de originele audio van een Siri Recap te herstellen of raw audio met iemand te delen. Detectie van gesprekken Om te detecteren of er een gesprek plaatsvindt maakt Siri Recap gebruik van een 'lichtgewicht AI-model', stelt Apple. Bij detectie van een gesprek wordt de audio in de Secure Exclave van de chip opgeslagen. Dit is een 'secure buffer' die opgenomen audio in een beveiligde omgeving verwerkt. Volgens Apple is het hier niet toegankelijk voor de gebruiker, het besturingssysteem, apps en Apple zelf. De Secure Exclave op de Apple Watch versleutelt de audio en stuurt die naar de Secure Exclave op de gepairde iPhone. Vervolgens wordt de audio van de Apple Watch verwijderd, aldus Apple. Daarnaast kan alleen de Secure Exclave van de gepairde iPhone de audio ontsleutelen. On-device spraakherkenning zet de audio om naar tekst, waarna een AI-model een samenvatting maakt. Na het maken van deze samenvatting wordt de raw audio verwijderd, stelt Apple. De samenvatting wordt daarna naar Apple Private Cloud Compute gestuurd, de cloud-infrastructuur van het techbedrijf, voor verdere bewerking. Apple zegt dat data in Private Cloud Compute niet toegankelijk is voor Apple of iemand anders. De uiteindelijke tekst wordt versleuteld en vanaf Private Cloud Compute teruggestuurd naar de iPhone en Apple Watch waar het in de Siri-app te zien is. Siri Recaps worden automatisch na zeven dagen verwijderd, tenzij gebruikers ervoor kiezen om ze te bewaren. Critici van Siri Recap wijzen naar Microsoft Recall, een Windows AI-feature waarbij continu screenshots van het scherm van gebruikers worden gemaakt. Microsoft besloot de functie na ophef en kritiek van beveiligings- en privacyexperts aan te passen. Ook noemen critici Siri Recap de audioversie van Meta's gluurbrillen, omdat opnames zonder toestemming kunnen plaatsvinden. De bètaversie van Siri Recap komt eind dit jaar beschikbaar. bron: https://www.security.nl

Een kritieke kwetsbaarheid in Fortinet FortiGate-firewalls wordt actief misbruikt bij aanvallen, zo waarschuwen cybersecuritybedrijf SOCRadar en het Amerikaanse cyberagentschap CISA. Via de kwetsbaarheid (CVE-2025-25249) kan een ongeauthenticeerde aanvaller willekeurige code en commando's op de firewall uitvoeren. Fortinet kwam op 13 januari van dit jaar met beveiligingsupdates voor het probleem. Het beveiligingslek is aanwezig in FortiOS, het besturingssysteem van Fortinet dat op allerlei netwerkapparaten draait, zoals firewalls en vpn-systemen. Onder andere de FortiGate-firewalls maken er gebruik van. Via de kwetsbaarheid kan een aanvaller door het versturen van speciaal geprepareerde requests code en commando's op het systeem uitvoeren. Bij de aanvallen installeren de aanvallers PivotC2, een FortiGate post-exploitation tool. Via deze tool kunnen aanvallers vpn pre-shared keys (psk's), ssl-vpn user credentials, wifi psk's, LDAP bind credentials en credentials van admin-accounts stelen. Deze credentials zijn vervolgens te gebruiken tegen andere systemen van de organisaties en maken het mogelijk voor de aanvaller om zich vanaf de FortiGate-firewall lateraal te bewegen, aldus de onderzoekers. SOCRadar zegt bekend te zijn met aanvallen in de Verenigde Staten, Chili, Colombia en het Verenigd Koninkrijk. Bij twee niet bij naam genoemde Amerikaanse organisaties werd ook het achterliggende netwerk gehackt. Onderzoekers van het cybersecuritybedrijf ontdekten dat actief misbruik al zeker sinds juli van dit jaar plaatsvindt. De aanvallen zouden het werk zijn van een Russisch sprekende financieel gemotiveerde cybercrimegroep. bron: https://www.security.nl

Gebruikers van Google Chrome op Windows 10 zijn het doelwit geworden van een zeroday-aanval, zo meldt cybersecuritybedrijf Proofpoint. De aanvallers combineerden drie kwetsbaarheden waar op het moment van de aanval nog geen beveiligingsupdates voor beschikbaar waren. Het gaat om twee kwetsbaarheden in Google Chrome en een kwetsbaarheid in Windows 10, Windows Server 2016, 2019 en 2022. Via de drie beveiligingslekken kregen de aanvallers volledige controle over de systemen van hun slachtoffers. Volgens Proofpoint hebben verschillende spionagegroepen misbruik van de kwetsbaarheden gemaakt. Slachtoffers ontvingen phishingmails met een link naar een malafide website. Alleen het bezoeken van deze website was voldoende om te worden gehackt. Er was geen verdere interactie vereist. Bij één van de aanvallen werden slachtoffers na het bezoeken van de malafide site automatisch doorgestuurd naar een legitieme website die met de phishingmail verband hield. Op gehackte systemen installeerden de aanvallers een backdoor. Ook werden toetsaanslagen opgeslagen en cookies en andere credentials gestolen. Onder de aangevallen organisaties bevinden zich volgens Proofpoint onder andere Amerikaanse defensiebedrijven. Microsoft kwam afgelopen dinsdag met updates voor het aangevallen Windows-lek. Via deze kwetsbaarheid (CVE-2026-85880) kan een aanvaller die al toegang tot het systeem heeft zijn rechten verhogen naar die van SYSTEM. De twee Chrome-lekken (CVE-2026-85046 en CVE-2026-87491) zijn inmiddels ook door Google gepatcht. Beide problemen bevinden zich in V8, de JavaScript-engine die Chrome en andere Chromium-gebaseerde browsers gebruiken. Beide kwetsbaarheden waren al verholpen in de publieke upstream Chromium-code, maar nog niet gepatcht in de laatste versie van Chrome en andere Chromium-browsers. Proofpoint vermoedt dat de aanvallers de beschikbare Chromium-patches hebben gebruikt voor het ontwikkelen van hun exploits. bron: https://www.security.nl

Het Nationaal Cyber Security Centrum (NCSC) waarschuwt organisaties voor twee kritieke kwetsbaarheden in vpn-producten van cybersecuritybedrijf Check Point en roept op tot het zo snel mogelijk installeren van beschikbaar gestelde beveiligingsupdates. Via de twee problemen (CVE-2026-85102 en CVE-2026-85103) kan een ongeauthenticeerde aanvaller willekeurige code op Check Point vpn-producten uitvoeren. Via de vpn-producten kunnen organisaties verbindingen opzetten tussen netwerken en gebruikers. Vpn-oplossingen zijn geregeld het doelwit van aanvallen. Check Point meldt dat de problemen aanwezig zijn in de Security Gateway, Security Management Server en Spark Firewall. "Als de kwetsbaarheden niet verholpen worden, kan een aanvaller het systeem overnemen, vertrouwelijke informatie bekijken of aanpassen, en de werking van het systeem verstoren. Dit kan leiden tot ernstige schade voor de organisatie", aldus het NCSC. Beide kwetsbaarheden hebben een CVSS-impactscore van 9.8 op een schaal van 1 tot en met 10. Technische details over de kwetsbaarheden zijn nog niet openbaar. Het Nationaal Cyber Security Centrum zegt nog niet met exploitcode bekend te zijn, maar verwacht binnenkort actief misbruik op grote schaal. Organisaties worden dan ook opgeroepen de updates, die sinds 7 september beschikbaar zijn, zo snel mogelijk te installeren. Vanwege hun positie in het netwerk zijn producten van Check Point een aantrekkelijk doelwit voor aanvallers. Het Amerikaanse cyberagentschap CISA is bekend met meerdere misbruikte Check Point-lekken. bron: https://www.security.nl

Aanvallers maken actief misbruik van een kritieke kwetsbaarheid in Cisco Secure Firewall Management Center (FMC), software voor het beheren van firewalls. Via het beveiligingslek (CVE-2026-20079) kan een aanvaller de authenticatie omzeilen en root-toegang tot het onderliggende besturingssysteem krijgen. De CVSS-impactscore bedraagt 10.0 op een schaal van 1 tot en met 10. Cisco kwam op 4 maart van dit jaar met updates voor het probleem. Via het Firewall Management Center kunnen organisaties hun Cisco-firewalls beheren. Cisco noemt het zelf het "administratieve zenuwcentrum" voor het beheer van netwerkbeveiligingsapparatuur. De kwetsbaarheid is aanwezig in de webinterface van het FMC. Volgens Cisco wordt het probleem veroorzaakt door een "onjuist systeemproces" dat tijdens het opstarten wordt gestart. Een aanvaller kan misbruik van dit proces maken door speciaal geprepareerde HTTP requests naar het systeem te sturen. Vervolgens kan een aanvaller de authenticatie omzeilen en scripts en commando's op het systeem uitvoeren, om zo root-toegang tot het onderliggende besturingssysteem te krijgen. Toen Cisco het beveiligingsbulletin op 4 maart publiceerde was het netwerkbedrijf niet bekend met misbruik van de kwetsbaarheid. Gisteren werd het bulletin van een update voorzien, waarin Cisco meldde dat het sinds augustus bekend is met misbruik van CVE-2026-20079. Opvallend aan het beveiligingsbulletin is dat het op 31 juli door Cisco werd voorzien van Indicators of Compromise (IoC's), waarmee organisaties kunnen controleren of hun FMC-systemen zijn gehackt. Volgens Cisco wordt de kwetsbaarheid misbruikt door statelijke actoren. Zo installeren de aanvallers webshells om toegang tot het FMC-systeem te behouden. Ook wordt er malware geïnstalleerd voor het stelen van credentials, het uitvoeren van netwerkscans en packet sniffing. Bij het uitkomen van de beveiligingsupdate waarschuwde het Nationaal Cyber Security Centrum (NCSC) dat het op korte termijn grootschalig misbruik verwachtte. bron: https://www.security.nl

Cryptowallet Trezor waarschuwt gebruikers voor phishingaanvallen nadat criminelen de mailprovder van de wallet-leverancier wisten te hacken. Een aantal dagen geleden waarschuwde Trezor ook dat het de persoonlijke gegevens van 81.000 klanten had gelekt. Het nieuwste beveiligingsincident betreft de e-mailprovider waar Trezor gebruik van maakt. Criminelen wisten toegang tot de systemen van de provider te krijgen en hebben vervolgens een phishingmail verstuurd met het onderwerp: "Critical Security Alert: STM32 Entropy Vulnerability", zo laat Trezor weten. Het gaat specifiek om een niet nader genoemde third-party tool die Trezor voor de eigen nieuwsbrief gebruikt. De phishingaanval is zodoende alleen gericht tegen mensen die zich voor de nieuwsbrief hebben aangemeld. Trezor biedt een apparaatje dat de keys bevat waarmee gebruikers toegang tot hun cryptovaluta kunnen krijgen. Volgens de phishingmail bevatten de microcontrollers gebruikt in de Trezor-wallet een bug waardoor seed phrases van de cryptowallet kwetsbaar zijn voor bruteforce-aanvallen en een aanvaller zo toegang tot de cryptovaluta van de gebruiker zou kunnen krijgen. De phishingmail van de aanvallers lijkt te zijn gebaseerd op berichtgeving over een kwetsbaarheid in de Coldcard-wallet, waardoor aanvallers meer dan honderd miljoen dollar aan cryptovaluta wisten te stelen. Een link in de phishingmail wijst naar een domein dat inmiddels uit de lucht is gehaald, aldus Trezor in een bericht op social media dat ook via e-mail naar gebruikers werd gestuurd. De phishingsite vroeg gebruikers om hun recovery seed waarmee er toegang tot de wallet kon worden verkregen. Trezor-gebruikers zijn geregeld het doelwit van aanvallen waarbij wordt geprobeerd om de recovery seed (seed phrase of wallet back-up) of andere informatie te bemachtigen die toegang tot de wallet geeft. bron: https://www.security.nl

De website Androidworld.nl waarschuwt lezers voor een datalek, dat het na een tip van de politie ontdekte. De politie informeerde de website op 3 september dat iemand de Metabase-omgeving had gehackt. Uit het onderzoek dat daarop volgde bleek dat een aanvaller op 10 augustus toegang heeft gekregen tot de gegevens van ruim vijfduizend accounts. Het gaat om e-mailadressen, gebruikersnamen, openbare profielnamen en wachtwoordhashes. Metabase is een datavisualisatie en business intelligence tool waarmee bedrijven hun gegevens kunnen koppelen en visualiseren, om zo rapporten te genereren en inzicht in bedrijfsprocessen te krijgen. Onlangs werd bekend dat de criminele groepering ShinyHunters een kwetsbaarheid in de software had gebruikt om bij bedrijven allerlei vertrouwelijke gegevens te stelen. Hoe de politie ontdekte dat de Metabase-omgeving van Androidworld.nl was gehackt laat de website niet weten. Androidworld.nl zegt dat het achteraf niet met zekerheid kan vaststellen welke afzonderlijke gegevens daadwerkelijk door de aanvaller zijn bekeken of gekopieerd. Wel is besloten om naar aanleiding van de hack de wachtwoorden van alle gebruikers te resetten. Daarnaast is het datalek bij de Autoriteit Persoonsgegevens gemeld. bron: https://www.security.nl

Onderzoekers hebben een worm gedemonstreerd waarmee het mogelijk was om WeChat-accounts zonder enige interactie van slachtoffers over te nemen. Via de 'WeWorm' konden onderzoekers van cybersecuritybedrijf Calif volledige controle over aangevallen WeChat-accounts krijgen. WeChat-ontwikkelaar Tencent heeft zowel in de Android- (versie 8.0.77) als iOS-apps (versie 8.0.76) een oplossing doorgevoerd, als aan de server side, waardoor misbruik niet meer mogelijk is. WeChat omschrijft zichzelf als een 'social communication app' met meer dan een miljard gebruikers, vooral in China. Naast de chatfunctie kunnen gebruikers via de app ook betalen. Onderzoekers van Calif vonden een kwetsbaarheid in de voip-stack van WeChat. Technische details worden op een later moment openbaar gemaakt. Via het beveiligingslek was een zero-click-aanval mogelijk. Alleen door een slachtoffer via WeChat te bellen kon zijn account worden overgenomen. Het slachtoffer hoefde niet op te nemen. De enige vereiste was dat de aanvaller al in het adresboek van het slachtoffer stond. De onderzoekers merken op dat dit beperkte bescherming biedt. Vanaf een gehackt WeChat-account zijn namelijk alle contacten van dit slachtoffer aan te vallen. Via de WeWorm kregen de onderzoekers volledige controle over gehackte accounts en konden berichten lezen en versturen en bellen uit naam van het slachtoffer. Gecombineerd met andere kwetsbaarheden in Android en iOS zou het ook mogelijk zijn om de onderliggende telefoon zonder interactie van gebruikers over te nemen, zo stellen de onderzoekers. Die laten in een video van de WeWorm-aanval zien hoe de worm vanaf een eerste telefoon het WeChat-account op een tweede telefoon hackt, om daarvandaan een WeChat-account op een derde telefoon over te nemen. De onderzoekers stellen afsluitend dat het WeChat-lek één van de vele ongewone aanvalsoppervlaktes is waar chatapps mee te maken hebben. bron: https://www.security.nl

De makers van Tor Browser hebben een belangrijke beveiligingsupdate uitgebracht wegens verschillende kwetsbaarheden die door AI-modellen zijn gevonden. Dagelijks maken miljoenen mensen gebruik van Tor Browser om hun ip-adres te verbergen en gecensureerde websites te bezoeken. Tor Browser bestaat uit een aangepaste versie van Firefox en software om verbinding met het Tor-netwerk te maken. Het Tor Project, de ontwikkelaar van Tor Browser en de Tor-software, meldt dat AI-modellen verschillende kwetsbaarheden in de Tor-software hebben gevonden. Het gaat onder andere om een use-after-free kwetsbaarheid. Deze klasse kwetsbaarheden kan leiden tot crashes, het lekken van gevoelige informatie en het uitvoeren van code. Een ander probleem maakt het mogelijk om een remote crash te veroorzaken. De in totaal zeven kwetsbaarheden zijn verholpen in Tor versie 0.4.9.12, die ook in Tor Browser versie 15.0.22 is verwerkt. Gebruikers kunnen hun Tor Browser via de automatische updatefunctie bijwerken. bron: https://www.security.nl

36.000 Plex Media-servers die vanaf het internet toegankelijk zijn, waaronder ruim duizend in Nederland, missen een belangrijke beveiligingsupdate. Plex had gebruikers en beheerders op 1 september opgeroepen om de update zo snel mogelijk te installeren. Een week na de oproep blijkt dat 36.000 servers de update missen, zo meldt The Shadowserver Foundation op basis van een eigen internetscan. Plex biedt software voor het opzetten van een mediaserver om daarmee media naar apparaten te streamen. Het bedrijf claimt meer dan 25 miljoen gebruikers wereldwijd te hebben. Op 1 september stelde Plex dat het een update had uitgerold om meerdere kwetsbaarheden te verhelpen. Wat deze beveiligingslekken zijn werd niet bekendgemaakt. Ook zijn er geen CVE-nummers genoemd waarmee de kwetsbaarheden zijn te identificeren. The Shadowserver Foundation is een stichting die onder andere onderzoek doet naar kwetsbare systemen op internet. Het voerde een online scan uit naar Plex Media-servers. Dit leverde 36.000 Plex-mediaservers op die de recente beveiligingsupdate missen. Het grootste aantal kwetsbare Plex-servers werd in de Verenigde Staten aangetroffen, zestienduizend. In Nederland gaat het om 1100 servers, aldus The Shadowserver Foundation. De stichting hekelt het ontbreken van CVE-nummers en informatie over de problemen. "Er zijn geen CVE's toegekend, wat inhoudt dat de kwetsbaarheden eigenlijk onzichtbaar zijn voor de security-community, wat een effectieve respons belemmert." Wanneer Plex met meer informatie komt is onbekend. Een kwetsbaarheid in Plex Media Server werd in 2022 gebruikt voor een aanval op wachtwoordmanager LastPass, waarbij klant- en kluisdata werd gestolen. bron: https://www.security.nl

Google heeft een beveiligingsupdate voor Chrome uitgebracht die ruim tweehonderd beveiligingslekken verhelpt, waaronder een kwetsbaarheid waar aanvallers actief misbruik van maken. Van de in totaal 230 gepatchte kwetsbaarheden zijn er vijf als kritiek aangemerkt. Bij dergelijke beveiligingslekken kan een aanvaller malafide code op de systemen van Chrome-gebruikers uitvoeren, waarbij alleen het bezoeken van een malafide of gehackte website of te zien krijgen van besmette advertenties voldoende is. De actief misbruikte kwetsbaarheid (CVE-2026-87491) is aanwezig in V8, de JavaScript-engine die Chrome en andere browsers gebruiken voor het uitvoeren van JavaScript. In het onderdeel zijn herhaaldelijk beveiligingslekken gevonden die al voor het beschikbaar komen van updates werden misbruikt bij aanvallen. Vorige week waarschuwde Google voor een ander actief misbruikt V8-lek in Chrome. Opvallend aan CVE-2026-87491 is dat Google de impact van het lek als 'medium' bestempelt. Nagenoeg alle misbruikte kwetsbaarheden in Chrome hebben het stempel 'high'. Via beveiligingslekken die als medium zijn aangeduid kan een aanvaller een 'beperkte hoeveelheid' informatie lezen die op zich niet gevaarlijk is, maar gecombineerd met andere kwetsbaarheden ernstige gevolgen kan hebben. Het probleem werd op 6 augustus door een Zuid-Koreaanse onderzoeker aan Google gerapporteerd. Verdere details over het waargenomen misbruik zijn niet gegeven. Google Chrome 153.0.8010.36/.37 is beschikbaar voor macOS en Windows. Voor Linux is versie 153.0.8010.36 verschenen. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan echter een aantal dagen duren. Gebruikers die de update direct willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar. bron: https://www.security.nl

Microsoft heeft tijdens de patchdinsdag van september bijna duizend beveiligingslekken verholpen, waaronder twee kwetsbaarheden die al voor het uitkomen van de patches werden misbruikt bij aanvallen tegen Windows-gebruikers. Daarnaast is er ook een update beschikbaar voor een Exchange-lek waardoor een ongeauthenticeerde aanvaller code op Exchange-servers kan uitvoeren en zijn meerdere kwetsbaarheden in SharePoint gepatcht die remote code execution mogelijk maken. Microsoft stelt dat de 'September 2026 Security Updates' in totaal 974 unieke beveiligingslekken verhelpen, wat een recordaantal voor de maandelijkse patchronde van Microsoft is. Het grootste deel (723) bevindt zich in Windows. Elke tweede dinsdag van de maand brengt Microsoft updates uit. Niet eerder verschenen er in één keer zoveel beveiligingsupdates. Volgens cybersecuritybedrijf ZDI gaat het onder andere om twintig kwetsbaarheden waardoor een computerworm zich zonder enige interactie van gebruikers onder systemen kan verspreiden. De twee actief aangevallen kwetsbaarheden bevinden zich in de Windows Update Stack (CVE-2026-81963) en Windows Advanced Local Procedure Call (ALPC) (CVE-2026-85880). Via de beveiligingslekken kan een aanvaller die al toegang tot het systeem heeft zijn rechten verhogen naar die van SYSTEM. Met deze rechten heeft de aanvaller volledige controle over het systeem. De twee aangevallen beveiligingslekken werden door Microsoft zelf gevonden, alsmede door cyberscuritybedrijven Volexity en Proofpoint en een externe beveiligingsonderzoeker. Microsoft waarschuwt ook voor een kwetsbaarheid (CVE-2026-55007) waardoor een ongeauthenticeerde aanvaller door het versturen van e-mail met een Visio-bijlage naar een Exchange-server code op de server kan uitvoeren. Er is geen interactie van gebruikers vereist. Microsoft verwacht dat aanvallers deze kwetsbaarheid niet zullen misbruiken, maar in het verleden is gebleken dat een dergelijke beoordeling van Exchange-lekken niet altijd klopt. Tevens zijn meerdere kwetsbaarheden in Microsoft Office SharePoint verholpen die remote code execution mogelijk maken. Een ander kritiek probleem in Remote Desktop Services maakt ook remote code execution door een ongeauthenticeerde aanvaller mogelijk. Verder zijn er zeker twintig beveiligingslekken, voornamelijk in Windows DNS Server en Windows DHCP Server, waardoor een computerworm zich zonder enige interactie van gebruikers kan verspreiden. Ruim honderd van de door Microsoft verholpen kwetsbaarheden zijn als kritiek aangemerkt. De patches zullen op de meeste systemen automatisch worden geïnstalleerd. bron: https://www.security.nl

De standaard-installatie van LibreOffice zal voorlopig geen AI-features bevatten, zo laat The Document Foundation (TDF) weten, de beheerder van de opensource-kantoorsoftware. Een aantal dagen geleden werd LibreOffice 26.8 gelanceerd. Binnen een week was de software meer dan een miljoen keer gedownload. Niet eerder werd een release in de eerste week zo vaak gedownload, aldus The Document Foundation. Eén van de 'features' van de nieuwste LibreOffice is het ontbreken van AI. "LibreOffice 26.8 bevat geen generatieve AI-features. Documenten worden niet verstuurd naar remote services om te worden verwerkt, en geen onderdeel van de software vereist netwerktoegang om te werken. Dit is een bewuste keuze. Elke organisatie die met vertrouwelijke, juridisch vertrouwelijke of persoonlijke data werkt moet weten waar die data heen gaat, en de enige garantie die een audit doorkomt is dat het niet de machine verlaat", aldus TDF bij de aankondiging van de nieuwste versie. In een reactie op de lancering met de kop 'ja, geen AI is nu een feature', zegt TDF dat LibreOffice kunstmatige intelligentie niet op voorhand uitsluit. "Maar een office suite die tientallen miljoenen mensen gebruiken, in scholen, ziekenhuizen, publieke instanties, advocatenkantoren en duizenden andere organisaties, zal geen feature toevoegen aan de standaarconfiguratie totdat die feature kan worden aangeboden onder de voorwaarden van het project en in overeenstemming met diens principes." The Document Foundation stelt dat gebruikers volledige controle over de uitvoering van AI moeten hebben, er geen content zonder toestemming de computer mag verlaten, er geen enkele telemetrie plaatsvindt, de AI niet afhankelijk is van één partij, de gegenereerde content in het ODF-formaat is en AI altijd volledig optioneel is. Vooralsnog voldoet geen enkele AI-integratie aan deze voorwaarden. Tot dan zal ook geen enkele vorm van AI aan de standaard-installatie worden toegevoegd, zo laat TDF weten. Gebruikers die AI wel binnen LibreOffice willen integreren kunnen hiervoor extensies gebruiken. bron: https://www.security.nl

Online leeftijdsverificatie is het einde van de vrije toegang tot internet, zo waarschuwt de Europese digitale burgerrechtenbeweging EDRi. Die stelt ook dat de leeftijdsverificatie-app van de Europese Commissie het mogelijk maakt om te achterhalen voor welke websites mensen hun leeftijd verifiëren. Zo kan worden achterhaald wie er bijvoorbeeld achter een bepaald account zit. "De wet zegt dat het systeem niet-koppelbaarheid moet "garanderen" waar nodig. Dit houdt in dat niemand via de Wallet je online activiteiten waarvoor leeftijdsverificatie is vereist aan je echte identiteit kan koppelen. De Commissie verandert deze vereiste naar alleen het "lastiger maken" van koppelbaarheid, wat inhoudt dat het lastig moet zijn maar niet onmogelijk. Dat is geen geruststellend uitgangspunt voor de nieuwe leeftijdsverificatiemaatregel", aldus EDRi. De burgerrechtenbeweging merkt op dat het mogelijk is om een leeftijdscontrole uit te voeren zonder dat hiervoor de identiteit moet worden gecontroleerd. Dit kan via een systeem genaamd Zero Knowledge Proofs (ZKP's). Brussel heeft het gebruik van ZKP's echter niet voor leeftijdsverificatie-apps verplicht gesteld. Het is vrijblijvend. "Anders gezegd, het systeem vereist niet dat betrokken partijen de best mogelijke technologieën gebruiken om de privacy te beschermen", aldus EDRi. Verder hekelt de burgerrechtenbeweging dat nationale leeftijdsverificatie-apps en onderliggende infrastructuur niet verplicht open source zijn en sommige landen inmiddels apps met proprietary code ontwikkelen. Verder hebben meerdere landen aangegeven de technische specificaties van de Europese Commissie niet te zullen volgen, wat voor een lappendeken aan apps zorgt en het lastiger maakt om die allemaal te controleren. Een ander risico dat EDRi noemt is dat als de infrastructuur er straks ligt, de gedane privacybeloftes kunnen worden ingetrokken. Mensen zouden dan kunnen worden verplicht om zich eerst te identificeren voordat ze op social media mogen. "Leeftijdsverificatie is het einde van de vrije toegang tot het internet. We moeten het weigeren te bouwen, of het nu op EU of nationaal niveau is, nu weigeren nog een optie is. Online veiligheid is op andere manieren te bereiken." bron: https://www.security.nl

Duizenden gehackte websites zijn voorzien van malafide code waardoor ze ClickFix-aanvallen tegen bezoekers uitvoeren, om die zo met malware te infecteren. Adblocker uBlock Origin helpt tegen dit soort aanvallen, aldus beveiligingsonderzoekers. Bij een ClickFix-aanval worden mensen verleid tot het uitvoeren van een malafide commando op hun systeem. Vaak moet er dan een zogenaamde captcha worden opgelost. ClickFix-aanvallen waren de oorzaak van ransomware-aanvallen bij de gemeente Epe en Duitse hoofdstad en deelstaat Berlijn. Voor het uitvoeren van ClickFix-aanvallen voegen criminelen vaak malafide code toe aan gehackte websites. Deze code laat de pop-up zien met instructies voor het oplossen van de 'captcha'. Ook kopieert deze code het malafide commando naar het clipboard van de bezoeker. Die hoeft zodoende alleen maar het Run Dialog, PowerShell of een Terminal te starten om het commando te plakken. Het commando downloadt vervolgens malware op het systeem. Cybersecuritybedrijf NetSkope meldt dat het de afgelopen maanden meer dan 5400 gehackte websites heeft waargenomen die van ClickFix-code waren voorzien. Het gaat dan voornamelijk om WordPress-sites. Iets waar ook de Australische overheid voor waarschuwde. Volgens de Britse beveiligingsonderzoeker Kevin Beaumont werkt adblocker uBlock Origin uitstekend tegen het blokkeren van ClickFix-aanvallen. De adblocker kan sinds juli dit soort aanvallen detecteren en stoppen en heeft sindsdien allerlei verbeteringen doorgevoerd, aldus Beaumont. De beveiligingsonderzoeker hekelt Google en Microsoft en stelt dat de techbedrijven een dergelijke maatregel ook in hun browsers zouden moeten inbouwen. "Ze zitten letterlijk aan het begin en hebben er helemaal niets aan gedaan. Beide bedrijven hebben een gigantische cybersecurity business met threat intelligence en incidentrespons en hebben een financiële prikkel om niets te doen", aldus Beaumont. bron: https://www.security.nl

Een kwetsbaarheid in de populaire archiveringssoftware 7-Zip maakt het mogelijk voor aanvallers om het Mark-of-the-Web te omzeilen, wat kan leiden tot het uitvoeren van willekeurige code op het systeem van de gebruiker. Ook zou een aanvaller via het lek 'file content' kunnen spoofen. Er is een nieuwe versie van 7-Zip uitgebracht waarin de kwetsbaarheid is verholpen. Mark-of-the-Web (MOTW) is een beveiligingsfeature van Windows die ervoor zorgt dat bestanden die via internet zijn gedownload door Windows van een aparte tag worden voorzien. Bij het openen van bestanden met een MOTW-tag zal Windows een extra waarschuwing aan gebruikers tonen of ze het bestand echt willen openen, aangezien het vanaf internet afkomstig is. De kwetsbaarheid in 7-Zip (CVE-2026-58052) doet zich voor bij het verwerken van speciaal geprepareerde RAR5-archiefbestanden. Wanneer 7-Zip bestanden uit een speciaal geprepareerd archiefbestand uitpakt dat van de MOTW-tag is voorzien, wordt het Mark-of-the-Web niet aan de uitgepakte bestanden toegekend. Zo kan een aanvaller SmartScreen/MOTW-waarschuwingen omzeilen en file content spoofen, aldus de beschrijving van CVE-2026-58052. De kwetsbaarheid is gepatcht in 7-Zip versie 26.03. Gebruikers moeten de update handmatig installeren, aangezien 7-Zip geen automatische updatefunctie kent. bron: https://www.security.nl

De Nederlandse reisapp Polarsteps heeft de persoonlijke gegevens van miljoenen gebruikers gelekt, zo meldt Follow the Money (FTM). Het zou gaan om namen, foto's en gps-locaties. Polarsteps stelt dat er geen sprake is van een datalek en er alleen toegang is verkregen tot openbare reisgegevens. Volgens FTM kon het gebruikers ook in real-time via de backend van de app volgen. Dit was mogelijk via de API (application programming interface) waar de app gebruik van maakt om informatie tussen de Polarsteps-server uit te wisselen. Via Polarsteps kunnen mensen hun reisbewegingen bijhouden en delen. Het probleem met de API werd vorig jaar gevonden door de Franse beveiligingsonderzoeker Louis Couderc. Hij waarschuwde Polarsteps, maar het bedrijf liet weten al van het probleem te weten, aldus FTM. De onderzoeker vond dat Polarsteps niet goed op zijn bevindingen reageerde en stapte daarom naar FTM. De website zegt dat het via de API gegevens van meer dan 23 miljoen gebruikers kon downloaden, waaronder namen, foto's en informatie over hun vrienden en familie. Gebruikers kunnen ervoor kiezen om hun locaties privé te houden, met iedereen te delen of alleen voor volgers toegankelijk te maken. FTM ontdekte dat het ook mogelijk was om de gegevens te verkrijgen van mensen die hun reis alleen met volgers deelden. Polarsteps liet in eerste instantie aan FTM weten dat het maatregelen had genomen om scraping via de API tegen te gaan. Later erkende het bedrijf dat deze maatregelen te weinig effect hadden. FTM kon alle data vanaf één ip-adres scrapen en gedurende maanden aanvullen, zonder enige belemmering. Polarsteps zegt dat het de rate limiting-instellingen heeft aangepast. Ook overweegt het bedrijf de registratie van gebruikers en hun reizen aan te passen. "Geen datalek" Polarstep meldt in een reactie op de eigen website dat de claim van FTM dat er sprake is van een datalek niet klopt. Het ging alleen om publiek toegankelijke informatie. Daarnaast kon FTM alleen mensen volgen die hun profiel zo hadden ingesteld dat ze voor iedereen waren te volgen. Verder zou de website gebruik hebben gemaakt van de 'auto-follow' instellingen om bepaalde gebruikers te volgen. Via deze instellingen worden volgers automatisch geaccepteerd. Er is volgens Polarsteps dan ook geen sprake van een 'breach' van de privacy controls. Verder stelt Polarsteps dat het al bezig was met de problemen die de Franse onderzoeker had aangekaart. "Het is niet zo dat we van de beveiligingsproblemen wisten en er niets mee deden." De reisapp zegt dat het op bepaalde punten beter had gekund. Zo zijn de 'API controls' inmiddels aangescherpt om grootschalige scraping tegen te gaan en is de beveiliging van de 'secret link' feature aangescherpt. Via deze link kunnen mensen hun reisbewegingen met alleen hun volgers delen. Tevens zegt Polarsteps dat het gebruikers beter wil uitleggen wat openbaar en privé is van hun reizen. bron: https://www.security.nl

Het datalek bij cryptowallet Trezor is veel groter dan eerst werd gemeld en kan tot "fysieke beveiligingsrisico's" bij slachtoffers leiden, zo waarschuwt het bedrijf. In plaats van 14.000 klanten zoals eerst werd gemeld blijken de gegevens van in totaal 81.000 klanten te zijn gestolen. Daarnaast blijkt dat het gaat om gegevens die teruggaan tot 2019. Trezor biedt een apparaatje dat de keys bevat waarmee gebruikers toegang tot hun cryptovaluta kunnen krijgen. Op 13 augustus liet Trezor weten dat bij bezorgdienst ShipMonk, waar het gebruik van maakt voor het laten bezorgen van bestellingen, gegevens van klanten waren gestolen. Het zou gaan om de data van veertienduizend klanten uit de Verenigde Staten, het Verenigd Koninkrijk, Zweden, Columbia, Brazilië, Italië en Portugal die in de 90 dagen voor 8 augustus een bestelling hadden geplaatst. De gestolen data bestond uit namen, telefoonnummers, e-mailadressen en adresgegevens. In een update meldt Trezor dat het datalek veel groter is dan in eerste instantie werd gecommuniceerd. De aanvallers hebben ook de gegevens van nog eens 67.000 Amerikaanse klanten buitgemaakt. Het gaat om klanten die tussen november 2019 en augustus 2021 bestellingen hadden geplaatst. Trezor zegt dat het herhaaldelijk aan ShipMonk had gevraagd om deze gegevens te vernietigen en ook bevestiging kreeg dat dit was gedaan. Nu blijkt dat deze gegevens toch niet zijn vernietigd, aldus Trezor. "Fysieke beveiligingsrisico's" Trezor waarschuwt gedupeerden om alert te zijn op phishing. De gestolen informatie zou zijn te gebruiken voor phishingmails en frauduleuze telefoontjes en brieven. Daarnaast kan het datalek slachtoffers ook blootstellen aan "fysieke beveiligingsrisico's", aldus de walletfabrikant. Vorig jaar werden wereldwijd bij gewelddadige aanvallen tientallen miljoenen euro's aan cryptovaluta gestolen. De meeste incidenten werden in Frankrijk gemeld, aldus crypto-analysebedrijf Chainalysis. bron: https://www.security.nl

WordPress-sites worden aangevallen via een kritieke kwetsbaarheid in de plug-in Super Forms. Een update voor het probleem is sinds 8 juli beschikbaar. Misbruik vindt sinds 14 juli plaats, aldus cybersecuritybedrijf Wordfence. Super Forms is een plug-in voor WordPress voor het maken van allerlei soorten webformulieren. Naar schatting zou de plug-in op zo'n dertienduizend WordPress-sites zijn geïnstalleerd. De plug-in blijkt bestandstype en extensie van geuploade bestanden niet te controleren. Daarnaast vereist de uploadfunctie wel een session nonce, maar die is eenvoudig via een ander endpoint voor ongeauthenticeerde gebruikers verkrijgbaar. Een aanvaller kan zo via twee HTTP requests eerst de vereiste nonce bemachtigen en daarna PHP-bestanden naar de webserver uploaden. "Dit maakt het mogelijk voor ongeauthenticeerde aanvallers om een PHP-webshell naar de site te schrijven en willekeurige code uit te voeren, die te gebruiken is om admin-accounts aan te maken, data te stelen of de website volledig over te nemen", aldus Wordfence. Dat zegt al meer dan 250.000 aanvalspogingen te hebben gezien waarbij werd geprobeerd om sites via het lek aan te vallen. Super Forms is een betaalde plug-in. Er zijn daardoor geen cijfers beschikbaar hoeveel websites de update van 8 juli hebben geïnstalleerd. bron: https://www.security.nl