Captain Kirk

De CLI-versie van wachtwoordmanager Bitwarden is getroffen door een supplychain-aanval waarbij aanvallers gebruikmaakten van een gecompromitteerde GitHub Action, zo meldt securitybedrijf Socket. De opensource wachtwoordmanager telt meer dan tien miljoen gebruikers en wordt door meer dan 50.000 bedrijven gebruikt. Voor zover bekend is alleen de via npm aangeboden commandlineversie ("CLI") van de wachtwoordmanager door de aanval getroffen. De aanval op Bitwarden CLI lijkt gebruik te hebben gemaakt van een gecompromitteerde GitHub Action in de CI/CD-pipeline van de wachtwoordmanager. Hierna is een gebackdoorde package (2026.4.0) van Bitwarden CLI gepubliceerd. Deze package bevat malafide code opgenomen in bw1.js. Dit bestand heeft veel overeenkomsten met het mcpAddon.js bestand, dat wordt gebruikt in de Checkmarx Supply Chain aanval. De malafide code in bw1.js verzamelt allerlei inloggegevens, waaronder GitHub-tokens, AWS-credentials, Azure-tokens, GCP-credentials, npm-configuratiebestanden, SSH-keys, environment variabelen en configuratiebestanden van onder andere Claude. De gestolen data wordt vervolgens naar een externe server van de aanvallers gestuurd. Socket adviseert getroffen organisaties om zo snel mogelijk het gebackdoorde package te verwijderen van developer, productie en build-systemen. Tevens wordt aangeraden om alle credentials en secrets die mogelijk aanwezig waren op deze systemen, zo snel mogelijk te roteren. bron: https://www.security.nl

Microsoft heeft besloten de beveiligingsupdates voor Exchange Server 2016/2019 en Skype for Business Server 2015/2019 met zes maanden te verlengen. Deze software wordt sinds oktober vorig jaar niet meer ondersteund, maar via het Extended Security Updates programma (ESU) bleef Microsoft nog wel beveiligingsupdates uitbrengen. Oorspronkelijk zou het ESU programma op 14 april van dit jaar aflopen. Nu laat het techbedrijf weten dat het een tweede periode van het ESU-programma aanbiedt. Deze periode loopt van 1 mei tot en met 31 oktober 2026. Klanten die aan het ESU-programma willen deelnemen, moeten hiervoor opnieuw betalen, ook als ze al aan het eerste ESU-programma deelnamen. Microsoft zegt dat het niet van plan is om de updates na deze periode nogmaals te verlengen. De beveiligingsupdates die Microsoft via het ESU-programma aanbiedt zijn alleen bedoeld voor kritieke en belangrijke kwetsbaarheden, zoals door het Microsoft Security Response Center (MSRC) wordt gedefinieerd. Het techbedrijf zegt dat het niet garandeert dat er tijdens de tweede periode van het ESU-programma beveiligingsupdates zullen verschijnen. Wanneer er wel updates beschikbaar komen, zullen die alleen onder deelnemers aan het ESU-programma worden verspreid. bron: https://www.security.nl

AI-agents op GitHub kunnen via GitHub-comments worden overgenomen, zo melden onderzoekers in een blog post. De onderzoekers waarschuwen dat de aanval, die ze 'Comment and Control' noemen, kan worden gebruikt om API-keys en access tokens van de host repository te stelen. De aanval is getest tegen drie AI-agents: Anthropic Claude Code, Google Gemini en GitHub Copilot. De onderzoekers stellen dat de AI-agents kunnen worden overgenomen via speciaal geprepareerde GitHub-comments, waaronder PR ("Pull Request") titels, comments en issue bodies. Zo kan een aanvaller via een malafide PR-titel de AI-agent overtuigen om willekeurige commando's uit te voeren of credentials te stelen en die vervolgens als een security finding of een entry in de GitHub Actions log te publiceren/exfiltreren De Comment and Control-aanval is een serieus risico, omdat het "malafide prompt" van de aanvaller automatisch kan worden verwerkt door een AI-Agent via (bijvoorbeeld) een GitHub Actions workflow, zonder enige interactie van het slachtoffer, aldus de onderzoekers. De onderzoekers waarschuwen tevens dat de aanval waarschijnlijk werkt tegen elke AI-agent die onbetrouwbare GitHub-data verwerkt en toegang heeft tot tools in een runtime omgeving waarin zich ook productie secrets bevinden. De onderzoekers rapporteerden de bevindingen aan Anthropic, Google en GitHub. bron: https://www.security.nl

Google, Microsoft en Meta negeren massaal het opt-out signaal van Californiërs, zo stelt privacybedrijf webXray op basis van eigen onderzoek. De drie techbedrijven plaatsten trackingcookies bij Californiërs die hadden aangegeven niet gevolgd te willen worden. De onderzoekers keken naar het netwerkverkeer van meer dan zevenduizend populaire websites in de Amerikaanse staat. Deze websites bleken duizenden advertentiecookies te plaatsen, ook al hadden gebruikers aangegeven dat ze niet gevolgd wilden worden. De onderzoekers stellen dat de techbedrijven het Global Privacy Control (GPC) signaal negeren. Dit is een mechanisme dat gebruikers kunnen instellen om aan te geven dat ze niet gevolgd willen worden. Google negeert het GPC-signaal in 86 procent van de gevallen. Microsoft doet dit in 50 procent van de gevallen en Meta in 69 procent van de gevallen. De onderzoekers vermelden dat de techbedrijven in het verleden al herhaaldelijk wegens het overtreden van de privacywetgeving zijn beboet. "Gegeven het feit dat dit schattingen zijn en de wisselkoers tussen de dollar en de euro is de afgelopen jaren fluctueerde, gaan we ervan uit dat er een 1:1 wisselkoers is en berekenen we de totale bedragen op basis daarvan". Er wordt gesteld dat Google, Microsoft en Meta bij elkaar een bedrag van 12,1 miljard dollar aan boetes hebben betaald. De onderzoekers zijn van mening dat de techbedrijven eenvoudig aan de wet kunnen voldoen. "Wanneer de adverteerserver van Microsoft verkeer met Sec-GPC: 1 ontvangt, hoeft het alleen een 451 Unavailable For Legal Reasons statuscode terug te geven om aan te geven dat de content niet kan worden geleverd vanwege de juridisch gedefinieerde opt-out van de gebruiker. In deze conditie wordt geen cookie geplaatst." Google, Microsoft en Meta ontkennen de bevindingen van de onderzoekers. "Dit rapport is gebaseerd op een fundamenteel misverstand van hoe onze producten werken. We respecteren opt-outs die door adverteerders en uitgevers worden aangeboden, zoals de wet vereist", aldus een woordvoerder van Google tegen The Record. Microsoft zegt dat het de privacy van gebruikers een topprioriteit vindt en dat het gebruikers die via GPC hun voorkeur hebben aangegeven uitschakelt van het delen van persoonlijke data met derde partijen voor gepersonaliseerde advertenties. "Sommige Microsoft-cookies zijn echter noodzakelijk voor operationele doeleinden en kunnen dan ook worden geplaatst en gelezen, ook al is er een GPC-signaal gedetecteerd." Meta stelt dat het onderzoek een "blatante marketingstunt" is die de werking van GPC en de rol van Meta verkeerd weergeeft. "De controle beperkt hoe data wordt gedeeld, niet verzameld, en Meta vereist dat wanneer er gebruik wordt gemaakt van de Meta-pixel, adverteerders alleen met ons informatie delen waarvoor ze het recht hebben om te delen." bron: https://www.security.nl

Tijdens de patchdinsdag van april heeft Microsoft een actief aangevallen spoofinglek in SharePoint Server gedicht. De kwetsbaarheid (CVE-2026-32201) maakt het mogelijk voor een ongeauthenticeerde aanvaller om een spoofing-aanval over een netwerk uit te voeren. Verdere details over de kwetsbaarheid en de waargenomen aanvallen zijn niet door Microsoft verstrekt. In totaal verhelpt Microsoft deze maand 165 kwetsbaarheden. Het gaat onder andere om een beveiligingslek in Microsoft Defender waardoor een aanvaller die al toegang tot een systeem heeft zijn rechten kan verhogen. Deze kwetsbaarheid (CVE-2026-33825) werd eerder deze maand door een onderzoeker openbaar gemaakt, omdat hij ontevreden was over de manier waarop Microsoft met bugmeldingen omgaat. De onderzoeker, die zichzelf Chaotic Eclipse noemt, publiceerde op GitHub exploitcode voor het beveiligingslek. Microsoft heeft het probleem nu verholpen en stelt dat de kwetsbaarheid alleen misbruikt kan worden door een aanvaller die al toegang tot het systeem heeft. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 7.8. bron: https://www.security.nl

AI kan aanvallen versnellen en het is dan ook belangrijk dat organisaties hun reactietijden verkorten en patchprocessen versnellen, zo stelt het Nationaal Cyber Security Centrum (NCSC). Het Amerikaanse AI-bedrijf Anthropic kondigde onlangs het AI model Mythos aan, een model voor kwetsbaarheidsopsporing en chaining. Volgens het NCSC kan Mythos kwetsbaarheden sneller opsporen en koppelen tot volledige exploits en aanvalsketens. "Dit kan de verdediging versterken, maar kan ook digitale aanvallen versnellen. De boodschap van het NCSC is simpel: Wacht niet af. Verkort je reactietijden, versnel patchprocessen, en zorg dat basisbeveiliging op orde is", aldus de overheidsinstantie. De huidige, beperkte toegang tot een selecte groep grote techbedrijven onderstreept de gevoeligheid en het potentieel van deze technologie. Het NCSC merkt op dat Mythos niet alleen losse kwetsbaarheden kan vinden, maar ze in samenhang benutten om complete aanvalsketens te construeren. "Dat vergroot het risico dat kleine, op zichzelf onschuldige bugs in combinatie een serieuze aanval mogelijk maken. Tegelijk ontbreken publieke technische details om de volledige impact te verifiëren; het is aannemelijk dat echte kwetsbaarheden worden geraakt, maar minder duidelijk hoe eenvoudig ze in de praktijk misbruikt kunnen worden", laat de overheidsinstantie verder weten. Volgens het NCSC is het aannemelijk dat vergelijkbare capaciteiten bij andere AI-modellen snel breder beschikbaar komen. "De versnelling die we hier zien, blijft niet beperkt tot een paar partijen." Het NCSC adviseert organisaties om AI-ontwikkelingen expliciet op te nemen in hun beveiligingsmaatregelen, met name patchmanagement. "Zero-days kun je niet voorkomen, maar de "time-to-patch" moet omlaag; uitstel van dagen of weken past niet meer bij het huidige dreigingslandschap." bron: https://www.security.nl

SAP heeft een kritieke kwetsbaarheid in Business Planning en Business Warehouse gedicht waardoor een ongeautoriseerde aanvaller op afstand willekeurige SQL-commando's op de database kan uitvoeren. De impact van het beveiligingslek (CVE-2026-27681) is op een schaal van 1 tot en met 10 beoordeeld met een 9.9. De kwetsbaarheid werd door securitybedrijf Onapsis aan SAP gerapporteerd. SAP Business Planning and Consolidation (BPC) is een oplossing voor het plannen en consolideren van bedrijfsfinanciën. SAP Business Warehouse (BW) is een oplossing voor het opslaan en analyseren van grote hoeveelheden bedrijfsgegevens. De kwetsbaarheid bevindt zich in een ABAP-programma dat een gebruiker met lage rechten een bestand laat uploaden met willekeurige SQL-commando's die vervolgens worden uitgevoerd. SAP heeft het probleem verholpen door alle uitvoerbare code in het kwetsbare programma uit te schakelen. Als tijdelijke oplossing adviseert SAP het verwijderen van de autorisatie van gebruikersaccounts om bestanden te uploaden. Dit kan echter gevolgen hebben voor gebruikers in andere applicaties. "Aangezien deze workaround kan leiden tot bijwerkingen voor de getroffen gebruikers in andere applicaties en vanwege de impact van de kwetsbaarheid, raden we sterk aan om de patch zo snel mogelijk te installeren", aldus Onapsis. Naast het kritieke SQL Injection-lek verhelpt SAP ook een kwetsbaarheid in ERP en S/4HANA waardoor een geauthenticeerde aanvaller een ABAP-programma kan uitvoeren om bestaande achtkarakters uitvoerbare programma's te overschrijven. De impact van dit beveiligingslek (CVE-2026-34256) is beoordeeld met een 7.1. bron: https://www.security.nl

Rockstar Games heeft de gegevens van miljoenen spelers gelekt, zo stelt een groep criminelen die de data in handen zou hebben. Het gaat om meer dan 78,6 miljoen records, aldus de criminelen, die zichzelf ShinyHunters noemen. De groep claimt dat het de gegevens heeft gestolen bij een aanval op Snowflake-omgevingen van Rockstar Games. Snowflake is een cloudplatform dat wordt gebruikt voor de opslag van grote hoeveelheden data. De criminelen claimen dat ze inloggegevens van Anodot hebben gestolen en die vervolgens hebben gebruikt om toegang tot de Snowflake-omgevingen van klanten te krijgen. De groep heeft nu een deel van de gestolen data openbaar gemaakt. Het gaat om analyticsdata, waaronder in-game aankopen, inkomsten, supporttickets en fraudedetectie. Bleeping Computer meldt dat de criminelen de gestolen data hebben gebruikt om Rockstar Games af te persen. Rockstar Games heeft de aanval bevestigd, maar stelt dat er geen gevoelige gegevens zijn buitgemaakt. "We kunnen bevestigen dat een beperkte hoeveelheid niet-materiële bedrijfsinformatie is buitgemaakt in verband met een datalek van een derde partij. Dit incident heeft geen impact op onze organisatie of onze spelers", aldus een verklaring tegenover Kotaku. Eerder werd al bekend dat Anodot was getroffen door een datalek. Daarbij werden inloggegevens van klanten gestolen. Het ging onder andere om Salesforce-klanten. Salesforce is een veelgebruikt platform voor customer relationship management (CRM). De criminelen achter de aanval op Anodot claimden dat ze ook gegevens van Rockstar Games hadden buitgemaakt. bron: https://www.security.nl

AI-modellen kunnen nu zelf kritieke kwetsbaarheden in complexe software vinden, zo stelt AI-bedrijf Anthropic. Het bedrijf claimt dat het een nieuw AI-model heeft ontwikkeld genaamd Claude Mythos Preview dat in staat is om zelf kwetsbaarheden te vinden en misbruiken. Het model is echter niet beschikbaar voor het publiek. Anthropic heeft het model wel met verschillende partijen gedeeld, waaronder Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA en Palo Alto Networks. Deze partijen kunnen het model gebruiken om hun eigen software te controleren. Anthropic zegt dat het model duizenden kwetsbaarheden heeft gevonden, waaronder in alle grote besturingssystemen en browsers. Het gaat onder andere om een kwetsbaarheid in OpenBSD die al 27 jaar aanwezig is. Het model is ook in staat om exploits te ontwikkelen. Zo is het model in staat om een kwetsbaarheid in de Linux-kernel te vinden en misbruiken, waardoor een aanvaller zijn rechten kan verhogen en root kan worden. Anthropic zegt dat het model niet specifiek is getraind om kwetsbaarheden te vinden en misbruiken. "Dit is het gevolg van algemene verbeteringen in code, redeneren en autonomie. De zelfde verbeteringen die het model veel effectiever maken in het patchen van kwetsbaarheden, maken het ook veel effectiever in het misbruiken ervan." Het AI-bedrijf stelt dat het model niet voor het publiek beschikbaar zal worden gemaakt. Wel is het van plan om in de toekomst AI-modellen zoals Mythos Preview aan gebruikers aan te bieden. "Om dit te doen moeten we ook vooruitgang boeken in het ontwikkelen van cybersecurity (en andere) beveiligingsmaatregelen die gevaarlijke outputs van het model detecteren en blokkeren." bron: https://www.security.nl

Het Nationaal Cyber Security Centrum (NCSC) verwacht op korte termijn grootschalig misbruik van een kritieke kwetsbaarheid in Adobe Acrobat, nu proof-of-concept exploitcode op internet is verschenen. De overheidsinstantie adviseert gebruikers van de pdf-software om de noodpatch die Adobe wegens het probleem uitbracht zo snel mogelijk te installeren. Misbruik van de kwetsbaarheid zou mogelijk al maanden plaatsvinden. Het beveiligingslek zorgt ervoor dat een aanvaller willekeurige code op het systeem kan uitvoeren als een gebruiker met een kwetsbare Acrobat-versie een speciaal geprepareerd pdf-document opent. Beveiligingsonderzoeker Haifei Li maakte vorige week het bestaan van de kwetsbaarheid bekend en stelde dat er actief misbruik van werd gemaakt. Een systeem dat hij ontwikkelde voor het detecteren van exploits ontdekte het beveiligingslek (CVE-2026-34621). Verder onderzoek wees uit dat aanvallen mogelijk al sinds eind november vorig jaar plaatsvinden. Adobe kwam vervolgens op zaterdag 11 april, buiten de vaste patchcyclus om, met een noodpatch. Het softwarebedrijf omschrijft het probleem als een 'Improperly Controlled Modification of Object Prototype Attributes' kwetsbaarheid, maar geeft geen verdere details. Kort na het uitkomen van de updates verscheen er proof-of-concept exploitcode online. Dat kan andere aanvallers helpen bij het uitvoeren van aanvallen. "Er is publieke exploit code beschikbaar, hiermee is het zeer waarschijnlijk dat er grootschalig misbruik zal plaatsvinden op korte termijn", aldus het NCSC in een advisory. Dat kwam vanwege de ernst van de kwetsbaarheid ook met een aparte waarschuwing. bron: https://www.security.nl

OpenAI is één van de organisaties die getroffen is door de aanval op Axios en heeft uit voorzorg besloten om het code signing certificaat gebruikt voor het signeren van macOS-apps te vervangen. Applicaties gebruiken de Axios library om via HTTP met andere systemen te communiceren. De library heeft meer dan honderd miljoen wekelijkse downloads op npmjs.com. Bij een recente aanval wisten de aanvallers het account van de primaire maintainer van het Axios-project te compromitteren, om vervolgens malafide versies uit te brengen. Deze versies installeerden bij gebruikers een remote access trojan (RAT). De GitHub Actions workflow die OpenAI gebruikt voor het signeren van de macOS-app downloadde de besmette versie en voerde die ook uit. De workflow in kwestie heeft toegang tot het certificaat en notarization materiaal dat OpenAI gebruikt voor het signeren van macOS-applicaties, waaronder ChatGPT Desktop, Codex, Codex-cli en Atlas. Door de code te signeren kunnen gebruikers controleren dat de software afkomstig is van OpenAI. Met een gestolen certificaat zou een aanvaller malware kunnen signeren, waarbij het lijkt om legitieme OpenAI software te gaan. OpenAI deed onderzoek naar de aanval en stelt dat het code signing certificaat waarschijnlijk niet door de aanvallers is gestolen. Uit voorzorg is echter besloten om het certificaat als gecompromitteerd te beschouwen en het te vervangen. Vanaf 8 mei zullen oudere versies van ChatGPT Desktop, Codex App, Codex CLI en Atlas voor macOS geen updates meer ontvangen en mogelijk niet meer werken. Gebruikers krijgen zo een maand de tijd om hun applicaties te vervangen. Volgens OpenAI is het getroffen notarization materiaal niet meer te gebruiken. Mocht het getroffen certificaat worden gebruikt voor het signeren van een macOS-app, dan zal macOS deze app vanwege het ontbreken van notarization standaard blokkeren. Notarization is een geautomatiseerd proces waarbij Apple door ontwikkelaars aangeboden apps op malware controleert. Mocht er misbruik van het certificaat worden gedetecteerd, dan zegt OpenAI de genoemde datum naar voren te halen. bron: https://www.security.nl

Naast individuen zijn ook bedrijven getroffen door de besmette versies van CPU-Z en HWMonitor die via de gehackte website van CPUID werden verspreid, zo stelt antivirusbedrijf Kaspersky op basis van eigen informatie. CPUID biedt verschillende populaire tools waarmee gebruikers informatie over hun systeem kunnen opvragen of de werking van de hardware kunnen monitoren. Vorige week wezen de downloadlinks op de officiële CPUID-site zes uur lang naar besmette, getrojaniseerde versies van CPU-Z, HWMonitor Pro, HWMonitor en PerfMonitor. Volgens de ontwikkelaar van de tools was een gecompromitteerde 'side API' de oorzaak, maar verdere details over hoe de aanval mogelijk was zijn nog niet gegeven. Kaspersky heeft een analyse van de malware gepubliceerd. Het gaat om een remote access trojan waarmee aanvallers toegang tot de systemen van slachtoffers krijgen. Het antivirusbedrijf detecteerde meer dan honderdvijftig slachtoffers. Het grootste deel daarvan zijn individuen, maar onder de slachtoffers werden ook verschillende bedrijven waargenomen. De niet nader genoemde ondernemingen zijn volgens Kaspersky actief in verschillende sectoren, waaronder retail, productie, consultancy, telecom en landbouw, waarbij de meeste infecties in Brazilië, China en Rusland werden waargenomen. Het werkelijke aantal slachtoffers ligt vermoedelijk veel hoger, omdat het hier alleen om infecties gaat die door Kaspersky zijn waargenomen. bron: https://www.security.nl

Mozilla heeft uitgehaald naar Microsoft wegens het opdringen van chatbot Copilot aan gebruikers. Volgens de Firefox-ontwikkelaar is het niet de eerste keer dat Microsoft zich schuldig maakt aan 'misleidende ontwerppatronen'. Na kritiek van gebruikers heeft Microsoft besloten om Copilot op een een aantal plekken weer te verwijderen. Mozilla merkt op dat Copilot niet aan Windowsgebruikers werd aangeboden, maar ongevraagd op hun systemen werd geïnstalleerd. Volgens Mozilla is dit gedrag niet nieuw en blijkt uit onderzoek dat het liet uitvoeren dat Microsoft door middel van ontwerp en distributie de keuze van gebruikers naast zich neerlegt. Het gaat dan bijvoorbeeld om gecompliceerde processen voor het aanpassen van de standaardbrowser of een interface die ervoor zorgt dat gebruikers Microsoft Edge weer gaan gebruiken nadat ze zelf een andere browser hadden gekozen."Bij de uitrol van Copilot werd dezelfde handleiding gevolgd die we van Microsoft kennen: automatische installaties, fysieke hardware en standaardinstellingen om gedrag te forceren. In het meest recente geval lieten ze hun AI zo snel mogelijk leren en data verzamelen voordat mensen een keuze hadden", aldus Mozilla. De Firefox-ontwikkelaar voegt toe Microsoft met dergelijk gedrag, waarbij het alleen aanpassingen doorvoert als gebruikers voldoende klagen, invloed heeft op wat mensen van technologie verwachten. "Het vertelt mensen dat de enige echte optie is om te klagen, totdat het bedrijf hopelijk toegeeft. Het maakt het ook lastiger voor alternatieven om te concurreren als een bedrijf zijn bereik en controle gebruikt om mensen terug naar de eigen producten te leiden." bron: https://www.security.nl

Het toevoegen van een nieuwe beveiligingsmaatregel aan Chrome heeft ervoor gezorgd dat er minder cookies bij gebruikers van de browser worden gestolen, zo claimt Google. De maatregel heet Device Bound Session Credentials (DBSC) en zorgt ervoor dat websites de sessie van een ingelogde gebruiker kunnen koppelen aan het specifieke systeem van de gebruiker. Dit moet het volgens Google lastiger maken om gestolen session cookies op andere systemen te gebruiken. Google stelt dat veel internetgebruikers besmet raken met infostealer-malware die session cookies van het systeem steelt. Deze cookies geven aan dat de gebruiker op een bepaalde website of account is ingelogd. Ze worden aangemaakt nadat de gebruiker is ingelogd. Door session cookies te stelen heeft een aanvaller dan ook direct toegang tot het betreffende account, waardoor het niet meer nodig is om het wachtwoord van de gebruiker te hebben of tweefactorauthenticatie te omzeilen. Als oplossing tegen dergelijke cookiediefstal bedacht Google Device Bound Session Credentials. Het techbedrijf wil dat dit uiteindelijk een open webstandaard wordt. DBSC koppelt de ingelogde sessie van de gebruiker aan het onderliggende apparaat. Bij DBSC maakt de browser een public/private key pair aan op het apparaat en gebruikt het besturingssysteem om de private key zo op te slaan dat die lastig is te exporteren. Dit kan bijvoorbeeld via de Trusted Platform Module van de computer. Het uniek gegenereerde public/private key pair kan niet van de machine worden gestolen, aldus Google. Daarnaast wordt er gewerkt met cookies die zeer snel verlopen. De Chrome-versie op het systeem van de gebruiker kan met deze kortlevende cookies werken omdat de browser aan de server kan aantonen over de bijbehorende private key te beschikken. Omdat aanvallers deze key niet kunnen stelen en gestolen cookies snel verlopen zijn ze nutteloos voor aanvallers geworden, aldus Google. Het techbedrijf stelt ook dat voor elke sessie een unieke key wordt gebruikt en DBSC websites niet in staat stelt om keys van verschillende sessies op hetzelfde apparaat te correleren. Dit moet volgens Google 'persistent user tracking' voorkomen. Verder claimt het techbedrijf dat DBSC geen betekenisvolle informatie over het apparaat lekt. De enige informatie die naar de server wordt gestuurd is de per-sessie public key, die de server gebruikt om later te controleren dat de gebruiker ook de bijbehorende private key in bezit heeft. Google rolde vorig jaar een vroege versie van het protocol uit. Bij sessies die met DBSC waren beveiligd zegt Google dat het een aanzienlijke daling heeft gezien van het aantal gestolen session cookies. Google heeft DSBC nu breed beschikbaar gemaakt in Chrome 146 voor Windows en zal de beveiligingsmaatregel ook aan een komende release voor macOS toevoegen. Daarnaast kijkt Google ook naar de mogelijkheden voor het gebruik van software-gebaseerde keys voor systemen die niet over aparte 'secure hardware' beschikken. bron: https://www.security.nl

LinkedIn is in de Verenigde Staten aangeklaagd over het scannen van browser-extensies van gebruikers. Aanleiding is een bericht van een vereniging genaamd Fairlinked. Die beweerde een aantal dagen geleden dat LinkedIn illegaal bij gebruikers op browser-extensies scant. Volgens de vereniging houdt Microsoft zich via deze praktijk bezig met de grootste zakelijke spionage-operatie in de recente geschiedenis. Fairlinked stelde ook dat gebruikers niet om toestemming wordt gevraagd, hier ook geen weet van hebben en dit niet in het privacybeleid van LinkedIn staat vermeld. "Omdat LinkedIn de echte naam weet van gebruikers, werkgever en functietitel, is het niet anonieme bezoekers aan het doorzoeken. Het doorzoekt medewerkers van bedrijven van wie het weet wie het zijn. Elke dag, wereldwijd." In een reactie op Hacker News stelde LinkedIn dat de aantijgingen niet kloppen en de persoon achter de stichting wegens scraping en andere overtredingen van de algemene voorwaarden met accountbeperkingen te maken heeft gekregen. LinkedIn liet ook weten dat het zoekt naar browser-extensies gebruikt voor het scrapen van informatie. De personen achter Fairlinked zouden ook betrokken zijn bij een Ests softwarebedrijf dat begin dit jaar LinkedIn aanklaagde, maar verloor. Volgens LinkedIn biedt het softwarebedrijf een extensie aan die gebruikersdata scrapet. In het privacybeleid schrijft LinkedIn dat het informatie over browser en 'add-ons' verzamelt. In de Nederlandse versie wordt gesproken over invoegtoepassingen. Twee rechtszaken die in de Verenigde Staten tegen LinkedIn zijn aangespannen zeggen dat dit niet duidelijk genoeg is. Door het scannen van browser-extensies niet expliciet te vermelden stellen de klagers dat de website hiervoor geen toestemming heeft en hun privacy is geschonden. In een reactie tegenover Ars Technica laat LinkedIn weten dat de rechtszaken ongegrond zijn. bron: https://www.security.nl

Een beveiligingsonderzoeker waarschuwt voor een actief aangevallen kwetsbaarheid in Adobe Reader waarvoor nog geen update beschikbaar is. Via het beveiligingslek, waar al vier maanden misbruik van zou worden gemaakt, kan allerlei informatie van systemen worden verzameld. Vervolgens wordt er op bepaalde doelwitten een verdere aanval uitgevoerd, aldus onderzoeker Haifei Li. Via de kwetsbaarheid, waarvoor nog geen CVE-nummer beschikbaar is, kan een aanvaller informatie over het besturingssysteem verzamelen, gebruikte Adobe Reader-versie en lokaal path van het pdf-bestand. De informatie wordt vervolgens naar een server van de aanvaller gestuurd. Ook is het via de kwetsbaarheid mogelijk om lokale bestanden te lezen. In een blogposting over de kwetsbaarheid meldt Li dat de exploit aanvallers niet alleen in staat stelt om lokale informatie te stelen, maar ook verdere aanvallen uit te voeren waarmee remote code execution of sandbox escapes mogelijk zijn, wat kan leiden tot volledige controle over het systeem van het slachtoffer. Op basis van informatie die andere onderzoekers over de aanval vonden stelt Li op X dat bij het misbruik niet alleen lokale informatie is verzameld, maar ook echt aanvullende exploits zijn uitgevoerd. Wat deze exploits precies doen kon niet worden achterhaald. Uit informatie die naar Googles online virusscanner VirusTotal werd geupload blijkt dat misbruik al sinds 28 november vorig jaar zou plaatsvinden. Adobe is nog niet met een reactie op de kwetsbaarheid gekomen. De door Li beschreven exploit maakt gebruik van JavaScript. Het is mogelijk om in Adobe Acrobat JavaScript uit te schakelen. bron: https://www.security.nl

Google waarschuwt organisaties voor social engineering-aanvallen op helpdeskmedewerkers die via live chat plaatsvinden. De aanvallers proberen aangevallen personeel naar phishingsites te lokken of malware te laten installeren. De groep aanvallers, die door Google UNC6783 wordt genoemd, probeert gevoelige data te stelen om slachtoffers daarmee af te persen. Volgens het techbedrijf zijn verschillende 'high-value corporate entities' in verschillende sectoren aangevallen. De aanvallers richten zich op Business Process Outsourcers (BPO's) die bijvoorbeeld voor de aangevallen organisaties de helpdesk en klantenservice verzorgen. Daarnaast zijn ook de helpdesks van de organisaties zelf het doelwit. De aanvallers benaderen de helpdeskmedewerkers via live chat en proberen die op nagemaakte Okta-pagina's te laten inloggen. Okta biedt een platform waar wereldwijd duizenden bedrijven gebruik van maken om werknemers toegang tot systemen en applicaties te geven. De phishingkit die de aanvallers inzetten kan multifactorauthenticatie (MFA) verificatie omzeilen door de inhoud van het clipboard te stelen, waarna de aanvallers hun eigen apparaten kunnen aanmelden om toegang te blijven houden, zegt Austin Larsen van de Google Threat Intelligence Group (GTIG) op LinkedIn. De aanvallers proberen daarbij specifiek inloggegevens van de Zendesk-omgeving van de aangevallen organisatie te bemachtigen. Zendesk biedt een online omgeving waarmee organisaties vragen van klanten en gebruikers kunnen verwerken. Het kan allerlei gevoelige gegevens bevatten. De aanvallers stelen deze informatie om daarmee bijvoorbeeld getroffen organisaties af te persen. Ook proberen de aanvallers aangevallen medewerkers zover te krijgen dat ze zogenaamde updates voor hun beveiligingssoftware installeren. In werkelijkheid gaat het om malware waarmee de aanvallers toegang tot het systeem krijgen. Google doet verschillende aanbevelingen om de aanvallen te voorkomen, waaronder het gebruik van phishingbestendige MFA, zoals FIDO hardware security keys. Tevens wordt aangeraden om live chat te monitoren en medewerkers over deze specifieke aanvalscampagne te informeren. Ook moeten organisaties monitoren op verdachte live chats waarbij personeel naar externe links wordt gestuurd. Onlangs werd bekend dat aanvallers vermoedelijk uit de Zendesk-omgeving van de populaire anime-streamingdienst Crunchyroll de gegevens van miljoenen gebruikers hebben gestolen. bron: https://www.security.nl

WordPress-sites worden actief aangevallen via een kritieke kwetsbaarheid in de plug-in Ninja Forms - File Uploads, zo meldt securitybedrijf Wordfence. Dat maakte op 6 april details over het probleem bekend. Niet veel later rapporteerde het securitybedrijf actief misbruik. Zo detecteerde Wordfence naar eigen zeggen de afgelopen 24 uur bijna negenhonderd aanvallen waarbij werd geprobeerd om WordPress-sites via het lek in de plug-in te compromitteren. Via Ninja Forms kunnen WordPress-beheerders allerlei soorten formulieren voor hun website ontwikkelen. De plug-in is op meer dan 600.000 websites actief, aldus cijfers van WordPress.org. Ninja Forms - File Upload is een betaalde uitbreiding voor Ninja Forms waarmee WordPress-sites een uploadveld aan hun formulieren kunnen toevoegen. Gebruikers van de websites kunnen zo via de formulieren allerlei soorten bestanden uploaden, bijvoorbeeld foto's of documenten gebruikt voor cv's. De File Uploads plug-in is op meer dan 50.000 WordPress-sites actief. Een ontbrekende 'file type validation' in de uploadfunctie zorgt ervoor dat er allerlei soorten bestandstypes naar de onderliggende webserver kunnen worden geupload, waaronder .php-bestanden. Omdat er geen 'filename sanitization' wordt toegepast is ook path traversal mogelijk, waardoor bestanden in de webroot directory zijn te plaatsen. Dit maakt het uploaden van malafide PHP-code mogelijk en daarmee remote code execution op de server. De kwetsbaarheid is volledig verholpen in versie 3.3.27 die op 16 maart uitkwam. Hoeveel websites inmiddels up-to-date zijn is onbekend. bron: https://www.security.nl

Een kritieke kwetsbaarheid in de WordPress-plug-in Ninja Forms - File Upload maakt het mogelijk voor aanvallers om kwetsbare websites volledig over te nemen. De ontwikkelaars hebben drie weken geleden een update voor het probleem uitgebracht. Hoeveel WordPress-sites die inmiddels hebben geïnstalleerd is onbekend. Ninja Forms - File Upload is een betaalde plug-in die op meer dan vijftigduizend websites wordt gebruikt. Via Ninja Forms kunnen WordPress-beheerders allerlei soorten formulieren voor hun website ontwikkelen. De plug-in is op meer dan 600.000 websites actief, aldus cijfers van WordPress.org. Ninja Forms - File Upload is een betaalde uitbreiding voor Ninja Forms waarmee WordPress-sites een uploadveld aan hun formulieren kunnen toevoegen. Gebruikers van de websites kunnen zo via de formulieren allerlei soorten bestanden uploaden, bijvoorbeeld foto's of documenten gebruikt voor cv's. Een ontbrekende 'file type validation' in de uploadfunctie zorgt ervoor dat er allerlei soorten bestandstypes naar de onderliggende webserver kunnen worden geupload, waaronder .php-bestanden. Omdat er geen 'filename sanitization' wordt toegepast is ook path traversal mogelijk, waardoor bestanden in de webroot directory zijn te plaatsen. Dit maakt het uploaden van malafide PHP-code mogelijk en daarmee remote code execution op de server, aldus securitybedrijf Wordfence. De kwetsbaarheid is volledig verholpen in versie 3.3.27 die op 16 maart uitkwam. Details over het probleem zijn nu bekendgemaakt. Voor extensies die via WordPress.org worden aangeboden wordt bijgehouden hoeveel sites de update hebben geïnstalleerd. In het geval van betaalde extensies die bedrijven via hun eigen websites aanbieden is deze informatie niet bekend. Beheerders worden opgeroepen om naar de nieuwste versie te updaten mocht dat nog niet zijn gedaan. bron: https://www.security.nl

Meerdere Node.js maintainers zijn het doelwit van social engineering-aanvallen geworden, afkomstig van dezelfde aanvallers die de maintainer van het Axios-project wisten te compromitteren. Dat meldt securitybedrijf Socket in een analyse. De aanvallen waren onder andere gericht tegen de ontwikkelaar van WebTorrent, StandardJS en buffer, maintainers van honderden ECMAScript polyfills en shims, de ontwikkelaar van Lodash, de maintainer van Fastify, Pino en Undici, leden van de Node Package Maintenance Working Group, medewerkers van Platformatic, de bedenker van Dotenv, een maintainer van mocha, neostandard, npm-run-all2 en type-fest en mensen betrokken bij de Node.js Security Working Group. Node.js is een open source, crossplatform JavaScript runtime omgeving waarmee ontwikkelaars JavaScript kunnen gebruiken voor het ontwikkelen van applicaties, tools en scripts. Onlangs werd bekend dat aanvallers het account van de primaire maintainer van het Axios-project hadden gehackt. Dit is een zeer populaire HTTP client library die applicaties onder andere gebruiken voor HTTP requests vanaf browsers en Node.js omgevingen. Applicaties gebruiken het om via HTTP met andere systemen te communiceren. De software telt meer dan honderd miljoen downloads per week. Via het gehackte account werden besmette versies gepubliceerd. Deze versies installeerden bij slachtoffers een remote access trojan (RAT), waardoor de aanvallers toegang tot hun systemen kregen. De Axios-maintainer publiceerde vorige week meer details over de aanval, waarbij zijn account door middel van social engineering was gehackt. Hij was benaderd door aanvallers, die zich daarbij voordeden als de oprichter van een bedrijf. Voor het gebruikte profiel waren zowel gegevens van de echte oprichter als het echte bedrijf gekloond. Uiteindelijk werd de Axios-maintainer gevraagd om deel te nemen aan een videogesprek via Microsoft Teams. De maintainer kreeg daarbij een melding te zien dat software op zijn systeem verouderd was en hij iets moest installeren. De maintainer deed dit. In werkelijkheid ging het om een remote access trojan waarmee de aanvallers toegang tot zijn systeem kregen en allerlei session cookies, tokens en andere credentials konden stelen. Nu blijkt dat de aanvallers via deze methode ook andere maintainers probeerden te hacken. Sommige van de aangevallen maintainers zijn verantwoordelijk voor packages met 114 miljoen en 137 miljoen wekelijkse downloads. De maintainers werden onder andere benaderd via LinkedIn. Eén van de aangevallen maintainers beschreef op LinkedIn de werkwijze van de aanvallers, waarbij ze probeerden hem een malafide app te laten installeren. Toen hij dit weigerde vroegen de aanvallers of hij een curl commando in zijn terminal wilde uitvoeren. Nadat de maintainer ook hier geen gehoor aan gaf verdwenen de aanvallers en verwijderden alle gesprekken. De groep aanvallers die voor de aanvallen verantwoordelijk wordt gehouden zou aan het Noord-Koreaanse regime zijn gelieerd en zich in het verleden hebben beziggehouden met aanvallen op cryptobedrijven en personen die over veel crypto bezitten. "Het npm-ecosysteem geeft aanvallers een ander soort toegang: schrijfrechten voor packages die worden gebruikt in de software supply chain van bedrijven wereldwijd", aldus Socket. In een reactie op de post mortem van de hack van de Axios-maintainer stelt een beveiligingsonderzoeker dat het belangrijk is dat slachtoffers en doelwitten hun verhalen blijven delen. "Schaam je niet. Bescherm elkaar tegen mensen die je stom noemen omdat je 'in phishing trapte'. Je bent niet stom." bron: https://www.security.nl

Thunderbird gaat de encryptiesleutels gebruikt voor versleutelde e-mail beoordelen en op basis hiervan een 'algemeen vertrouwensniveau' aan ontvangers tonen. "Er vindt een grote verschuiving plaats in de manier waarop we vertrouwen in versleutelde e-mail weergeven", zegt Toby Pilling van Thunderbird. "In plaats van encryptie als gewoon een aan/uit stand te behandelen, gaan we naar een oplopend betrouwbaarheidsmodel." Als onderdeel van dit model zal Thunderbird de sterkte van de gebruikte encryptiesleutel beoordelen, ongeacht of de encryptiesleutel handmatig is geverifieerd, ondersteund door een certificaatautoriteit of niet geverifieerd, en dan een algemeen vertrouwensniveau aan de gebruiker tonen. Volgens Pilling moet dit ervoor zorgen dat versleuteling meer vanzelf gaat, terwijl gebruikers nog steeds de informatie krijgen om te bepalen hoeveel ze een bepaald bericht kunnen vertrouwen. De gebruikersinterface die Thunderbird hiervoor zal gebruiken is bijna gereed. Verdere details zijn niet gegeven. bron: https://www.security.nl

Een kritieke kwetsbaarheid in de Cisco Integrated Management Controller (IMC) laat aanvallers het wachtwoord van de administrator aanpassen, om vervolgens als admin te kunnen inloggen. Er zijn beveiligingsupdates uitgebracht om het probleem (CVE-2026-20093) te verhelpen. De Cisco Integrated Management Controller is een oplossing waarmee beheerders op afstand op Cisco-servers kunnen inloggen. De oplossing gaat niet goed om met verzoeken voor het aanpassen van wachtwoorden. Een aanvaller kan hier misbruik van maken door een speciaal geprepareerd HTTP request naar het systeem te sturen. Vervolgens kan de aanvaller de authenticatie omzeilen, het wachtwoord van elke willekeurige gebruiker wijzigen, waaronder de Admin-gebruiker, en vervolgens als die gebruiker op het systeem inloggen. Verdere details zijn niet gegeven. Een externe onderzoeker ontdekte en rapporteerde het probleem aan Cisco. bron: https://www.security.nl

Ruim veertienduizend F5 BIG-IP APM-servers zijn toegankelijk vanaf internet, zo meldt The Shadowserver Foundation. Aanvallers maken actief misbruik van een kwetsbaarheid in het platform. Het is nog onbekend hoeveel kwetsbare F5 BIG-IP APM-servers online zijn. Via BIG-IP Access Policy Manager (APM) kunnen organisaties hun medewerkers toegang tot applicaties geven, ongeacht waar die worden gehost. Vorig jaar oktober kwam F5 met een beveiligingsupdate voor een kwetsbaarheid in het platform, aangeduid als CVE-2025-53521. In eerste instantie werd het probleem als een denial of service omschreven. Vorige maand besloot F5 dit op basis van nieuwe informatie te veranderen in een remote code execution kwetsbaarheid. Vervolgens waarschuwden verschillende overheidsdiensten, waaronder het Nationaal Cyber Security Centrum (NCSC) voor actief misbruik van de kwetsbaarheid. The Shadowserver Foundation is een stichting die vaak onderzoek doet naar kwetsbare systemen op internet. Bij de laatste scan besloot het te kijken hoeveel F5 BIG-IP APM-servers toegankelijk vanaf het internet zijn. Dit leverde meer dan 14.000 servers op, waarvan 362 in Nederland. Bij de scan werd niet gekeken hoeveel servers de update voor CVE-2025-53521 missen. bron: https://www.security.nl

Google heeft een update voor een actief aangevallen beveiligingslek in Chrome uitgerold. De kwetsbaarheid (CVE-2026-5281) bevindt zich in Dawn, een open source en crossplatform implementatie van de WebGPU-standaard. De impact van de kwetsbaarheid is door Google beoordeeld als 'high'. Bij kwetsbaarheden met het stempel 'high' kan een aanvaller in het ergste geval code binnen de context van de browser uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen. Kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hier ook onder. Dit soort lekken zijn op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem. Google geeft geen details over de waargenomen aanvallen. Het probleem was op 10 maart door een externe onderzoeker aan Google gerapporteerd. Het beveiligingslek is verholpen in Google Chrome 146.0.7680.177/178 voor Windows en macOS en Chrome 146.0.7680.177 voor Linux. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan in het geval van kwetsbaarheden met het stempel 'high' echter tot zestig dagen duren. Gebruikers die de update direct willen ontvangen zullen dan ook een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar. bron: https://www.security.nl

Onderzoekers hebben in de Google Play Store tientallen malafide Android-apps met miljoenen downloads ontdekt die, door gebruik te maken van bekende kwetsbaarheden, een rootkit installeren en vervolgens de WhatsApp-sessie van het slachtoffer klonen. De rootkit is niet met een fabrieksreset te verwijderen, zo laat antivirusbedrijf McAfee in een analyse weten. De meer dan vijftig apps, die bij elkaar minstens 2,3 miljoen downloads hebben, doen zich voor als eenvoudige tools of games. Eenmaal geïnstalleerd kijkt de malafide app of het Androidtoestel een bekende kwetsbaarheid bevat. Is dat het geval, dan wordt er een exploit gedownload waarmee vervolgens de rootkit wordt geïnstalleerd. Volgens de onderzoekers maken de exploits misbruik van kwetsbaarheden waar Google vanaf 2016 tot en met 2021 beveiligingsupdates voor uitbracht. Androidtoestellen met een patchniveau van 2021-05-01 zijn niet kwetsbaar voor de in totaal 22 exploits die de aanvallers toepassen. In het geval de exploit succesvol is wordt de rootkit geïnstalleerd. Die overschrijft een belangrijke system library, waardoor elke app op de telefoon code van de aanvaller uitvoert. De rootkit-installer vervangt ook het onderdeel van Android dat zich met afhandelen van crashes bezighoudt. Daarnaast worden er recovery scripts geïnstalleerd en kopieert de rootkit zichzelf ook naar de systeempartitie. Als één onderdeel wordt verwijderd kan de rootkit zichzelf weer installeren. Zodra de telefoon wordt herstart laadt de process launcher van Android de vervangen library, waardoor elke app meteen de code van de aanvaller uitvoert. De malware op de besmette telefoon maakt ook verbinding met de server van de aanvallers en wacht op nieuwe instructies. De aanvallers kunnen vervolgens allerlei payloads op het toestel uitvoeren. De onderzoekers van McAfee wisten één payload te identificeren. Deze payload kopieert de WhatsApp-encryptiedatabase, leest verschillende encryptiesleutels uit en steelt sessiegegevens. Met de gestolen keys en sessiedata kan de aanvallers de WhatsApp-sessie van het slachtoffer op een ander toestel klonen. De onderzoekers merken op dat de rootkit lastig is te verwijderen. Omdat die zichzelf naar de systeempartitie kopieert zal die namelijk niet bij een fabrieksreset worden verwijderd. Een fabrieksreset wist gebruikersgegevens, maar laat de systeembestanden intact. De onderzoekers stellen dat de firmware van de telefoon opnieuw moet worden geïnstalleerd om de malware weg te krijgen. Na te zijn ingelicht heeft Google de malafide apps uit de Play Store verwijderd. bron: https://www.security.nl