Captain Kirk

Aanvallers maken op grote schaal misbruik van een kritieke kwetsbaarheid in Ivanti Sentry, waarbij servers van een backdoor worden voorzien, zo waarschuwt The Shadowserver Foundation op basis van eigen onderzoek. Het gaat om beveiligingslek CVE-2026-10520, waarvan de impact de maximale CVSS-score van 10.0 op een schaal van 1 tot en met 10 heeft. Ivanti Sentry is software die wordt gebruikt voor het beheren en beveiligen van apparaten binnen een organisatie, vaak in combinatie met het Ivanti EPMM-systeem, zo laat het Nationaal Cyber Security Centrum (NCSC) weten. CVE-2026-10520 betreft een kwetsbaarheid waardoor OS command injection mogelijk is. Een ongeauthenticeerde remote aanvaller kan zo willekeurige code met rootrechten op de server uitvoeren en zo het systeem volledig overnemen. Ivanti kwam afgelopen dinsdag 9 juni met updates, die ook een ander kritiek lek verhelpen, en liet weten dat het nog niet met misbruik bekend was. Een dag later kwam cybersecuritybedrijf watchTowr met een blogposting waarin het beveiligingslek uitgebreid werd beschreven. "Er is een gedetailleerde blogpost gepubliceerd waarin de kwetsbaarheden in detail worden uitgelegd. Ook is inmiddels bekend dat de Ivanti Sentry via de Ivanti EPMM bereikt kan worden. De publicatie van deze blogpost vergroot de kans op misbruik", meldde het NCSC gisteren. Inmiddels maken aanvallers op grote schaal misbruik van het probleem, waarbij servers worden voorzien van een backdoor, aldus The Shadowserver Foundation. De stichting houdt zich bezig met onderzoek naar kwetsbare systemen op internet en beschikt ook over allerlei honeypots om aanvallen te detecteren. Verdere details over de aanvallen zijn nog niet bekend. bron: https://www.security.nl

Oracle heeft buiten de vaste patchcyclus om een noodpatch uitgebracht voor een kritieke kwetsbaarheid in PeopleSoft Enterprise PeopleTools waardoor remote code execution (RCE) mogelijk is. Organisaties worden opgeroepen de update meteen te installeren. Oracle's PeopleSoft Enterprise PeopleTools is de softwarelaag waarop PeopleSoft-applicaties worden ontwikkeld. Deze applicaties worden onder andere gebruikt voor HR, finance en administratieve toepassingen. PeopleTools biedt 'system-level' functionaliteit voor alle PeopleSoft-applicaties die er gebruik van maken, zo laat Oracle weten. De kritieke kwetsbaarheid, aangeduid als CVE-2026-35273, maakt het voor een ongeauthenticeerde aanvaller mogelijk om code op het systeem uit te voeren. Misbruik is volgens Oracle eenvoudig. Het bedrijf geeft geen details over de kwetsbaarheid, behalve dat die in het 'Updates Environment Management' onderdeel aanwezig is. Het beveiligingslek was gerapporteerd door onderzoekers van cybersecuritybedrijf Trend Micro. bron: https://www.security.nl

Microsoft heeft een beveiligingsupdate uitgebracht voor een actief aangevallen cross-site scripting (XSS) lek in Exchange Server en roept organisaties en beheerders op om de patch zo snel mogelijk te installeren. Op 14 mei kwam Microsoft al met een waarschuwing voor de kwetsbaarheid, aangeduid als CVE-2026-42897. Via het lek kan een aanvaller door middel van een speciaal geprepareerde e-mail JavaScript in de browser van Outlook Web Access-gebruikers uitvoeren. Zo kan er toegang tot e-mail en andere informatie worden verkregen. Microsoft werd door een externe partij over het misbruik ingelicht, maar heeft de naam van de melder niet bekendgemaakt. Verdere details over de aanvallen zijn ook niet gegeven. Het probleem raakt Microsoft Exchange Server 2016, Exchange Server 2019 en de Exchange Server Subscription Edition. Op het moment van de waarschuwing was er alleen een tijdelijke mitigatie beschikbaar. Nu is er een volledige beveiligingsupdate uitgebracht, zo meldt het techbedrijf. Klanten die de tijdelijke mitigatie voor het probleem eerder al van Microsoft ontvingen of uitrolden worden opgeroepen die te behouden en de update zo snel mogelijk te installeren. bron: https://www.security.nl

Aanvallers zijn erin geslaagd om in te breken op de omgevingen van ServiceNow-klanten, waarbij er ook toegang tot klantgegevens is verkregen, zo heeft het bedrijf zelf laten weten. Vanwege de aanval heeft ServiceNow een beveiligingsupdate onder 'hosted customer instances' uitgerold. ServiceNow biedt een platform voor het automatiseren van workflows, vooral gericht op it-servicemanagement. In een bericht aan klanten laat ServiceNow weten dat een 'security issue' ervoor zorgde dat een ongeauthenticeerde gebruiker in bepaalde gevallen verdere toegang tot ServiceNow-omgevingen kreeg dan bedoeld. Bij de omgevingen van een niet nader genoemd aantal klanten heeft de aanvaller ook informatie opgevraagd. Om welke informatie het precies gaat laat de melding niet weten. Deze klanten zijn inmiddels ingelicht, aldus ServiceNow. Het bedrijf stelt dat het beveiligingsprobleem alleen klanten heeft geraakt die op de 'Australia platform release' zitten of bepaalde configuratie-aanpassingen aan eerdere versies hebben doorgevoerd. Australia is de naam die ServiceNow voor een bepaalde versie hanteert. De update die ServiceNow bij klanten heeft doorgevoerd wijzigt de endpoint-configuratie, zodat alleen geauthenticeerde gebruikers toegang hebben. Het is nog onbekend of een CVE-nummer aan het door de aanvallers gebruikte 'security issue' wordt toegekend. bron: https://www.security.nl

Adobe adviseert beheerders om een kritieke beveiligingsupdate voor ColdFusion zo snel mogelijk te installeren, waarbij als voorbeeld binnen 72 uur wordt genoemd. Kwetsbaarheden in ColdFusion zijn in het verleden geregeld misbruikt bij aanvallen. ColdFusion is een platform voor het ontwikkelen van webapplicaties. Adobe meldt dat ColdFusion verschillende kritieke beveiligingslekken bevat waardoor een aanvaller willekeurige code kan uitvoeren, beveiligingsmaatregelen kan omzeilen, willekeurige bestanden kan lezen en rechten kan verhogen. De problemen zijn verholpen in ColdFusion 2025 Update 9 en ColdFusion 2023 Update 20. Adobe heeft het installeren van de updates de hoogste prioriteitsscore gegeven. Het doet dit alleen in het geval van producten die in het verleden zijn aangevallen of kans lopen om te worden aangevallen. Adobe is niet bekend met misbruik van de nu verholpen problemen. Het Amerikaanse cyberagentschap CISA houdt een overzicht bij van aangevallen kwetsbaarheden in allerlei producten. In het overzicht staan zestien ColdFusion-lekken waarvan is bevestigd dat ze bij aanvallen zijn ingezet. bron: https://www.security.nl

Tijdens de patchdinsdag van juni heeft Microsoft updates voor meer dan tweehonderd kwetsbaarheden uitgebracht, waaronder een beveiligingslek in de Windows-kernel waardoor remote code execution mogelijk is en een bypass voor de BitLocker-encryptie die fysieke aanvallers toegang tot versleutelde data geeft. Tevens zijn verschillende andere kritieke beveiligingslekken gepatcht waardoor een remote aanvaller code op systemen kan uitvoeren. Eén van de gevaarlijkst beveiligingslekken deze maand is CVE-2026-45657. Het gaat om een 'use after free'-kwetsbaarheid in de Windows-kernel, veroorzaakt door de manier waarop de Windows-kernel bepaalde TCP/IP-data verwerkt. Een aanvaller kan dit misbruiken om, zonder enige interactie van de gebruiker, code met SYSTEM-rechten op het systeem uit te voeren. Misbruik is mogelijk door speciaal geprepareerd netwerkverkeer naar een kwetsbaar Windows-systeem te sturen. Dustin Childs van cybersecuritybedrijf ZDI waarschuwt dat een computerworm misbruik van het lek zou kunnen maken. De kwetsbaarheid is aanwezig in Windows 11, Windows Server 2022 en Windows Server 2025. Twee beveiligingslekken, aanwezig in HTTP.sys (CVE-2026-47291) en de DHCP Client Service (CVE-2026-44815), maken ook remote code execution mogelijk en hebben dezelfde impactscore van 9.8 als het beveiligingslek in de Windows-kernel. Tevens is Microsoft met een patch gekomen voor een kwetsbaarheid (CVE-2026-50507) waardoor de BitLocker-schijfversleuteling te omzeilen is. Voorwaarde is wel dat een aanvaller fysieke toegang tot het systeem heeft. Microsoft verwacht dat aanvallers misbruik van de kwetsbaarheid zullen maken. Eerder had softwarebedrijf Elcomsoft, dat forensische software voor politie en opsporingsdiensten ontwikkelt, gesteld dat forensisch onderzoekers het lek kunnen gebruiken om toegang tot data op systemen te krijgen. De Windows-updates worden op de meeste systemen automatisch geïnstalleerd. bron: https://www.security.nl

Een kritieke kwetsbaarheid in de software van Veeam maakt remote code execution op back-upservers mogelijk. Het bedrijf heeft updates uitgebracht om het probleem te verhelpen. Het beveiligingslek bevindt zich in de back-upsoftware Veeam Backup & Replication. Via deze oplossing kunnen organisaties back-ups maken en restoren. Het lek (CVE-2026-44963) zorgt ervoor dat een geauthenticeerde domain user willekeurige code op de back-upserver kan uitvoeren. In het beveiligingsbulletin meldt Veeam dat de kwetsbaarheid alleen versie 12 van Backup & Replication raakt. Daarnaast lopen alleen 'domain-joined' back-upservers risico. Eerder liet cybersecuritybedrijf Rapid7 weten dat dit een veelvoorkomende configuratie is. Veeam maakt geen melding van misbruik van het probleem. Andere Veeam-lekken zijn echter wel in het verleden bij aanvallen ingezet. Het Amerikaanse cyberagentschap CISA houdt een overzicht bij van actief aangevallen kwetsbaarheden. Daarin staan vier verschillende Veaam-kwetsbaarheden vermeld. bron: https://www.security.nl

Twee kritieke kwetsbaarheden in Ivanti Sentry maken het mogelijk voor ongeauthenticeerde aanvallers om kwetsbare servers volledig op afstand over te nemen. Ivanti heeft vandaag beveiligingsupdates uitgebracht om de problemen te verhelpen en zegt niet met misbruik bekend te zijn. De impact van de twee kwetsbaarheden (CVE-2026-10520 en CVE-2026-10523) is op een schaal van 1 tot en met 10 beoordeeld met respectievelijk een 10.0 en 9.9. Ivanti Sentry is een gateway die verkeer tussen mobiele apparaten en mailservers van de organisatie of andere backends beheert, versleutelt en beveiligt. CVE-2026-10520 betreft een kwetsbaarheid waardoor OS command injection mogelijk is. Een ongeauthenticeerde remote aanvaller kan zo willekeurige code met rootrechten op de server uitvoeren en zo het systeem volledig overnemen. Via CVE-2026-10523 kan een ongeauthenticeerde aanvaller de authenticatie omzeilen, willekeurige admin-accounts aanmaken en volledige admin-toegang krijgen. Zoals gezegd is Ivanti niet bekend met misbruik van de twee Sentry-lekken. Andere kwetsbaarheden in het product zijn in het verleden wel bij aanvallen misbruikt. Organisaties worden opgeroepen om de beschikbare beveiligingsupdates te installeren. bron: https://www.security.nl

Aanvallers maken nog altijd misbruik van een oud beveiligingslek in het populaire archiveringsprogramma WinRAR, zo meldt antivirusbedrijf Trend Micro. Volgens de virusbestrijder blijven aanvallers de kwetsbaarheid inzetten omdat die lastig voor organisaties te patchen is. Het path traversal-lek (CVE-2025-8088) zorgt ervoor dat een aanvaller bestanden naar willekeurige mappen kan schrijven als het doelwit een speciaal geprepareerd bestand opent. De gebruiker krijgt als afleidingsmanoeuvre bijvoorbeeld een pdf-document te zien, terwijl er in de achtergrond een bestand in de Windows Startup map is geplaatst. Dit bestand wordt de volgende keer dat de gebruiker inlogt automatisch uitgevoerd en zorgt ervoor dat het systeem met malware besmet raakt. Het probleem werd op 24 juli vorig jaar verholpen in de bètaversie van WinRAR 7.13. De definitieve versie van WinRAR 7.13 verscheen op 30 juli. Aanvallers maakten al voor het verschijnen van de updates misbruik van het probleem. Google meldde begin dit jaar grootschalig misbruik van het WinRAR-lek door verschillende groepen aanvallers. Een half jaar later wordt de kwetsbaarheid nog altijd bij aanvallen ingezet, aldus Trend Micro. "De kwetsbaarheid werkt omdat WinRAR op genoeg endpoints niet gepatcht is", aldus de virusbestrijder. Hierdoor loont het voor aanvallers om misbruik van het lek te blijven maken. WinRAR beschikt niet over een automatische updatefunctie, ondersteunt geen Group Policy en valt buiten zakelijke patchsystemen zoals WSUS, SCCM of Intune, merkt het antivirusbedrijf op. Het controleren van de patchstatus op honderden endpoint vereist zodoende third-party tools of een handmatige controle, aldus Trend Micro. "Software met deze eigenschappen blijft lang te misbruiken nadat patches zijn verschenen, wat voor een permanente blinde vlek in het vulnerability management van organisaties zorgt." bron: https://www.security.nl

Aanvallers maken actief misbruik van kwetsbaarheden in de WordPress-plug-ins Everest Forms Pro en Burst Statistics voor het aanvallen van websites. Via de beveiligingslekken kunnen ongeauthenticeerde aanvallers onder andere zelf een admin-account aanmaken en zo de website volledig overnemen. Burst Statistics is een plug-in waarmee WordPress-sites allerlei informatie over hun bezoekers kunnen verzamelen. De plug-in wordt door de ontwikkelaars omschreven als een 'privacyvriendelijk' alternatief voor Google Analytics. Burst Statistics is op meer dan tweehonderdduizend websites geïnstalleerd. Een functie in de plug-in gebruikt voor de authenticatie controleert niet goed of het opgegeven wachtwoord correct is. Een aanvaller die de naam van administrator weet kan, in combinatie met een fake wachtwoord, een nieuw admin-account aanmaken. De ontwikkelaar kwam op 12 mei met versie 3.4.2 waarin het probleem is verholpen. Volgens cybersecuritybedrijf Wordfence maken aanvallers sinds 13 mei misbruik van het probleem. Het bedrijf publiceerde die dag een blogposting met details over het probleem en zag vervolgens actief misbruik. De afgelopen weken werden meer dan 110.000 aanvalspogingen waargenomen. Everest Forms Pro is ook een plug-in voor WordPress. Via de software kunnen gebruikers hun eigen contactformulieren, nieuwsbrieven, quizzen en betaalformulieren vormgeven. Er is een gratis versie en een betaalde versie. De actief misbruikte kwetsbaarheid bevindt zich in de betaalde versie van de plug-in, die naar schatting op vierduizend websites draait. Via het lek kan een ongeauthenticeerde aanvaller speciaal geprepareerde waardes in een formulier van de WordPress-site invoeren, waardoor het mogelijk is om PHP-code op de onderliggende server uit te voeren. Ook bij deze aanvallen proberen aanvallers een admin-account aan te maken, aldus Wordfence. Het bedrijf zegt dat het zo'n dertigduizend aanvallen gericht tegen dit lek heeft waargenomen. bron: https://www.security.nl

De Europese Commissie heeft vandaag een plan gepresenteerd om Europa digitaal soeverein te maken. Als onderdeel van het 'Technological Sovereignty Package' zal worden geïnvesteerd in halfgeleiders, AI, cloud en open source en komt er ook beleid voor deze onderwerpen. Volgens Brussel is het belangrijk dat Europa op deze belangrijke technologische gebieden op eigen benen kan staan. "Europeanen verdienen het vertrouwen dat hun gegevens in een veilige en betrouwbare digitale omgeving worden opgeslagen, met een duidelijke bescherming tegen ongewenste uitwisseling. Door de structurele afhankelijkheden te verminderen en ervoor te zorgen dat Europa de technologieën kan ontwikkelen, uitrollen en beveiligen waarop Europeanen vertrouwen, bouwen we een veiligere en betrouwbare toekomst voor onszelf", aldus de Europese Commissie. Eén van de onderdelen van het vandaag gepresenteerde pakket is de Europese Opensourcestrategie. Die moet het gebruik van bestaande opensource-oplossingen in de publieke en private sectoren aanmoedigen, Europese organisaties ondersteunen bij het bijdragen aan de ontwikkeling van open source, zoals alternatieven voor Amerikaanse software, en het versterken van het Europese opensource-ecosysteem. De Europese Commissie gaat over de onderliggende wetsvoorstellen nu onderhandelen met het Europees Parlement en de lidstaten. bron: https://www.security.nl

Stichting Privacy First is bang dat de wallet voor de Europese Digitale Identiteit (EUDI) toch verplicht wordt gesteld, ook al heeft het kabinet altijd gesteld dat het gebruik vrijwillig zal zijn. Daarnaast waarschuwt de privacystichting in een brief aan de Tweede Kamer voor andere risico's die bij het gebruik van de wallet komen kijken (pdf). De vrijwilligheid van de EUDI-wallet staat morgen op de agenda van de procedurevergadering van de commissie Financiën van de Tweede Kamer. De Europese Commissie presenteerde in 2021 plannen voor de invoering van een digitale identiteit waarmee burgers zich in de gehele Europese Unie kunnen identificeren. Vanuit een speciale wallet-app voor smartphones en 'andere apparaten' moeten burgers zich kunnen identificeren en elektronische documenten delen. Grote platformen zullen worden verplicht om de nieuwe Europese digitale identiteit te accepteren. Het kabinet heeft altijd gesteld dat het gebruik van de wallet vrijwillig zal zijn, maar Privacy First betwijfelt dit. Volgens de stichting zal de wallet als gevolg van nieuwe antiwitwasregels in de praktijk verplicht worden voor grote bedrijven met witwasbestrijdingsverplichtingen, zoals banken. In de eIDAS verordening is wel een vrijwilligheidsbepaling opgenomen, maar die wordt volgens Privacy First ondergraven doordat financiële instellingen in Nederland vrijwel geen fysieke kantoren meer hebben en in de praktijk aansturen op digitale identificatie van hun cliënten. De stichting stelt dat deze problematiek ook in andere domeinen dan de witwasbestrijding gaat spelen. "Overigens bevestigt de Europese Banken Federatie (EBF) in hun recente commentaar op de ontwerp-RTS dat de EUDI-wallet verplicht wordt gesteld", merkt Privacy First in de brief op. In de brief noemt de stichting ook andere risico's rond het gebruik van de EUDI-wallet en stelt het verschillende vragen aan de Kamerleden. Het gaat onder andere om hoe voorkomen wordt dat digitale identificatie een hulpmiddel wordt om mensen permanent in de gaten te houden en hun leven te beïnvloeden, waar de gegevens precies terechtkomen en of de wallet is te gebruiken zonder apparaat met een besturingssysteem van Big Tech, zoals Microsoft, Google of Apple. De wallet-app die de Nederlandse overheid op dit moment ontwikkelt vereist het gebruik van een Apple- of Google-account. bron: https://www.security.nl

OpenSSL komt op 9 juni met een belangrijke beveiligingsupdate, zo heeft het ontwikkelteam aangekondigd. De update verhelpt één of meerdere kwetsbaarheden waarvan de impact als "High" is bestempeld. Dergelijke kwetsbaarheden worden zelden in OpenSSL gerapporteerd. Sinds 2002 werden in totaal 22 kwetsbaarheden gerapporteerd met een High impact. De afgelopen drie en een half jaar ging het om slechts drie van dergelijke beveiligingslekken. Details over de kwetsbaarheden die volgende week worden verholpen geeft het OpenSSL-team niet. Beveiligingslekken die als High zijn aangemerkt maken het mogelijk voor aanvallers om bijvoorbeeld private keys van servers te stelen of remote code uit te voeren. De reden dat dergelijke kwetsbaarheden als High zijn aangemerkt en niet als Critical is dat het probleem niet bij standaardconfiguraties voorkomt of minder eenvoudig te misbruiken is. OpenSSL versies 4.0.1, 3.6.3, 3.5.7, 3.4.6 en 3.0.21 verschijnen op 9 juni tussen 15.00 en 19.00 uur Nederlandse tijd. Voor betalende klanten komen ook versies 1.0.2zq en 1.1.1zh beschikbaar. OpenSSL behoort tot de meest gebruikte software voor het versleutelen van internetverbindingen. Websites maken er bijvoorbeeld gebruik van om het verkeer van en naar bezoekers te versleutelen. Kwetsbaarheden in OpenSSL kunnen zeer grote gevolgen voor het internet hebben, zo heeft de Heartbleed Bug in het verleden aangetoond. bron: https://www.security.nl

Bij een bruteforce-aanval op online wachtwoordmanager Dashlane is van een aantal klanten de wachtwoordkluis gestolen, zo laat het bedrijf zelf weten. Dashlane biedt een cloudgebaseerde wachtwoordmanager waar gebruikers via een master password op kunnen inloggen. Dit weekend meldde Dashlane dat een niet nader genoemd aantal gebruikersaccounts het doelwit van een bruteforce-aanval was geworden en er daarop besloten was om de toegang tot deze accounts tijdelijk op te schorten. Gebruikers hadden daardoor enige tijd geen toegang tot hun wachtwoorden en andere inloggegevens die in de kluis waren opgeslagen. Volgens Dashlane was de bruteforce-aanval gericht op de tweefactorauthenticatie (2FA) beveiliging en probeerden de aanvallers nieuwe apparaten aan bestaande gebruikersaccounts toe te voegen. Vanwege het grote aantal pogingen werden aangevallen accounts automatisch geblokkeerd. Bij minder dan twintig gebruikers wisten de aanvallers de versleutelde wachtwoordkluis te downloaden. Om toegang tot de wachtwoorden te krijgen die in deze kluizen zijn opgeslagen is het master password van de betreffende gebruikers nodig. Dashlane stelt dat de gebruikte encryptie voor de wachtwoordkluizen lastig te kraken is. Getroffen gebruikers zijn inmiddels ingelicht. De wachtwoordmanager stelt verder dat het stappen heeft genomen om het risico op toekomstige incidenten te mitigeren. Wat die inhouden is niet bekendgemaakt. Daarnaast zijn er ook geen verdere details over de aanval gegeven. bron: https://www.security.nl

Tienduizenden WordPress-sites zijn via een kritiek lek in een plug-in genaamd Kirki zeer eenvoudig over te nemen. De ontwikkelaars hebben op 18 mei een update beschikbaar gesteld, maar veel websites missen op het moment van schrijven deze patch en zijn zodoende nog altijd kwetsbaar. Kirki is een 'freeform visual builder' voor het vormgeven en opzetten van WordPress-sites. Meer dan een half miljoen WordPress-sites maken er gebruik van. Via een kritieke kwetsbaarheid in Kirki kunnen aanvallers zonder al teveel moeite het account van de admin en andere gebruikers overnemen. De plug-in biedt via een 'forgot password' functie de optie voor het uitvoeren van een wachtwoordreset. De gebruiker moet hierbij zijn gebruikersnaam of e-mailadres opgeven. Op basis van het request zoekt de plug-in de bijbehorende gebruiker, genereert een key om het wachtwoord te resetten en stuurt de resetlink naar die gebruiker. Een kritieke logicafout in de plug-in zorgt ervoor dat een aanvaller de resetlink naar zijn eigen e-mailadres kan laten sturen. Wanneer een geldige gebruikersnaam wordt opgegeven zoekt de plug-in het bijbehorende account. In plaats van het bijbehorende e-mailadres te gebruiken zoals in de database staat, gebruikt de plug-in het e-mailadres dat in de 'forgot password request' is opgegeven. Een aanvaller kan zo zijn eigen e-mailadres opgeven en daarna bijvoorbeeld een resetlink voor het admin-account ontvangen. Daarmee is vervolgens de website volledig over te nemen. De ontwikkelaars van Kirki werden op 15 mei ingelicht en kwamen drie dagen later met versie 6.0.7 waarin het probleem is verholpen, zo meldt securitybedrijf Wordfence. De enige vermelding van de kwetsbaarheid in de release notes is deze regel: "Fix: Unauthenticated Privilege Escalation via ‘handle_forgot_password’". Het probleem raakt alleen Kirki versie 6.0 tot en met 6.0.6. Volgens WordPress.org draaien zo'n 200.000 websites versie 6.x. Dezelfde cijfers van WordPress.org laten ook zien dat tienduizenden sites de update nog niet hebben geïnstalleerd. bron: https://www.security.nl

Leeftijdsverificatie, of beter gezegd 'identiteitsverificatie', kan het einde van het vrije internet betekenen, zo vreest vpn-provider Mullvad. Het bedrijf stelt in een lang betoog dat het bang is voor een toekomst zoals beschreven in het boek 1984 van George Orwell, waarbij straks alleen door de staat geleverde telefoons en computers zijn toegestaan. Steeds meer landen zijn bezig met de invoering van leeftijdsverificatie voor social media en andere websites of hebben hier plannen voor. In sommige landen, waaronder het Verenigd Koninkrijk en de Verenigde Staten, wordt ook gesproken over leeftijdsverificatie voor vpn-providers. "Als leeftijdsverificatie wordt geïntroduceerd, zal iedereen zich moeten identificeren bij de service/website die ze willen gebruiken of tegenover een derde partij die hen kan koppelen aan hun activiteit op die service/website", aldus Mullvad. "De juiste term voor leeftijdsverificatie zoals het nu wordt geïmplementeerd is daarom identiteitsverificatie. Gegeven de infrastructuur van het internet is het onredelijk om aan te nemen dat deze informatie niet via commerciële overeenkomsten of met overheden zal worden gedeeld." De introductie van 'identiteitsverificatie' zal daarom de vrijheid van informatie aan banden leggen, stelt Mullvad. "Je kunt niet langer anoniem gereguleerde websites bezoeken en je kunt niet langer anoniem op social media reageren. Je weet niet langer of je kritiek op de overheid consequenties heeft. Je kunt niet langer een digitaal initiatief op social media starten om mensen bijeen te brengen om een autoriteit te bekritiseren, zonder dat dit grote gevolgen heeft. Afhankelijk van het land waar je woont kan dit zelfs je leven in gevaar brengen." 1984 Sommige landen pleiten ervoor om leeftijdsverificatie op het niveau van systemen, appstores of besturingssystemen in te bouwen. Gebruikers die zich hieraan willen onttrekken zouden in deze gevallen kunnen kiezen voor opensourcesystemen. Die zijn bij definitie niet volledig door de autoriteiten te besturen, omdat ze open en aanpasbaar zijn, merkt Mullvad op. "In dergelijke systemen kan niemand anders bepalen welke apps je downloadt of welke websites je bezoekt, en kan identiteitsverificatie niet worden opgelegd tenzij je er zelf voor kiest." Landen die volledige controle willen en dat iedereen identiteitsverificatie ondergaat zouden mensen dan ook moeten verbieden om eigen apparatuur te bezitten waar ze zelf de controle over hebben, gaat Mullvad verder. "Omdat opensourcesystemen niet te controleren zijn, zouden politici uiteindelijk apparaten moeten verbieden die niet door de staat worden gecontroleerd. Het eindpunt: telescreens zoals die in 1984 van George Orwell, apparaten die je zowel in de gaten houden als alleen door de staat goedgekeurde informatie uitzenden." 'Europese leeftijdsverificatie-app niet anoniem' Eerder dit jaar kwam de Europese Commissie met de claim dat de leeftijdsverificatie-app die het heeft ontwikkeld 'volledig anoniem' is. Dat is volgens Mullvad niet het geval. Gebruikers van de app moeten hun identiteit bij een derde partij verifiëren, bijvoorbeeld via een identiteitsbewijs. De derde partij die de verificatie uitvoert kunnen de EU-lidstaten zijn. De partij de verificatie uitvoert verstrekt vervolgens een credential waarmee het socialmediaplatform kan zien dat de betreffende gebruiker oud genoeg is. Volgens Mullvad is er een probleem met deze opzet. De derde partij weet namelijk welke credentials bij welke persoon horen. Wanneer de autoriteiten onwelgevallige content op social media tegenkomen zouden ze het platform om de bijbehorende leeftijds-credential kunnen vragen, waarmee het eenvoudig is om de bijbehorende persoon te identificeren. "Het gevolg is dat je niet meer anoniem kunt posten", waarschuwt de vpn-provider. Een oplossing voor dit probleem is Zero-Knowledge Proof (ZKP) cryptografie. Hierbij moeten gebruikers nog steeds hun identiteit bij een derde partij laten verifiëren, maar die partij kan de verstrekte credentials niet koppelen aan de accounts van gebruikers op websites en platforms. De Europese leeftijdsverificatie-app beschikt op dit moment niet over ZKP-functionaliteit. Zelfs als de app dit gaat ondersteunen zou het een optionele extra feature zijn die landen kunnen uitschakelen en die de EU op elk moment kan verwijderen, claimt Mullvad. De vpn-provider schrijft dat de "veiligheid" van kinderen al geruime tijd door inlichtingendiensten en autoriteiten wordt gebruikt als breekijzer voor het introduceren van massasurveillance. "De haast waarmee leeftijdsverificatie wordt ingevoerd, moet worden afgeremd, en politici die geen samenleving willen met totale surveillance van burgers, moeten de gevolgen van verschillende soorten wetgeving beseffen", besluit Mullvad het betoog. bron: https://www.security.nl

De afgelopen dagen hebben hackers tal van bekende en populaire Instagram-accounts overgenomen nadat ze Meta's AI-bot hadden gevraagd om het wachtwoord van de accounts te resetten. Op Telegram verschenen video's waarop te zien is hoe de aanval kan worden uitgevoerd, melden it-journalist Brian Krebs en 404 Media. De eerste stap is het gebruik van een vpn-verbinding met een ip-adres in de buurt van de locatie van het slachtoffer. Vervolgens voert de aanvaller een wachtwoordreset van het account uit en start dan een chat met Meta's AI support assistant. De aanvaller vraagt de AI-bot dan om het Instagram-account in kwestie te koppelen aan een nieuw e-mailadres, waarna de AI-bot een one-time code naar dat adres stuurt waarmee het wachtwoord is te wijzigen. Afgelopen maart maakte Meta bekend dat het AI-support aan alle accounts op Facebook en Instagram zou toevoegen en dat het ook in staat is om wachtwoorden te resetten. In een reactie op X laat Meta weten dat het probleem is opgelost en getroffen accounts worden beveiligd. Verdere details over de oorzaak van het probleem en het aantal gehackte accounts zijn niet gegeven. bron: https://www.security.nl

Een kritieke kwetsbaarheid in de plug-in WP Maps Pro, waardoor een ongeauthenticeerde aanvaller admin kan worden, raakt meer dan vijftienduizend websites. Er is een update uitgebracht om het probleem te verhelpen, maar het is onbekend hoeveel websites die hebben geïnstalleerd. Via WP Maps Pro kunnen WordPress-sites kaarten van Google Maps en OpenStreetMap integreren en daarop verschillende vestigingen of locaties tonen, alsmede routers en andere informatie. Het gaat hier om een commerciële plug-in, die volgens de ontwikkelaars bijna zestienduizend keer is verkocht. De plug-in beschikte over een 'tijdelijke toegangsfeature' waardoor de ontwikkelaar tijdelijk toegang tot de websites van klanten kon krijgen om zo eventuele problemen te verhelpen. Deze functie is beveiligd met een 'nonce check', maar een beveiligingsonderzoeker ontdekte dat ongeauthenticeerde gebruikers deze nonce kunnen achterhalen, waardoor ze de functie alsnog kunnen aanroepen om vervolgens admin-toegang tot de website krijgen, zo waarschuwt securitybedrijf Wordfence. Een aanvaller kan zo malafide plug-ins installeren, backdoors injecteren, data stelen of webshells installeren om toegang tot de gecompromitteerde server te behouden. Het ontwikkelteam kwam op 20 mei met versie 6.1.1 waarin een "temporary access permission issue" is verholpen. Inmiddels is versie 6.1.2 verschenen waarin de tijdelijke toegangsfeature vanwege een "security reason" volledig is verwijderd. In tegenstelling tot gratis WordPress-plug-ins die via WordPress.org worden aangeboden zijn er in het geval van commerciële plug-ins geen cijfers over versienummers bekend. Daardoor is het onduidelijk hoeveel websites met de plug-in WP Maps Pro up-to-date zijn. bron: https://www.security.nl

Onderzoekers hebben een manier gevonden waardoor websites hun bezoekers aan de hand van SSD-activiteit kunnen bespioneren. Zo is het mogelijk om te zien welke andere websites er worden bezocht en welke applicaties de bezoekers gebruikt, zonder dat hiervoor enige interactie voor is vereist. De 'FROST' sidechannel-aanval kent wel verschillende beperkingen, zoals het gebruik van bestanden van meer dan een gigabyte. Ook is de aanval alleen volledig op macOS getest (pdf). FROST maakt gebruik van JavaScript in combinatie met het Origin Private File System (OPFS). Via het OPFS kunnen websites en webapplicaties bestanden op een virtueel, gesandboxt filesystem van bezoekers opslaan. Websites kunnen deze opslagruimte zelf aanmaken, er is geen interactie van gebruikers vereist. In het geval van Firefox ondersteunt OPFS tien procent van de totale schijfruimte of tien gigabyte. Bij de aanval wordt een groot OPFS-bestand op de SSD-schijf van bezoekers aangemaakt en continu uitgelezen via JavaScript. Door de timing van bepaalde operaties op de SSD-schijf te meten wisten onderzoekers te bepalen welke websites de bezoeker in andere tabs open had en welke applicaties de bezoeker op dat moment had draaien. Wanneer de bezoeker een andere website bezoekt of applicatie gebruikt heeft dit gevolgen voor de snelheid waarmee het OPFS-bestand wordt uitgelezen. Door een convolutional neural network (CNN) te trainen kan vervolgens worden achterhaald welke andere sites de bezoeker open heeft staan of welke software hij gebruikt. De onderzoekers erkennen dat hun aanval verschillende beperkingen kent. Zo moet er een groot OPFS-bestand worden aangemaakt bij bezoekers en kan het op systemen met meerdere schijven lastig zijn om te bepalen welke applicaties er actief zijn. Ook kan de aanval enige tijd in beslag nemen. Om de aanval te voorkomen of beperken kunnen gebruikers tabs van niet meer gebruikte websites sluiten of de toegestane bestandsgrootte beperken tot één gigabyte. In dat geval wordt het OPFS-bestand alleen in het geheugen geladen en heeft zo geen SSD-toegang. Een mogelijke oplossing volgens de onderzoekers is om OPFS alleen in te schakelen na toestemming van gebruikers of anders gebruikers te waarschuwen wanneer er in korte tijd veel data naar het OPFS wordt geschreven. bron: https://www.security.nl

De website van het Europees Netwerk van Security Operations Centres (ENSOC) is online gekomen. Het ENSOC is een Europees samenwerkingsproject van acht lidstaten gericht op het real-time uitwisselen van dreigingsinformatie, geautomatiseerde incidentrespons en afstemming op regelgeving. Het Nationaal Cyber Security Centrum (NCSC) is één van de deelnemende partijen en onder andere verantwoordelijk voor de inkoop en integratie van Cyber Threat Intelligence (CTI) feeds en de coördinatie tussen partners. Naast Nederland doen ook Spanje, Portugal, Italië, Oostenrijk, Slovenië, Luxemburg en Roemenië mee. "Door beter informatie te delen over cyberdreigingen kunnen deze landen cyberaanvallen sneller herkennen, beter inschatten en sneller op reageren", aldus het NCSC. Het ENSOC stelt zelf op de eigen website dat het vooraanstaande cybersecurity-experts uit Europa bijeenbrengt en hun expertise gebruikt voor threat intelligence, incident response en het analyseren van kwetsbaarheden. Hoewel de website van het ENSOC nu live is bevat die nog niet heel veel informatie. bron: https://www.security.nl

Oracle heeft voor het eerste in het eigen bestaan een Critical Security Patch Update (CSPU) uitgebracht en roept organisaties op om die zo snel mogelijk te installeren. Het gaat hierbij om beveiligingsupdates voor kritieke kwetsbaarheden in producten van het softwarebedrijf. Normaliter kwam Oracle eens per kwartaal met patches, maar het bedrijf zegt vanwege AI, dat sneller en efficiënter kwetsbaarheden zou kunnen vinden en verhelpen, hier nu vanaf te zien. Een ander probleem is dat Oracle-klanten beschikbare beveiligingsupdates niet installeren en als gevolg worden gehackt, zo laat Oracle keer op keer weten, waaronder ook nu. De Critical Security Patch Update bevat 'gerichte, high-priority security fixes' in een kleiner formaat, wat het eenvoudiger moet maken om ze zonder al teveel verstoringen aan bedrijfsprocessen te installeren. De eerste Critical Security Patch Update bevat in totaal 35 patches. Het gaat hier niet om unieke kwetsbaarheden, omdat verschillende Oracle-producten dezelfde kwetsbaarheid kunnen bevatten. De patches zijn voor Oracle Database Server, Oracle REST Data Services, Oracle Communications Unified Assurance, Oracle Hospitality OPERA 5 Property Services en verschillende onderdelen van de Oracle E-Business Suite. Eén van de kwetsbaarheden (CVE-2026-46840), aanwezig in de REST Data Services, heeft een maximale impactscore van 10.0 op een schaal van 1 tot en met 10. "Vanwege de dreiging van een succesvolle aanval adviseert Oracle ten zeerste dat klanten de Critical Security Patch Update security patches zo snel mogelijk installeren", aldus Oracle. Na de eerste CSPU van mei hanteert Oracle een maandelijkse cadens, waarbij elke derde dinsdag van de maand de kritieke updates zullen verschijnen. Dit komt overeen met de kwartaal-updates van Oracle. Na 28 mei volgt de volgende CSPU op 16 juni. Op 21 juli vindt de al eerder geplande kwartaal-update plaats, gevolgd door een nieuwe CSPU op 18 augustus. bron: https://www.security.nl

Onderzoeker hekelt optreden Microsoft richting ontdekker van BitLocker-lek De Britse beveiligingsonderzoeker Kevin Beaumont is niet te spreken over de uithaal van Microsoft richting een onderzoeker die een beveiligingslek in BitLocker en andere Windows-onderdelen ontdekte en openbaarde. De afgelopen weken verschenen op internet meerdere kwetsbaarheden, zoals RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma en MiniPlasma. Op het moment van de publicatie waren er nog geen patches voor deze problemen beschikbaar. Microsoft stelt in een blogposting dat deze beveiligingslekken niet op 'verantwoorde wijze' zijn gerapporteerd. Het techbedrijf claimt ook dat de onderzoeker met zijn werkwijze gebruikers in gevaar heeft gebracht. Tevens hintte Microsoft naar het strafrechtelijk vervolgen van de onderzoeker. Beaumont zegt dat hij de acties van de onderzoeker niet steunt, maar is kritisch op de uitspraken van Microsoft. "Het niet volgen van een verzonnen 'responsible disclosure' proces is geen misdrijf." De door Microsoft gewraakte onderzoeker zegt dat hij geprobeerd heeft om de kwetsbaarheden aan Microsoft te rapporteren. Inmiddels is zowel zijn account op Microsofts GitHub-platform en het Microsoft-portaal voor het melden van kwetsbaarheden verwijderd. "Het is vrij lastig om toekomstige kwetsbaarheden 'verantwoord' te melden als je bent verbannen", merkt Beaumont op. Verder stelt Beaumont dat GitHub al geruime tijd een bron is van zeroday-exploits voor producten van concurrenten van Microsoft. Die mogen blijven staan, terwijl exploits voor producten van Microsoft worden verwijderd, aldus Beaumont. "Microsoft probeert het eigenaarschap van GitHub te misbruiken om alleen zijn eigen producten te beschermen, en misbruikt zijn uitgebreide banden met justitie om het publiceren van informatie over kwetsbaarheden in zijn eigen producten als crimineel gedrag te bestempelen, althans zo lees ik de blogposting." Volgens Beaumont framen softwareleveranciers responsible disclosure als een manier om hun eigen producten te beschermen, niet de klanten. "Het gebruik ervan om mensen strafrechtelijk te vervolgen is een nieuw dieptepunt." De Britse beveiligingsonderzoeker voegt toe dat dit grote gevolgen voor de cybersecurity-industrie kan hebben, waarbij bedrijfsbelangen boven de collectieve cyberbescherming worden geplaatst. bron: https://www.security.nl

Een kritieke kwetsbaarheid in Git-service Gogs maakt remote code execution mogelijk en een beveiligingsupdate is niet beschikbaar, zo laat cybersecuritybedrijf Rapid7 vandaag weten. Gogs is een "self-hosted Git service", en een alternatief voor platforms zoals GitHub of GitLab. Het wordt gebruikt voor de ontwikkeling van software. Volgens zoekmachine Shodan zijn meer dan 1100 Gogs-servers vanaf het internet toegankelijk. Volgens onderzoekers ligt het werkelijke aantal installaties veel hoger, omdat die meestal achter een vpn zitten of binnen een intern netwerk draaien. Het beveiligingslek maakt het mogelijk voor geauthenticeerde gebruikers om door middel van een pull request met een 'malicious branch name' willekeurige code op de Gogs-server uit te voeren. De exploit vereist geen adminrechten en geen interactie met andere gebruikers. De aanvaller kan de aanval vanuit zijn eigen account uitvoeren. "Aangezien Gogs standaard staat ingesteld met open registraties en geen limiet aan het creëren van repositories, kan een ongeauthenticeerde aanvaller op een standaard geconfigureerde installatie eenvoudig een account en repository aanmaken", aldus de onderzoekers. Vanuit zijn eigen repository kan de aanvaller dan de server compromitteren, elke repository op de server lezen, credentials zoals wachtwoordhashes, API-tokens, SSH keys en 2FA secrets stelen, andere systemen in het netwerk aanvallen en de code van andere repositories aanpassen. Begin dit jaar waarschuwde het Amerikaanse cyberagentschap CISA voor actief misbruik van een path traversal-lek in Gogs. Rapid7 informeerde de maintainers van Gogs op 17 maart, die op 28 maart de bugmelding bevestigden. De onderzoekers zeggen dat ze sindsdien meerdere keren contact hebben gezocht maar geen reactie kregen en de kwetsbaarheid nog steeds aanwezig is. Als mitigatie kunnen Gogs-gebruikers verschillende maatregelen nemen, waaronder het beperken van nieuwe registraties en de mogelijkheid om repositories aan te maken. bron: https://www.security.nl

Criminelen gebruiken gehackte Fortinet FortiClient-servers om binnen organisaties malware te verspreiden die vermomd is als een update van Fortinet. Dat meldt cybersecuritybedrijf Arctic Wolf. FortiClient EMS (Enterprise Management Server) is een oplossing waarmee beheerders op afstand systemen kunnen beheren waarop de FortiClient-software draait. Zo is het bijvoorbeeld mogelijk om zaken als antivirussoftware, webfilters, vpn en signature-updates in te stellen. Begin april waarschuwde Fortinet voor actief misbruik van een kritieke kwetsbaarheid in FortiClient EMS. Via het lek (CVE-2026-35616) kan een ongeauthenticeerde aanvaller willekeurige code of commando's op de FortiClient-server uitvoeren. Arctic Wolf meldt dat aanvallers CVE-2026-35616 misbruiken om eerst de FortiClient-server te hacken. Vervolgens wordt onder alle endpoints die via de server worden beheerd malware uitgerold. Het gaat in dit geval om infostealer-malware die inloggegevens zoals wachtwoorden en cookies steelt die in Google Chrome, Microsoft Edge en andere Chromium-gebaseerde browsers zijn opgeslagen, alsmede Mozilla Firefox. Verder steelt de malware ook creditcardgegevens en andere informatie van webformulieren die is opgeslagen. Daarbij hebben de aanvallers de malware vermomd als een Fortinet-update, aldus de onderzoekers. Die voegen toe dat de aanvallers het beheerkanaal van FortiClient gebruiken om malafide PowerShell commando's op beheerde endpoints uit te voeren, op een manier waardoor het om een legitieme actie lijkt te gaan. bron: https://www.security.nl

Microsoft is niet te spreken over onderzoekers die kwetsbaarheden in Windows meteen op internet publiceren in plaats van eerst het techbedrijf te informeren, zoals het geval was met het YellowKey-lek in BitLocker. Volgens Microsoft zorgt dit voor onnodige risico's en brengt het Windows-gebruikers in gevaar. De onderzoeker achter het YellowKey-lek zegt dat hij het techbedrijf wel heeft geïnformeerd. De afgelopen weken verschenen op internet meerdere kwetsbaarheden, zoals RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma en MiniPlasma. Op het moment van de publicatie waren er nog geen patches beschikbaar. Microsoft stelt dat deze beveiligingslekken niet op 'verantwoorde wijze' zijn gerapporteerd. "We verzetten ons tegen deze acties en elke publicatie buiten de juiste coördinatie om die onze klanten en het digitale ecosysteem kunnen schaden. Het ongecoördineerd openbaar maken waardoor proof-of-concept code voor ongepatchte kwetsbaarheden in handen van aanvallers komt is nooit gerechtvaardigd en heeft echte gevolgen", aldus Microsoft. Het techbedrijf roept beveiligingsonderzoekers op om Coordinated Vulnerability Disclosure (CVD) te volgen, waarbij kwetsbaarheden eerst aan de leverancier worden gemeld, zodat die een update kan ontwikkelen. De beveiligingsonderzoeker achter onder andere YellowKey, GreenPlasma en MiniPlasma stelt dat hij Microsoft wel heeft ingelicht en dat het techbedrijf zijn reputatie schaadt door te beweren dat hij de CVD-richtlijn heeft overtreden. Tevens stelt de onderzoeker dat hij op 14 juli met informatie komt die zeer schadelijk voor Microsoft zal zijn. bron: https://www.security.nl