Kwetsbaarheden en CVE’s in augustus 2026

Keycloak heeft een kwetsbaarheid in de toegangsbewaking, aangeduid als 'broken access control', verholpen. Dit lek kon beperkte beheerders in staat stellen om gebruikersnamen, e-mailadressen en andere profielinformatie te benaderen van gebruikers die buiten hun toegestane beheerscope vielen. Het probleem, vastgelegd als CVE-2026-17059, beïnvloedt de Keycloak Admin REST API.

De kwetsbaarheid werd ontdekt door Escape-onderzoeker Enzo Mongin, ook bekend als Orionexe. Red Hat publiceerde de CVE op 24 juli 2026, en Keycloak heeft de fout op 28 juli hersteld met de release van Keycloak versie 26.7.0.

Het lek bevindt zich in het eindpunt dat wordt gebruikt om leden van een specifieke rol op te lijsten: `GET /admin/realms/{realm}/roles/{role-name}/users`. Een beperkte beheerder met alleen de `query-users` en `view-realm` rechten kon dit eindpunt aanroepen en volledige gebruikersgegevens verkrijgen van leden van rollen die zij mochten inzien. De blootgestelde informatie omvatte gebruikersnamen, e-mailadressen, voor- en achternamen, accountstatus en e-mailverificatiestatus.

Onderzoekers van Escape ontdekten dat Keycloak het primaire eindpunt voor het opvragen van gebruikers correct had beveiligd. Wanneer een beperkte beheerder de standaard gebruikers-API bevroeg, gaf Keycloak een lege respons omdat het account niet over het `view-users` privilege beschikte. Het `role-members` eindpunt handhaafde echter alleen brede rol-inzage en gebruikers-query rechten, zonder dezelfde autorisatiefilter per gebruiker toe te passen. Dit betekende dat hetzelfde token dat een lege lijst opleverde via het hoofdeindpunt voor gebruikers, via de `role-members` API wel persoonlijke gegevens kon ophalen.

Dit vormt een privacyrisico in gedeelde Keycloak-omgevingen, vooral wanneer een account voor helpdeskdoeleinden opzettelijk is beperkt om niet de volledige gebruikersdirectory te kunnen doorbladeren. De fout is geclassificeerd als 'broken object-level authorization', ook bekend als 'broken access control', onder CWE-639. Het heeft een CVSS-score van 6.5, wat als gemiddeld wordt beoordeeld.

Exploitatie vereist een geauthenticeerd, maar opzettelijk beperkt beheerderaccount. Dit maakt de kwetsbaarheid bijzonder relevant voor organisaties die gedeeltelijke Keycloak-administratie delegeren aan supportteams of bedrijfseenheden. Het kwetsbare codepad bevond zich in `RoleContainerResource.getUsersInRole`, dat rolleden ophaalde en deze direct omzette in gebruikersrepresentaties zonder te controleren of de aanroeper bevoegd was om elke individuele gebruiker te bekijken.

De oplossing voegt de noodzakelijke per-gebruiker zichtbaarheidsvalidatie toe voordat gebruikersrecords worden geretourneerd. Omgevingen die gebruikmaken van fijnmazige beheerdersrechten versie 2 worden niet beïnvloed, aangezien filtering daar op de datastoragelaag plaatsvindt. De blootstelling treft voornamelijk implementaties die het standaard permissiemodel gebruiken, waarbij `adminPermissionsEnabled` is ingesteld op `false`.

Organisaties dienen Keycloak te upgraden naar versie 26.7.0 of later. Beheerders moeten ook accounts met de `query-users` en `view-realm` rollen controleren, vooral in omgevingen met meerdere teams. Beveiligingsteams worden geadviseerd om vergelijkbare API-eindpunten te testen op consistent autorisatiegedrag, aangezien een beschermde primaire route geen garantie biedt dat alternatieve paden dezelfde toegangscontroles afdwingen.

Bron: Escape

Onderzoekers van Wordfence hebben een kritieke backdoor ontdekt in de Advanced Responsive Video Embedder (ARVE) plugin voor WordPress. Deze kwetsbaarheid, geregistreerd als CVE-2026-18072 met een CVSS-score van 9.8, had aanvallers volledige administratorrechten kunnen geven via een enkele, geheime token. De ontdekking kwam echter zo snel dat de malafide versie 10.8.7 niet via de automatische updates van WordPress.org bij gebruikers terechtkwam.

De ARVE-plugin, die ongeveer 20.000 actieve installaties heeft, stelt websites in staat om video's van platforms zoals YouTube, Vimeo en Rumble in te sluiten. Op 28 juli, minder dan twee uur na de introductie van de schadelijke code, detecteerde het autonome PRISM-systeem van Wordfence de kwetsbaarheid. Wordfence stelt dat de code waarschijnlijk is geïntroduceerd door een aanvaller die commitrechten had verkregen tot het account van de ontwikkelaar.

De backdoor was verborgen in het bestand `php/fn-update-check.php` en was vermomd als routine updatecode voor de plugin. De belangrijkste functie ervan was geregistreerd op de init hook van WordPress met prioriteit 1, waardoor deze kon worden uitgevoerd vóór de normale authenticatiecontroles, telkens wanneer de website een verzoek ontving. Een aanvaller die de verwachte waarde via de verzoekparameters `_wplogin` of `_wpm` aanleverde, kon inloggen als een bestaande administrator. De waarde werd vergeleken met een vaste SHA256-string die in de openbaar beschikbare broncode van de plugin was ingebed, wat deze effectief tot een universele inloggegeven maakte. Er was geen wachtwoord, account, gebruikersactie of brute force-poging vereist.

Een succesvol verzoek zorgde ervoor dat de code een administratoraccount selecteerde, een persistente login-cookie aanmaakte en de aanvaller direct naar het WordPress-dashboard stuurde. Het websiteadres en de geselecteerde gebruikersnaam van de administrator werden ook verzonden naar `fontswp.com`, een domein dat door Wordfence werd beschreven als een door de aanvaller gecontroleerde command-and-controlserver.

WordPress.org sloot de plugin voor downloads om 11:09 uur, nadat de code om 8:42 uur was geïntroduceerd en om 10:33 uur door Wordfence was gedetecteerd. WordPress had in juni een vertraging van maximaal 24 uur ingevoerd voor nieuwe plugin- en thema-releases, om geautomatiseerde scans en handmatige controles mogelijk te maken voordat automatische updates naar websites worden verzonden. Hierdoor werd voorkomen dat de kwetsbare versie 10.8.7 automatisch werd geïnstalleerd.

Nicolas Jonas, de ontwikkelaar van ARVE, heeft verklaard dat de malafide release nooit via WordPress.org bij gebruikers terechtkwam en trok het advies van Wordfence om de plugin te verwijderen in twijfel. Wordfence reageerde hierop door te stellen dat handmatig geïnstalleerde kopieën of updates die via derden waren verkregen, nog steeds versie 10.8.7 zouden kunnen bevatten, en dat de plugin gecompromitteerd en niet beschikbaar bleef via de officiële repository.

Websites die versie 10.8.7 gebruiken, dienen deze te verwijderen, administratoraccounts te controleren, actieve sessies te invalideren, de geheime sleutels van WordPress te roteren en bestanden en databaserecords te inspecteren op ongeautoriseerde wijzigingen. Wordfence heeft op 28 juli een firewallregel uitgegeven aan zijn betaalde abonnees; gebruikers van de gratis dienst ontvangen deze bescherming op 27 augustus.

Bron: Wordfence

Het National Cyber Security Centrum (NCSC) heeft recentelijk geadviseerd over een belangrijke beveiligingsupdate van SolarWinds, gericht op een kritieke kwetsbaarheid in hun product Web Help Desk. Deze oplossing, veelgebruikt voor IT-servicemanagement, bevatte een authenticatiebypass in de SAML 2.0 authenticatie die ongeautoriseerde toegang mogelijk maakte. De kwetsbaarheid is inmiddels verholpen door de softwareleverancier.

De kwetsbaarheid deed zich specifiek voor in systemen waar SAML-authenticatie was ingeschakeld. Aanvallers konden de authenticatie omzeilen door misbruik te maken van de manier waarop SAML-asserties worden verwerkt. Dit proces, essentieel voor veilige inlogprocedures, bleek een zwakke plek te bevatten die kwaadwillenden konden exploiteren. Door deze manipulatie konden aanvallers ongeautoriseerde toegang verkrijgen tot het systeem.

De impact van deze kwetsbaarheid was aanzienlijk, aangezien het de integriteit van het gehele authenticatiemechanisme ondermijnde. Succesvolle exploitatie kon leiden tot toegang tot gevoelige administratieve functies binnen Web Help Desk. Dit betekent dat aanvallers potentieel toegang konden krijgen tot beheerdersrechten en daarmee controle over belangrijke IT-processen en -data.

Organisaties in Nederland en België die SolarWinds Web Help Desk gebruiken en SAML-authenticatie hebben geconfigureerd, werden dringend geadviseerd om de door SolarWinds uitgebrachte patch zo snel mogelijk te installeren. Hoewel de kwetsbaarheid nu is verholpen, benadrukt het incident het belang van tijdige updates en het zorgvuldig configureren van authenticatiemechanismen om dergelijke risico's te mitigeren. De snelle reactie van SolarWinds en de advisering door het NCSC waren cruciaal om potentiële schade te beperken.

Bron: NCSC

Adobe heeft recentelijk een reeks kwetsbaarheden verholpen die aanwezig waren in zijn softwareproduct Adobe Campaign Classic (ACC). Het betrof hierbij in totaal twee specifieke problemen die aandacht vereisten.

De eerste kwetsbaarheid die door Adobe is verholpen, betreft een specifiek probleem met Incorrect Authorization. Dit probleem bevindt zich binnen de core authorization mechanismen van Adobe Campaign Classic (ACC). Door deze kwetsbaarheid kon een aanvaller arbitrary code uitvoeren. Een cruciaal aspect van deze kwetsbaarheid is dat dit mogelijk was zonder enige vorm van gebruikersinteractie. Dit houdt in dat de aanvaller in staat was om acties te initiëren en uit te voeren die de bedoelde permissies van het systeem overschreden.

De tweede kwetsbaarheid die is aangepakt, betreft een SQL-injectie. Deze kwetsbaarheid bood aanvallers de mogelijkheid om ongeautoriseerde queries uit te voeren. Dit kon leiden tot het lezen van bestanden van het onderliggende systeem en het benaderen van gevoelige geheugeninformatie. Net als de eerste kwetsbaarheid, kon ook deze SQL-injectie worden misbruikt zonder dat daarvoor enige gebruikersinteractie vereist was.

Adobe heeft expliciet aangegeven dat de kwetsbaarheden in de cloud-versie van Campaign Classic inmiddels volledig zijn verholpen. De informatie over deze kwetsbaarheden is daarom van bijzonder belang voor organisaties die Campaign Classic draaien in een volledige on-premise configuratie, of voor diegenen die gebruikmaken van een hybride oplossing waarbij bepaalde delen van de applicatie lokaal worden beheerd.

Bron: NCSC

Dit betreft een kwetsbaarheid in de Windows WalletService met een CVSS-score van 7,8, die Microsoft op 14 juli 2026 heeft verholpen met een beveiligingsupdate.

De kwetsbaarheid stelt een gewone gebruiker in staat om opdrachten uit te voeren met SYSTEM-rechten op systemen die de genoemde update nog niet hebben geïnstalleerd. De aanval werkt doordat de WalletService een database vertrouwt op een specifiek pad. Een gebruiker kan dit pad zelf verleggen via de map Documenten. Vervolgens laadt de dienst, die als LocalSystem opereert, een door de gebruiker aangeleverde bibliotheek. Voor deze exploitatie zijn geen geheugenfouten, racecondities of beheerdersrechten vereist.

De kwetsbaarheid zelf is ontdekt door onderzoekers van STAR Labs SG. Er bestond reeds een openbare proof of concept in PowerShell die dezelfde toegang bood. De recent verschenen module levert een alternatieve methode om tot dezelfde ongeautoriseerde toegang te komen. Microsoft heeft het kwetsbare databasepad inmiddels uitgeschakeld middels een specifieke beveiligingsfunctie om verdere exploitatie te voorkomen.

Bron: Cybercrimeinfo

Een leverancier van beheersoftware heeft een noodupdate uitgebracht nadat aanvallers misbruik maakten van een nieuwe omzeiling van de aanmelding. De kwetsbaarheid is geregistreerd als CVE-2026-18577. Volgens de statusmelding van de leverancier bleef het probleem bestaan na een eerdere reparatie. Installaties van de betreffende beheersoftware met een versie voor 2026.3.1.7 moeten daarom direct worden bijgewerkt.

De software wordt door beheerders gebruikt om systemen van meerdere klanten op afstand te bewaken en te onderhouden. Toegang tot de beheeromgeving kan daardoor gevolgen hebben voor meer dan een organisatie. Huntress meldde dat bij ten minste een onderzocht incident ongeoorloofde toegang tot de beheerconsole was verkregen. De onderzoekers zagen daarbij ook infrastructuur via Cloudflare voor blijvende toegang.

Beheerders moeten niet alleen de noodupdate installeren. Zij moeten ook beheerdersaccounts, taken, verbindingen op afstand en nieuwe tunnels controleren op afwijkingen. De bekende indicatoren uit de meldingen kunnen helpen bij het onderzoek, maar zijn geen vervanging voor controle van de volledige omgeving.

Bron: N-able

Thermo Fisher Scientific heeft een kwetsbaarheid gepatcht in geselecteerde Applied Biosystems software voor menselijke identificatie. Deze kwetsbaarheid, getrackt als CVE-2026-17583 met een CVSS v4.0 score van 8.2 (Hoog), kon het mogelijk maken om gegevensbestanden te wijzigen voordat de analysesoftware deze laadt, waardoor manipulatie nagenoeg ondetecteerbaar zou zijn. Dit is onthuld in een beveiligingsbulletin van de leverancier op 31 juli.

Indien laboratoriumcontroles omzeild werden, konden vrijwel ondetecteerbare wijzigingen optreden in .fsa- en .hid-uitvoerbestanden. De updates implementeren digitale handtekeningen die klanten helpen te verifiëren dat gegevensbestanden niet zijn gewijzigd. Vijf ondersteunde productlijnen hebben updates ontvangen, terwijl drie end-of-life producten voor gegevensverzameling geen vendor-update zullen krijgen.

Nathan Adams, Kevin Dyer en Laura Gaydosh Combs, samen met het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA), worden door Thermo Fisher Scientific gecrediteerd voor het identificeren van het probleem en het coördineren van de openbaarmaking. Hoewel het openbare bulletin geen details geeft over misbruik, heeft Thermo Fisher Scientific aan The Wall Street Journal laten weten dat er geen bekende gevallen zijn waarin de kwetsbaarheid is uitgebuit.

Een demonstratie door Nathan Adams, een systeemingenieur bij Forensic Bioinformatics, toonde aan hoe hij met behulp van Anthropic's Claude binnen ongeveer 45 minuten een succesvolle bestandsmodificatie uitvoerde. Zijn code combineerde scans van twee individuele DNA-profielen tot een nieuw bestand dat eruitzag alsof het sinds 2015 onaangeroerd was, zonder waarschuwingen in veelgebruikte analysesoftware. De onderzoekers meldden dat een aanvaller lokale of externe toegang tot laboratoriumservers en voldoende kennis van DNA-testen nodig zou hebben.

De updates betreffen de volgende productlijnen voor menselijke identificatie van Applied Biosystems:

*   3500/3500xL Series Data Collection Software 4.0.2 en eerder, nu gefixt in versie 4.0.3.

*   3730/3730xL Series Data Collection Software 5.0.2 en eerder, nu gefixt in versie 5.0.3.

*   SeqStudio Genetic Analyzer Data Collection Software 1.2.5 en eerder, nu gefixt in versie 1.2.6.

*   SeqStudio Flex Series Instrument Software 1.2.0 en eerder, nu gefixt in versie 1.2.1. Laboratoria die SeqStudio Flex gebruiken met ingeschakelde beveiliging, audit en elektronische handtekening (SAE) moeten eerst het nieuwste SAE-profiel op de SAE Admin Console installeren.

*   GeneMapper ID-X Software v1.7.3 en eerder, nu gefixt in versie v1.7.4.

Drie oudere productlijnen, namelijk 3130 Series Data Collection Software 4.1 en eerder, ABI PRISM 3100/3100-Avant Data Collection Software 2.0 en eerder, en ABI PRISM 310 Data Collection Software 3.1 en eerder, hebben het einde van hun levensduur bereikt en ontvangen geen updates.

Voor klanten die de updates niet kunnen implementeren of geen ander analyseplatform van derden gebruiken, adviseert Thermo Fisher Scientific controles voor de bewaarketen van bestanden, opslag op versleutelde en met wachtwoord beveiligde media, beperking van toegang, toepassing van het minste privilege op instrument- en analysesystemen, en beperking van internetverbinding tot vertrouwde bronnen.

Op 3 augustus 2026 was de CVE-2026-17583 nog niet opgenomen in de Nationale kwetsbaarheidsdatabase (NVD) of CISA's catalogus van bekende misbruikte kwetsbaarheden. De onderzoekers speculeerden dat de kwetsbaarheid waarschijnlijk al sinds 1995 bestond in digitale bestanden van forensische laboratoria en dat ze geen manier hadden gevonden om eerdere manipulatie te detecteren. Het bulletin van Thermo Fisher Scientific bevestigt deze historische reikwijdte niet. De zwakte beïnvloedt digitale records gegenereerd uit DNA-testen, niet de onderliggende fysieke DNA-monsters.

Bron: Thermo Fisher Scientific

Een kritieke kwetsbaarheid in Ruby on Rails heeft nieuwe zorgen doen rijzen over datalekken in de cloud, met name voor bedrijven die klantplatforms hosten in Amazon Web Services (AWS). Deze kwetsbaarheid, bekend als CVE-2026-66066 of KindaRails2Shell, treft Active Storage-implementaties die gebruikmaken van de beeldverwerkingsbibliotheek libvips en uploads van niet-vertrouwde gebruikers accepteren. Hoewel er geen specifieke bevestiging is van een datalek waarbij 350.000 gebruikers betrokken zijn, kan de kwetsbaarheid potentieel cloud-credentials en klantgegevens blootstellen als aanvallers een kwetsbare applicatie compromitteren.

Het beveiligingsprobleem ontstaat door de beeldvariantverwerking van Rails Active Storage, die er niet in slaagde bepaalde libvips-bewerkingen te blokkeren die als onveilig worden beschouwd voor de verwerking van niet-vertrouwde inhoud. Dit nalatigheid zou een niet-geauthenticeerde aanvaller in staat kunnen stellen een speciaal geconstrueerde upload in te dienen, waardoor ze bestanden kunnen lezen die toegankelijk zijn voor het Rails-applicatieproces.

Gevoelige bestanden die risico lopen, omvatten omgevingsvariabelen, configuratiebestanden, databasewachtwoorden, API-tokens en AWS-toegangsgegevens. Voor organisaties die AWS gebruiken, kunnen de implicaties ernstig zijn. Gestolen cloud-credentials kunnen aanvallers toegang verlenen tot S3-buckets, databases, back-ups, applicatielogs en andere verbonden diensten, afhankelijk van de machtigingen die zijn toegewezen aan de gecompromitteerde identiteit. Als een bedrijf gebruikersrecords, identiteitsgegevens, contactinformatie of interne bestanden opslaat in zijn AWS-omgeving, kan een incident leiden tot aanzienlijke blootstelling van gegevens die honderdduizenden gebruikers treffen.

Onderzoekers hebben ook gewaarschuwd dat het probleem verder kan gaan dan eenvoudige bestandsopenbaarmaking. Rails-applicaties slaan vaak de `secret_key_base` op in omgevingsvariabelen. Als een aanvaller toegang krijgt tot dit geheim, kan deze door Rails ondertekende data vervalsen en potentieel code op afstand uitvoeren op de server. Deze toegang zou plaatsvinden met behulp van de machtigingen die zijn toegewezen aan het Rails-proces, wat mogelijk kan leiden tot verdere datadiefstal, wijzigingen in het applicatiegedrag of misbruik van cloud-diensten die aan de omgeving zijn gekoppeld.

De getroffen configuratie vereist zowel libvips-gebaseerde Active Storage-verwerking als de acceptatie van niet-vertrouwde beeld-uploads. Rails-versies vóór Active Storage 7.2.3.2, 8.0.5.1 en 8.1.3.1 zijn kwetsbaar in de getroffen reeksen. Rails 6-applicaties kunnen ook risico lopen als beheerders Active Storage handmatig hebben geconfigureerd om de Vips-processor te gebruiken. Een voorgestelde Metasploit-module op GitHub toont hoe aanvallers bestandslezing en vervalste beelddata kunnen combineren om uitvoering van commando's te bereiken. Deze module is naar verluidt getest in gecontroleerde omgevingen tegen Rails-versies 6.0.6.1, 6.1.7.10 en 8.0.5. Dergelijke publieke exploit-ontwikkeling benadrukt de urgentie voor organisaties om blootgestelde Rails-diensten te identificeren en noodzakelijke updates toe te passen.

Beveiligingsteams moeten onmiddellijk actie ondernemen om kwetsbare Rails-implementaties te patchen, Active Storage-upload-eindpunten te controleren, Rails-geheimen en AWS-credentials te roteren indien blootstelling wordt vermoed, en AWS CloudTrail, S3 en applicatielogs te controleren op ongebruikelijke toegang. Bedrijven moeten ook IAM-rollen met minimale privileges afdwingen en voorkomen dat langdurige cloud-geheimen worden opgeslagen in omgevingsvariabelen van processen.

Bron: Ruby on Rails

Check Point heeft een kwetsbaarheid verholpen waarmee een aanvaller zonder inloggegevens de authenticatie van een beheerserver kan omzeilen. Het beveiligingslek, geregistreerd als CVE-2026-18574, treft zowel de Security Management Server als de Multi Domain Security Management Server. Een aanvaller met netwerktoegang tot de beheerserver kan hiermee willekeurige commando's uitvoeren, wat kan leiden tot volledige overname van het beheersysteem. Daarmee komen firewallbeleid, gatewayconfiguraties en beheerderstoegang binnen bereik van de aanvaller.

Check Point noemt de kwetsbaarheid intern ontdekt en meldt dat er op het moment van publicatie geen bewijs is van actief misbruik. Getroffen zijn de niet meer ondersteunde versies R80, R80.10, R80.20, R80.30, R80.40, R81 en R81.10. Ook de nog wel ondersteunde versies R81.20, R82 en R82.10 zijn kwetsbaar en krijgen daarom een patch. Een officiele CVSS score is door Check Point niet gepubliceerd, de kwetsbaarheid wordt wel omschreven als ernstig gezien de mogelijke volledige systeemovername zonder dat inloggegevens nodig zijn.

Voor de ondersteunde versies stelt Check Point een oplossing beschikbaar via een Jumbo Hotfix Accumulator update. Voor R82.10 gaat het om Take 404040, voor R82 om Take 122122122 en voor R81.20 om Take 161161161. Beheerders die nog een van de verouderde, niet ondersteunde versies gebruiken, wordt aangeraden over te stappen naar een wel ondersteunde release, aangezien daarvoor geen patch verschijnt.

Als tussentijdse maatregel adviseert Check Point om de lijst met vertrouwde clients te beperken tot goedgekeurde IP adressen en de toegang tot het beheersysteem te beperken tot aangewezen, vertrouwde werkstations. Zolang die patches niet zijn geinstalleerd, blijft een kwetsbare beheerserver op het netwerk een risico voor de volledige beveiligde infrastructuur die erdoor wordt beheerd.

Bron: Check Point

De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft recentelijk drie nieuwe kwetsbaarheden toegevoegd aan haar Catalogus van Bekende, Actief Misbruikte Kwetsbaarheden (KEV-catalogus). Deze toevoeging is gebaseerd op concreet bewijs van actieve exploitatie van deze kwetsbaarheden. CISA benadrukt dat deze kwetsbaarheden een veelvoorkomende aanvalsvector vormen voor kwaadwillende cyberactoren en aanzienlijke risico's met zich meebrengen voor organisaties.

De drie specifieke kwetsbaarheden die zijn toegevoegd, zijn:

*   **CVE-2026-9198**: Een code-injectiekwetsbaarheid in IBM Langflow.

*   **CVE-2026-18556**: Een authenticatie-bypass kwetsbaarheid in N-able N-central, die misbruik maakt van een alternatief pad of kanaal.

*   **CVE-2026-34486**: Een kwetsbaarheid in Apache Tomcat als gevolg van ontbrekende versleuteling van gevoelige data.

De KEV-catalogus is een cruciaal instrument voor het prioriteren van beveiligingsupdates. CISA's Binding Operational Directive (BOD) 26-04, getiteld "Prioritizing Security Updates Based on Risk", stelt strikte eisen aan kwetsbaarhedenbeheer voor Amerikaanse federale civiele uitvoerende tak (FCEB) agentschappen. Deze richtlijn onderstreept het belang van de KEV-catalogus en verplicht federale agentschappen om snel kwetsbaarheden met een hoog risico te verhelpen. Dit geldt met name voor CVE's die in de KEV-catalogus staan en die zich bevinden op publiekelijk toegankelijke middelen, aangezien succesvolle exploitatie volledige controle over het systeem kan opleveren. Kwetsbaarheden met een lager risico krijgen een lagere prioriteit.

BOD 26-04 stelt verder basale verwachtingen vast voor wanneer agentschappen moeten controleren of dreigingsactoren het systeem al hebben gecompromitteerd voordat de patch werd toegepast. Hoewel deze richtlijn specifiek van toepassing is op FCEB-agentschappen, moedigt CISA alle organisaties aan om een risicogebaseerde aanpak voor kwetsbaarhedenbeheer te hanteren en de remediëring van kwetsbaarheden die in de KEV-catalogus zijn opgenomen, te prioriteren.

CISA zal de catalogus blijven aanvullen met kwetsbaarheden die voldoen aan de vastgestelde criteria. Organisaties die op de hoogte zijn van een actief misbruikte kwetsbaarheid die nog niet in de KEV-catalogus staat, kunnen deze ter overweging indienen via het KEV Nominatie Formulier van CISA. Potentiële toevoegingen moeten een CVE ID hebben, bewijs van exploitatie en duidelijke mitigatierichtlijnen.

Bron: CISA

Een ernstige kwetsbaarheid voor remote code execution (RCE) met één klik, ontdekt door het onderzoeksteam van AISLE, heeft invloed gehad op drie veelgebruikte editors voor code, namelijk Cursor, Microsoft VS Code en Google Antigravity. Deze kwetsbaarheid stelde naar schatting 50 miljoen softwareontwikkelaars bloot aan een stilzwijgende en volledige compromittering van hun systeem, simpelweg door op een kwaadaardige link te klikken.

De kwetsbaarheid is inmiddels gepatcht op alle drie de platforms. De ontdekking ervan benadrukt echter hoe snel beveiligingsfouten zich kunnen verspreiden binnen ontwikkeltools die specifiek voor AI zijn ontworpen.

De exploit maakte gebruik van een bedrieglijk eenvoudig mechanisme, een aanvaller kon een kwaadaardige link in een Git commit-bericht plaatsen. Wanneer een ontwikkelaar op deze link klikte binnen de editor, voerde de applicatie willekeurige code uit met volledige terminalrechten. Dit gebeurde zonder enige bevestigingsdialoog, waarschuwingsprompt of een zichtbare indicatie dat er iets was gebeurd. Slachtoffers hadden geen mogelijkheid om de compromittering in realtime te detecteren, wat aanvallers een volledig verborgen toegangspunt tot de machine van een ontwikkelaar gaf.

Na activering gaf de kwetsbaarheid aanvallers hetzelfde toegangsniveau als de ontwikkelaar zelf op hun laptop heeft. Dit betekende dat zij gevoelige gegevens, zoals OpenAI, Anthropic en Stripe API-sleutels, direct uit de lokale omgeving konden exfiltreren. Daarnaast konden ze persistente malware installeren, inclusief keyloggers die elke toetsaanslag naar een externe server verstuurden, en vrijelijk bestanden doorzoeken of verwijderen op het lokale bestandssysteem. Omdat de malware bleef bestaan, zelfs nadat de editor was afgesloten, kon een enkele onvoorzichtige klik leiden tot langdurige, onopgemerkte surveillance van de gehele workflow van een ontwikkelaar.

Het onderzoeksteam van AISLE identificeerde de kwetsbaarheid voor het eerst in VS Code tijdens geautomatiseerde kwetsbaarheidsscans in de herfst van 2025. Omdat Cursor direct is gebouwd op de codebase van VS Code, erfde het dezelfde onderliggende zwakte, waardoor twee van de meest populaire codeeromgevingen met AI-ondersteuning gelijktijdig kwetsbaar waren. AISLE heeft het probleem verantwoordelijk gemeld aan zowel Microsoft als Cursor zodra hun AI-systeem de bug detecteerde.

Het verhaal eindigde daar niet. Begin 2026 dook dezelfde kwetsbaarheid opnieuw op in Google Antigravity, de onlangs gelanceerde codeeromgeving van Google met AI-ondersteuning, die eveneens was afgeleid van de VS Code-architectuur. AISLE rapporteerde het probleem onmiddellijk aan Google, dat snel reageerde en het binnen enkele dagen verhielp. Cursor handelde ook snel om de kwetsbaarheid te patchen, terwijl de oplossing van Microsoft voor VS Code iets later arriveerde. Vanaf nu bevatten geen van de huidige versies van Cursor, VS Code of Google Antigravity de kwetsbaarheid.

Deze zaak illustreert een groeiend patroon binnen het ecosysteem van AI-codeertools, omdat veel AI-native geïntegreerde ontwikkelomgevingen (IDE's) zijn afgeleid van een gemeenschappelijke codebase zoals VS Code, kan een enkele kwetsbaarheid ongemerkt door meerdere producten, gebruikt door tientallen miljoenen ontwikkelaars, verspreiden voordat deze wordt ontdekt. De snelheid en het gemak die deze tools aantrekkelijk maken voor ontwikkeling met AI-ondersteuning, zijn dezelfde eigenschappen die de verspreiding van beveiligingsfouten versnellen. De bevindingen van AISLE onderstrepen de waarde van continue, AI-gestuurde kwetsbaarheidsdetectie om problemen op te sporen die traditionele beveiligingshulpmiddelen op basis van patroonherkenning mogelijk over het hoofd zien.

Ontwikkelaars die een van deze drie editors gebruiken, moeten onmiddellijk updaten naar de nieuwste beschikbare versies om ervoor te zorgen dat ze beschermd zijn. Aangezien deze kwetsbaarheid volledig zonder medeweten van de gebruiker kon opereren, moeten teams ook de recente commit-geschiedenis controleren en alle API-sleutels of referenties roteren die mogelijk zijn blootgesteld in projecten die zijn afgehandeld via getroffen editorversies.

Bron: AISLE

TP-Link heeft recent vijftien kwetsbaarheden gepatcht in het Zero-Touch Provisioning (ZTP)-mechanisme van zijn Omada-netwerkapparaten. Deze kwetsbaarheden kunnen, in combinatie met eerder ontdekte lekken, leiden tot remote code execution (RCE) en een volledige compromittering van bedrijfsnetwerken. De kwetsbaarheden werden ontdekt door onderzoekers van Forescout's Vedere Labs, die de details presenteerden tijdens de Black Hat USA securityconferentie.

De Omada-productlijn van TP-Link is gericht op zakelijke gebruikers en omvat Wi-Fi access points, Ethernet- en PoE-switches, internetgateways en VPN-routers. Deze worden veelal gebruikt door kleine tot middelgrote bedrijven, maar ook voor grotere implementaties. ZTP maakt het mogelijk om netwerkapparaten op afstand te configureren zonder handmatige interventie op locatie, wat het beheer voor IT-teams en managed service providers (MSP's) vereenvoudigt.

Forescout ontdekte dat enkele van de vijftien kwetsbaarheden ook invloed hebben op andere TP-Link producten en diensten, waaronder IP-camera's, smart home IoT-apparaten, mobiele applicaties en cloudaccounts. De problemen variëren van hardgecodeerde cryptografische sleutels en informatielekken tot RCE, kaping en spoofing van apparaten, client-side code-executie, en de onderschepping of compromittering van versleutelde communicatie.

Volgens Forescout kunnen aanvallers de nieuwe kwetsbaarheden combineren met twee eerder bekendgemaakte command-injection kwetsbaarheden (CVE-2025-7850 en CVE-2025-7851) om de 'chain of trust' van Omada te doorbreken en netwerken te infiltreren. De kwetsbaarheden vallen in vier impactcategorieën, client-side code-executie, informatielekken, kaping en spoofing van apparaten, en compromittering van versleutelde communicatie.

TP-Link's advieslijst omvat elf kwetsbaarheden met de volgende CVE-identificaties, CVE-2025-9289 tot en met CVE-2025-9293, CVE-2025-15544 en CVE-2025-15627 tot en met CVE-2025-15631. De overige vier bevindingen hebben geen trackingnummer gekregen en betreffen onder meer apparaatadoptie op basis van alleen het serienummer, standaard inloggegevens bij initiële adoptie, voorspelbare serienummers en bestanden die beschikbaar zijn via onbeveiligde tijdelijke downloadlinks.

In een door Forescout beschreven aanvalsscenario kan een externe aanvaller voorspelbare serienummers van apparaten enumereren om MAC-adressen te verkrijgen en apparaten te identificeren die wachten op adoptie. De aanvaller kan zich vervolgens voordoen als een van deze apparaten, misbruik maken van een race-conditie tijdens cloudadoptie en authenticeren met standaard inloggegevens. Dit kan leiden tot het lekken van de apparaatconfiguratie door de controller, inclusief een gebruikersnaam in platte tekst, een ongezouten MD5-wachtwoordhash en mogelijk VPN-sleutels. Daarnaast kan de aanvaller JavaScript injecteren in de administratieve interface van de controller om een beheerder te phishen en diens cloudcontroller-inloggegevens te stelen. Met gestolen inloggegevens kunnen beheerde apparaten worden geherconfigureerd, VPN-tunnels naar het interne netwerk worden opgezet en eerder ontdekte command-injection kwetsbaarheden worden misbruikt om netwerkapparatuur te compromitteren.

De kwetsbaarheden treffen Omada Controllers, Gateways, Switches, Access Points, OLT-platforms, cloudservices en TP-Link mobiele applicaties. Forescout heeft meer dan 1.800 via internet toegankelijke Omada-controllers geïdentificeerd, hoewel dergelijke implementaties doorgaans niet bedoeld zijn voor directe blootstelling aan het internet. De Android-applicaties Omada en Omada Guard zijn 1,1 miljoen keer gedownload op Google Play, en de TP-Link-apps hebben gezamenlijk 3 tot 7 miljoen actieve accounts.

Gebruikers wordt dringend geadviseerd de nieuwste firmware-images voor hun apparaatmodel te downloaden via het Omada-downloadportaal van TP-Link. Daarnaast wordt aanbevolen sterke, unieke beheerderswachtwoorden te gebruiken, multi-factor authenticatie (MFA) in te schakelen, alle geheimen te roteren bij vermoeden van compromittering, mobiele apps te updaten en netwerkverkeer te monitoren op verdachte activiteiten.

Bron: Forescout

Het Zwitsers Federaal Bureau voor Informatietechnologie en Communicatie (FOITT), ook bekend als BIT, heeft bekendgemaakt dat onbekende aanvallers ongeveer 200 accounts op hun on-premises SharePoint-servers hebben gecompromitteerd. De aanvallers zouden kwetsbaarheden in Microsofts SharePoint-software hebben misbruikt, waarvoor Microsoft medio juli diverse ernstige lekken rapporteerde. Dit incident benadrukt de kritieke noodzaak voor organisaties in Nederland en België om proactief te zijn met patching en beveiligingsmaatregelen voor lokaal gehoste SharePoint-omgevingen.

Het FOITT, de grootste IT-dienstverlener binnen de federale administratie van Zwitserland, beheert de servers in eigen federale datacenters. Het agentschap begon onmiddellijk met het installeren van de beschikbare beveiligingsupdates. Op 28 juli werden de eerste afwijkingen gedetecteerd, en op 31 juli bevestigde het FOITT de compromittering van accounts. De analyse, ondersteund door het Nationale Cybersecurity Centrum (NCSC) en Microsoft, loopt nog. Tot op heden is er geen bewijs van verdere datalekken.

De aanvallers slaagden erin de inloggegevens van ongeveer 200 gebruikers en technische accounts te bemachtigen. Hierop heeft het FOITT de relevante wachtwoorden onmiddellijk gereset en de externe internettoegang tot SharePoint geblokkeerd. Als voorzorgsmaatregel worden de getroffen servers volledig opnieuw geïnstalleerd. Alle relevante technische indicatoren zijn gedeeld met Zwitserse kritieke infrastructuurbeheerders via het nationale cybersecurity-platform.

De kwetsbaarheden die werden misbruikt, vielen samen met Microsofts Patch Tuesday van 14 juli. Eén van deze kwetsbaarheden, geïdentificeerd als CVE-2026-50522 met een CVSS-score van 9.8 (kritiek), maakte het mogelijk voor aanvallers om op afstand code uit te voeren via het netwerk. Microsoft gaf aan dat de exploitatie van dit lek een lage complexiteit heeft, wat betekent dat aanvallers weinig specialistische kennis nodig hebben. Onderzoekers waarschuwden specifiek dat aanvallers machine keys stelen om langdurige toegang te behouden. Deze machine keys zijn cryptografische geheimen die IIS gebruikt om sessietokens te ondertekenen; door deze te stelen kunnen aanvallers legitiem ogende verzoeken vervalsen die zelfs door een volledig gepatchte server worden geaccepteerd.

Het FOITT benadrukte dat het SharePoint-platform niet bedoeld is voor het opslaan van vertrouwelijke of zeer gevoelige persoonsgegevens. Niettemin wordt SharePoint steeds vaker het doelwit van cybercriminelen en door staten gesponsorde actoren, vanwege de diepe integratie met Microsoft-authenticatie. Misbruik van kwetsbaarheden kan een toegangspunt vormen om bredere netwerken te compromitteren, waardoor directe internetexpositie van SharePoint-servers een toenemend beveiligingsrisico vormt.

CERT-EU heeft een advies uitgebracht waarin dringend wordt aanbevolen om getroffen servers zo snel mogelijk te updaten, inloggegevens te roteren voor alle activa die kwetsbaar en via het internet toegankelijk waren, en een compromisbeoordeling uit te voeren om potentieel getroffen SharePoint-instanties te identificeren. Gezien het recente aantal kritieke kwetsbaarheden in SharePoint, wordt organisaties geadviseerd om de directe blootstelling van Microsoft SharePoint-servers aan het internet te heroverwegen. De tijd tussen de bekendmaking van de kwetsbaarheden en de actieve exploitatie in deze campagne werd gemeten in dagen.

Bron: Zwitsers Federaal Bureau voor Informatietechnologie en Communicatie (FOITT/BIT)

Meerdere Microsoft SharePoint servers van de Zwitserse overheid zijn gehackt. Het incident werd bekendgemaakt door het Bundesamt für Informatik und Telekommunikation (BIT), de centrale IT-dienstverlener van de Zwitserse overheid. Het BIT beheert diverse SharePoint servers, die door overheidsorganisaties worden gebruikt voor onder meer documentdeling, informatie-uitwisseling en het opzetten van interne websites.

De aanval vond plaats nadat Microsoft halverwege juli beveiligingsupdates had uitgebracht voor verschillende kwetsbaarheden in SharePoint. Het BIT begon na de publicatie van deze updates met de installatie van de benodigde patches. Echter, op 28 juli ontdekte de overheidsinstantie dat meerdere van hun SharePoint servers reeds waren gecompromitteerd. Na deze ontdekking heeft het BIT onmiddellijk de internettoegang tot de getroffen machines geblokkeerd en de geïdentificeerde kwetsbaarheden verholpen.

Uit het onderzoek van de overheidsinstantie blijkt dat de aanvallers vermoedelijk gebruik hebben gemaakt van de kwetsbaarheden waarvoor Microsoft in juli waarschuwde. Als gevolg van de hack zijn inloggegevens van ongeveer tweehonderd accounts gecompromitteerd. Dit omvat zowel gebruikersaccounts als technische accounts. Het BIT heeft geen aanwijzingen gevonden dat de aanvallers data hebben buitgemaakt van de SharePoint servers.

Als voorzorgsmaatregel worden de gehackte SharePoint servers volledig opnieuw geïnstalleerd. Gedurende deze werkzaamheden zal er geen externe toegang tot de SharePoint servers beschikbaar zijn.

Bron: BIT

Een populaire AI-notetaker genaamd tl;dv (Too Long; Didn't View) stelt hackers in staat om mee te luisteren met vertrouwelijke videogesprekken van gebruikers, waaronder die van overheidsinstellingen en grote bedrijven. Deze kwetsbaarheid is het gevolg van een misconfiguratie in de Google Firebase-omgeving van de applicatie, waardoor gebruikers toegang kunnen krijgen tot elkaars vergaderinformatie en potentieel kunnen deelnemen aan gesprekken.

De tool tl;dv fungeert als een vergaderassistent die automatisch deelneemt aan videogesprekken, deze opneemt en transcribeert, tenzij de gebruiker anders aangeeft. De website van het bedrijf claimt meer dan twee miljoen gebruikers wereldwijd te hebben, waaronder bij bekende organisaties zoals Salesforce, Forbes en Cloudflare. Uit onderzoek blijkt echter dat de tool ook wordt gebruikt door tientallen overheidsinstanties, grote universiteiten en belangrijke organisaties over de hele wereld.

Eind januari ontdekte applicatiebeveiligingsexpert BobDaHacker dat elke tl;dv-gebruiker toegang kon krijgen tot de backend Google Firebase-omgeving van het bedrijf. Vanuit die omgeving was het mogelijk om vergaderinformatie van andere gebruikers op te vragen. BobDaHacker gebruikte deze informatie vervolgens om gesprekken te identificeren en bij te wonen die werden gehost door overheidsinstellingen en grote organisaties.

De kwetsbaarheid ligt in de manier waarop tl;dv sessie-ID's toewijst in het Firebase-systeem. Deze ID's geven gebruikers ongebruikelijke bevoegdheden om de Cloud Firestore-database van de app te bevragen. Hoewel transcripties, opnames en chats van andere gebruikers dankzij basis tenant-isolatie niet zichtbaar zijn, ontbreekt deze isolatie voor de "meetings"-collectie. Hierdoor kan elke tl;dv-gebruiker alle live conferentiegesprekken wereldwijd opvragen waartoe tl;dv is uitgenodigd. Ook kunnen ze metadata, zoals tijdstempels van vergaderingen en opnamestatus, en het e-mailadres van de maker van de vergadering achterhalen.

Volgens BobDaHacker is de fix eenvoudig te implementeren: "Een paar regels beveiligingsregels die leesrechten beperken tot de organisatie van de geauthenticeerde gebruiker." Google waarschuwt ontwikkelaars bij het bouwen van apps met Firebase expliciet om Firestore-beveiligingsregels te configureren, aangezien de standaardregels openbaar zijn en moeten worden vergrendeld.

Hoewel het verkrijgen van vergaderinformatie op zichzelf geen toegang tot de vergadering garandeert, ontdekte BobDaHacker tijdens tests een methode om in de meeste tl;dv-vergaderingen te komen. Sommige gesprekken, zoals een grote Google Meet-vergadering gehost door een Maleisische overheidsinstelling, waren openbaar toegankelijk. Voor privégesprekken was het vaak voldoende om zich voor te doen als de AI-notetaker en vervolgens toegang te vragen, wat in ongeveer 80% van de gevallen slaagde.

Dieper gravend in de backend van de app, vond BobDaHacker meer dan 180.000 voltooide gespreksrecords van meer dan 80.000 gebruikers. Deze records documenteerden vergaderingen die, afgaande op de .gov-domeinen, werden gehouden door regeringen van 23 verschillende landen. Ook waren er vergaderingen van grote bedrijven zoals HubSpot en de Japanse vastgoedontwikkelaar Mitsui Fudosan, en internationaal gerenommeerde universiteiten zoals de University of California at Berkeley en de University of Tokyo.

BobDaHacker heeft geprobeerd het probleem te melden, maar zonder succes. Dark Reading heeft vervolgens contact opgenomen met tl;dv via hun pers- en marketingkanalen, maar heeft geen antwoord ontvangen. De kwetsbaarheid was op het moment van publicatie nog steeds actief.

Bron: BobDaHacker

Een kritieke kwetsbaarheid voor privilege-escalatie in cPanel & WHM is openbaar gemaakt. Deze kwetsbaarheid stelt geauthenticeerde hostinggebruikers in staat om willekeurige SQL-commando's uit te voeren met volledige administratieve databaserechten. In bepaalde configuraties brengt dit een aanzienlijk risico met zich mee op compromittering van de server op rootniveau.

Het probleem, bijgehouden als CVE-2026-58048, bevindt zich in de databasebeheerfunctionaliteit binnen cPanel & WHM. Een aanvaller heeft een geldig cPanel-account en toegang tot de MySQL- of MariaDB-functionaliteit nodig om deze kwetsbaarheid uit te buiten.

Deze kwetsbaarheid is bijzonder zorgwekkend in gedeelde hostingomgevingen, waar meerdere klanten accounts kunnen hebben op dezelfde fysieke of virtuele server. Een gebruiker met lage privileges zou potentieel hun normale toegang tot databasebeheer kunnen misbruiken om SQL-statements uit te voeren met databasebeheerdersrechten, in plaats van beperkt te blijven tot hun toegewezen permissies.

Volgens cPanel treft deze kwetsbaarheid alle ondersteunde versies van cPanel & WHM die nog geen gepatchte versies van de leverancier hebben ontvangen. Afhankelijk van het besturingssysteem, de database-engine en de serverconfiguratie, kan administratieve uitvoering op databaseniveau worden gebruikt om toegang te krijgen tot het onderliggende besturingssysteem.

Succesvolle uitbuiting van deze kwetsbaarheid kan gevoelige klantdatabases blootleggen, aanvallers in staat stellen databaserechten en -gebruikers te wijzigen, inloggegevens te extraheren, kwaadaardige databasetriggers te implementeren of bestanden te benaderen via databasefunctionaliteiten. In omgevingen waar MySQL of MariaDB verhoogde bestandssysteemtoegang heeft, kan de impact zich uitstrekken tot een volledige servercompromittering.

Organisaties die door deze kwetsbaarheid worden getroffen, worden dringend aangespoord om cPanel & WHM onmiddellijk te updaten naar een van de gepatchte versies: 11.110.0.137, 11.118.0.71, 11.126.0.78, 11.134.0.48, 11.136.0.32, of 138.1.6 voor WP2-implementaties.

Voor beheerders die niet onmiddellijk kunnen patchen, kan blootstelling worden beperkt door de MySQL-functionaliteit te herroepen van getroffen cPanel-gebruikers via het beheer van featurelijsten. Deze tijdelijke maatregel voorkomt dat gebruikers databases kunnen toevoegen of verwijderen, terwijl de toegang tot bestaande databases behouden blijft.

Beveiligingsteams moeten database-auditlogs controleren op onverwachte administratieve SQL-activiteit, zoals nieuw aangemaakte databasegebruikers, ongebruikelijke privilege-toewijzingen, gewijzigde opgeslagen procedures en verdachte bestandsgerelateerde databasebewerkingen. Hostingproviders moeten extra aandacht besteden aan accounts met recent aangemaakte databases of onverwachte wijzigingen in MySQL/MariaDB-permissies.

WebPros heeft beveiligingsonderzoeker Vincent55 Yang erkend voor het verantwoordelijk rapporteren van dit probleem. De leverancier heeft geen technische details over de uitbuiting openbaar gemaakt. Echter, de ernst van de potentiële privilege-escalatie maakt snelle remediëring essentieel. Organisaties die gedeelde cPanel-infrastructuur exploiteren, moeten CVE-2026-58048 behandelen als een patching-gebeurtenis met hoge prioriteit en controleren of elke beheerde server een gepatchte versie draait.

Bron: cPanel

Microsoft heeft een noodpatch uitgebracht om een kritieke kwetsbaarheid in Excel te dichten. Dit gebeurde buiten de reguliere maandelijkse patchcyclus om. Het beveiligingslek, geïdentificeerd als CVE-2026-62870, stelt een aanvaller in staat om willekeurige code uit te voeren op het systeem van een gebruiker. Dit is mogelijk wanneer het slachtoffer een speciaal geprepareerd Excel-bestand opent.

De kwetsbaarheid werd ontdekt door een externe onderzoeker, die het probleem vervolgens aan Microsoft rapporteerde via het responsible disclosure-programma. Hoewel Microsoft op dit moment geen meldingen heeft ontvangen van actief misbruik van het lek, wordt de kans dat aanvallers dit in de toekomst zullen doen als 'less likely' ingeschat. Desondanks heeft de urgentie van het probleem geleid tot de versnelde uitgave van de patch.

Beveiligingsupdates zijn nu beschikbaar voor diverse Microsoft-producten. Dit omvat Microsoft Excel 2016, Microsoft Office LTSC 201 en 2024, Microsoft 365 Apps for Enterprise en Microsoft Office 2019. Gebruikers van deze softwareversies wordt geadviseerd de updates zo spoedig mogelijk te installeren om zich te beschermen tegen potentiële aanvallen die misbruik maken van dit lek.

Bron: Microsoft

Publieke proof-of-concept code is verschenen voor de kwetsbaarheid CVE-2026-39875, een beveiligingslek in het Common UNIX Printing System (CUPS), het printsysteem van macOS. Dit lek stelt een lokale gebruiker zonder rechten in staat om willekeurige bestanden weg te schrijven met rootrechten. De kwetsbaarheid treft macOS Sonoma, Sequoia en Tahoe in versies ouder dan respectievelijk 14.8.8, 15.7.8 en 26.6.

De exploitcode, gepubliceerd door onderzoeker Dallas Dubs, combineert twee logische fouten in de bevoorrechte printdienst cupsd. Een aanvaller registreert eerst een kwaadaardige printer. Tijdens het aftasten van printers wordt een geldig authenticatietoken onderschept. Dit token wordt vervolgens opnieuw gebruikt om een tweede printer te registreren. In de laatste stap stuurt de aanvaller een printtaak met eigen inhoud naar deze tweede printer, waarna cupsd die inhoud als root naar de gekozen locatie schrijft. Na het initiëren van de aanval is geen verdere handeling van de gebruiker meer nodig.

Hoewel de code een schrijfactie als root demonstreert en geen volledige rootshell, kan dit, afhankelijk van het gekozen bestand en de configuratie, een realistische route naar volledige rechtenverhoging bieden. De beschikbaarheid van publieke exploitcode verkort de tijd tussen de bekendmaking van een kwetsbaarheid en mogelijk misbruik aanzienlijk. Beheerders van werkplekken met macOS in Nederland en België wordt geadviseerd de genoemde versies met voorrang bij te werken om risico's te mitigeren.

Bron: Apple

Een dertien jaar oude kwetsbaarheid, bekend als OVSwrap (CVE-2026-64531), stelt lokale gebruikers in staat om rootrechten te verkrijgen op de meeste Linux-distributies die Open vSwitch gebruiken. Beveiligingsonderzoeker Asim Manizada heeft deze privilege-escalatiekwetsbaarheid in het Open vSwitch datapad van de Linux kernel openbaar gemaakt, met een CVSS-score van 7.8.

De kwetsbaarheid was al dertien jaar aanwezig in de code, maar was tot maart 2025 niet exploiteerbaar. Een wijziging in maart 2025, die een limiet van 32 KiB op de totale gegenereerde actiestroom verwijderde, maakte de bug bereikbaar. Deze wijziging was bedoeld om onvoorspelbare storingen in grote OpenStack-implementaties te voorkomen, maar de beveiligingsimplicaties van het verwijderen van de beveiliging werden niet overwogen.

Het probleem ontstaat doordat Open vSwitch lijsten met "acties" van gebruikersruimte accepteert. Deze acties worden gevalideerd en herschreven naar een grotere interne vorm, opgeslagen als Netlink-attributen met een lengteveld van 16 bits. Hoewel de totale interne actiestroom groter mag zijn dan 64 KiB, moet een individueel genest actieattribuut nog steeds binnen die 16-bits lengte passen. Vóór de fix controleerde Open vSwitch deze tweede limiet niet. Dit stelt een aanvaller in staat om een geldige actie in te dienen, zoals CLONE, die honderden kleine conntrack-acties bevat.

De kernel breidt deze acties uit totdat de gegenereerde actie groter is dan 65.535 bytes, waarna de lengte wordt opgeslagen in de 16-bits nla_len, wat leidt tot een 'wrap-around' naar een kleine waarde. Latere code vertrouwt op deze gewrapte lengte, schuift ermee op en hervat het parsen vanuit het midden van de gegenereerde conntrack-data. Kritisch is dat delen van die conntrack-data, zoals labels en timeoutnamen, door de aanvaller kunnen worden gecontroleerd. Omdat de wrap-around het parsen omleidt naar een deterministische offset binnen dezelfde aaneengesloten buffer, kunnen vervalste actieheaders precies daar worden geplaatst waar het parsen wordt hervat.

De exploit maakt gebruik van drie primitieven die voortvloeien uit deze wrap-around, waaronder een kernelpointerlek via een nep-OUTPUT-actie, een willekeurige kernelread via een vervalste tunnel SET-actie, en een gerichte decrement via het opruimen van een vervalste tunnelbestemmingspointer. Een proof-of-concept (PoC) exploit, die nu openbaar is met vooraf gebouwde records voor ongeveer 800 kernelbuilds, gebruikt gelekte kernelinformatie om kritieke geheugenstructuren te lokaliseren, kernelbeveiligingen te omzeilen en uiteindelijk de gebruikers- en groeps-ID's van de aanvaller naar nul te wijzigen, waardoor rootrechten worden verleend. De PoC corrumpeert een actieve kernelcredential, wijzigt /etc/sudoers of /etc/sudoers.d en opent een root-shell.

De kwetsbare code is breed toegankelijk. Een aanvaller heeft niet veel nodig om de kwetsbare code te bereiken; geen bestaande OVS-bridge, geen draaiende ovs-vswitchd, en geen host-level CAP_NET_ADMIN. Alles wat nodig is, is CAP_NET_ADMIN in de gebruikersnaamruimte die de netwerknamenspace bezit. Een gewone gebruiker kan een niet-bevoegde gebruikersnaamruimte gebruiken om een nieuwe netwerknamenspace te creëren, CAP_NET_ADMIN over die naamruimte te ontvangen en daarin een privé OVS-datapad te creëren. Dit maakt veel distributies kwetsbaar in hun standaardconfiguratie met ingeschakelde niet-bevoegde gebruikersnaamruimtes.

Geteste en exploiteerbare distributies in de standaardconfiguratie zijn onder meer AlmaLinux 9 en 10, Alpine 3.22 tot en met 3.24, Amazon Linux 2023, Arch, CentOS Stream 9 en 10, Debian 12 en 13, Fedora 42 tot en met 44, Kali 2026.1, Linux Mint 22.3, NixOS, openSUSE Tumbleweed, Pop!_OS, Rocky Linux 9 en 10, en Ubuntu 22.04. Ubuntu 24.04 blokkeert directe naamruimtecreatie via AppArmor, maar valt voor een aa-exec-fallback in de PoC; Ubuntu 26.04 is standaard geblokkeerd maar exploiteerbaar na het uitschakelen van de gebruikersnaamruimtebeperking van AppArmor.

De upstream fix is op 24 juli in stabiele versies uitgebracht. Organisaties wordt geadviseerd om een gepatchte kernel te installeren zodra deze beschikbaar is. Indien patchen niet direct mogelijk is en Open vSwitch niet vereist is op het systeem, kan als tussentijdse maatregel het laden van de module worden geblokkeerd met `echo 'install openvswitch /bin/false' > /etc/modprobe.d/ovswrap.conf`. Een reeds geladen module vereist een herstart of handmatige verwijdering. Het uitschakelen van niet-bevoegde gebruikersnaamruimtes sluit de route voor gewone lokale gebruikers, maar beschermt niet tegen containerprocessen die al CAP_NET_ADMIN over een eigen netwerknamenspace hebben. De PoC-repository bevat ook een nood-BPF-guard voor omgevingen die zowel OVS als naamruimtes actief moeten houden.

Bron: CloudLinux

Cisco heeft recentelijk software-updates uitgebracht om meerdere kritieke kwetsbaarheden in zijn Catalyst SD-WAN software te verhelpen. Deze problemen werden proactief ontdekt door het eigen engineeringteam van Cisco tijdens een interne beveiligingsbeoordeling, en niet door externe rapporten. Hoewel er geen bewijs is van actieve exploitatie in het wild, roept Cisco beheerders op om onmiddellijk prioriteit te geven aan het toepassen van de patches, gezien de ernst van sommige kwetsbaarheden.

In plaats van afzonderlijke adviezen uit te brengen voor elke bug, heeft Cisco de kwetsbaarheden gegroepeerd per onderliggende Common Weakness Enumeration (CWE) categorie en één CVE-identificatie per groep toegewezen. Deze aanpak is bedoeld om het openbaarmakings- en patchproces voor klanten te vereenvoudigen. De meest kritieke problemen hebben een CVSS-score van 9.9, wat net onder de maximale score ligt.

De belangrijkste kwetsbaarheden omvatten CVE-2026-20303, die voortkomt uit onjuiste invoervalidatie en gerelateerde zwakheden zoals 'path traversal' en externe controle over bestandspaden. CVE-2026-20304 behandelt onjuiste toegangscontrole, waarbij autorisatie-, authenticatie- en privilege-gerelateerde bypass-problemen zijn samengebracht. CVE-2026-20310 betreft onjuiste koppelingresolutie vóór bestandstoegang, een type bug dat aanvallers in staat stelt symbolische links te manipuleren om onbedoelde bestanden te bereiken. Samen vormen deze drie kwetsbaarheden de gevaarlijkste risico's in dit advies. Daarnaast zijn er CVE-2026-20312 met een score van 8.8, gerelateerd aan de opslag van gevoelige informatie in platte tekst, wat kan leiden tot blootstelling van inloggegevens of andere geheimen bij compromittering van het onderliggende systeem. Tot slot is er CVE-2026-20313 met een score van 7.7, die betrekking heeft op onjuiste validatie van een gespecificeerde hoeveelheid in invoer.

De kwetsbaarheden treffen de Cisco Catalyst SD-WAN software in elk implementatiemodel, ongeacht de configuratie van het apparaat. Dit omvat on-premises installaties, Cisco SD-WAN Cloud-Pro, Cisco-beheerde SD-WAN Cloud-omgevingen en Cisco SD-WAN voor overheidsinstanties onder FedRAMP. Er is geen configuratie-instelling of functionaliteit die een apparaat vrijstelt van blootstelling, wat dit een breed advies maakt voor bedrijven en overheidsinstanties die afhankelijk zijn van Cisco's SD-WAN infrastructuur.

Cisco heeft benadrukt dat er geen tijdelijke oplossingen zijn voor deze kwetsbaarheden, waardoor software-upgrades de enige haalbare mitigatieroute zijn. Organisaties die Cisco Catalyst SD-WAN releases gebruiken die ouder zijn dan 20.9, moeten volledig migreren naar een ondersteunde versie, aangezien deze oudere branches geen patch zullen ontvangen. Opgeloste builds omvatten 20.9.10, 20.12.8.1, 20.15.6, 20.18.4 en 26.1.2, afhankelijk van de gebruikte branch. Verschillende getroffen releases, waaronder 20.11, 20.13, 20.14 en 20.16, hebben reeds het einde van de softwareondersteuning bereikt. Cisco dringt er bij klanten met deze versies op aan om over te stappen naar een momenteel ondersteunde release in plaats van simpelweg een puntfix toe te passen. Klanten die Cisco SD-WAN Cloud gebruiken onder een door Cisco beheerde service hoeven geen actie te ondernemen, aangezien de leverancier de fix al heeft toegepast in Release 20.15.602 aan de achterkant.

Cisco heeft opmerkelijk genoeg ook bekendgemaakt dat deze kwetsbaarheden zijn ontdekt met een combinatie van traditionele interne testprocessen en geavanceerde AI-modellen, wat duidt op een verschuiving naar AI-ondersteunde kwetsbaarheidsdetectie in bedrijfsbeveiligingsonderzoek. Hoewel er geen publieke exploitatie is gemeld, betekenen de hoge CVSS-scores dat deze bugs aantrekkelijke doelen kunnen worden zodra technische details circuleren. Organisaties wordt geadviseerd hun huidige Catalyst SD-WAN-versie te controleren aan de hand van het Cisco-advies en upgrades snel in te plannen, aangezien het uitstellen van patches op internetgerichte SD-WAN-infrastructuur een aanzienlijk risico met zich meebrengt.

Bron: Cisco

Veeam heeft recentelijk diverse kwetsbaarheden gepatcht die aanwezig waren in Veeam Service Provider Console. Deze beveiligingslekken zijn ontdekt in verschillende componenten van het systeem en kunnen door onbevoegde aanvallers worden misbruikt voor uiteenlopende doeleinden, variërend van het verkrijgen van gevoelige informatie tot het veroorzaken van denial-of-service.

Eén van de kritieke kwetsbaarheden stelt een aanvaller in staat om zich voor te doen als een beheerde agent binnen het systeem. Door deze impersonatie kunnen de bijbehorende inloggegevens worden achterhaald, wat een directe bedreiging vormt voor de integriteit van het systeem.

Een andere ernstige kwetsbaarheid maakt het mogelijk voor een aanvaller om willekeurige bestanden te schrijven naar de managementserver. Dit kan leiden tot de uitvoering van remote code, waardoor de aanvaller volledige controle over de server kan verkrijgen en zo verhoogde privileges kan afdwingen. Dit scenario vormt een aanzienlijk risico voor de gehele infrastructuur die door de console wordt beheerd.

Daarnaast is er een kwetsbaarheid gevonden die een onbevoegde gebruiker in staat stelt een Denial-of-Service (DoS) aanval uit te voeren. Dit gebeurt door overmatig geheugenverbruik te triggeren, wat de beschikbaarheid van de Veeam Service Provider Console ernstig kan beïnvloeden en legitieme gebruikers de toegang ontzegt.

Tot slot is er een probleem met onvoldoende sessiebeheer en toegangscontrole. Hierdoor kan een onbevoegde aanvaller tijdens de initiële fase van een beheerderssessie toegang krijgen tot de proxied appliance API met Portal Administrator-privileges. Dit lek benadrukt het belang van robuuste sessiebeveiliging en strikte toegangscontroles binnen complexe beheersystemen. Veeam heeft updates uitgebracht om deze kwetsbaarheden te adresseren en adviseert gebruikers om hun systemen zo snel mogelijk te patchen.

Bron: NCSC

Twee ernstige beveiligingslekken in Paperclip, een open-source controlepaneel voor teams van kunstmatige intelligentie (AI) agenten, stellen aanvallers in staat om commando's uit te voeren op netwerkservers of de computers van ontwikkelaars. Beide aanvalspaden zijn afhankelijk van het importeren en starten van een kwaadaardige agent. Een derde kwetsbaarheid zou gevoelige gegevens en details van het controlepaneel kunnen blootleggen via API-routes die de verwachte toegangscontroles niet afdwingen.

Het meest kritieke server-side pad, geïdentificeerd als CVE-2026-41679 met een CVSS-score van 10.0, vereist geen bestaand account of interactie van het slachtoffer tegen netwerktoegankelijke implementaties die de geauthenticeerde modus met de standaard registratieconfiguratie gebruiken. Het tweede pad, getraceerd als GHSA-x8hx-rhr2-9rf7 met een CVSS-score van 9.6, vereist dat een gebruiker een door een aanvaller gecontroleerde pagina opent terwijl Paperclip draait in de standaard local_trusted modus.

Volgens een analyse van Oasis Security, ondersteund door een gedetailleerd technisch rapport van zeventien pagina's, ligt de kern van de bevindingen in het feit dat agentconfiguratie kan leiden tot uitvoerbaar gedrag. De ingebouwde procesadapter van Paperclip lanceert opzettelijk een geconfigureerd commando als een onderliggend proces van de server. De uitvoeringsfunctie is op zichzelf legitiem; de kwetsbaarheden veranderden wie deze kon bereiken en wiens configuratie de server zou vertrouwen. Oasis Security benadrukt dat agentconfiguratie moet worden behandeld als uitvoerbare input.

De server-side aanvalsketen begint met de standaard open-signup flow van Paperclip. Een aanvaller kan zonder uitnodiging of geverifieerd e-mailadres registreren, inloggen en het autorisatieproces van de command-line interface starten. Dezelfde nieuw geregistreerde gebruiker kan een openstaande CLI-uitdaging aanmaken en goedkeuren, waardoor een duurzaam board API-referentie wordt geactiveerd zonder tussenkomst van een afzonderlijke beheerder. Dit referentie zou niet voldoende mogen zijn om een top-level bedrijf te creëren, maar de equivalente importroute voor een nieuw bedrijf accepteerde toegang op board-niveau. Een aanvaller kon zo een .paperclip.yaml-bundel leveren die een nieuw bedrijf, een agent met de procesadapter en het commando dat die agent zou uitvoeren, definieerde. Paperclip lanceerde vervolgens het commando met de besturingssysteempremie's van zijn serverproces. De praktische impact kan bestaan uit toegang tot applicatiegegevens, broncode repositories, lokaal opgeslagen referenties, geheimen die beschikbaar zijn voor agentprocessen en interne diensten die vanaf de machine bereikbaar zijn.

Paperclip heeft CVE-2026-41679 verholpen in versie 2026.416.0 door instance-administrator toegang te vereisen voor imports gericht op een nieuw bedrijf en bedrijfstoegang voor imports gericht op een bestaand bedrijf. De open registratie blijft beschikbaar, maar een nieuw geregistreerde board gebruiker kan de importroute voor een nieuw bedrijf niet langer behandelen als een instance-administrator operatie. Rapid7 heeft in juni 2026 een publieke Metasploit-module voor CVE-2026-41679 uitgebracht, en CISA's Stakeholder-Specific Vulnerability Categorization (SSVC) classificeert de exploitatie als 'proof-of-concept'. Er zijn op 5 augustus 2026 geen meldingen van actieve exploitatie in het wild.

Het tweede kritieke pad richt zich op een ander implementatiemodel. In de standaard local_trusted configuratie bindt Paperclip aan de loopback-interface en behandelde historisch gezien elk verzoek dat de service bereikte als een impliciete instance-administrator. Oasis demonstreerde een DNS-rebinding aanval waarbij een door een aanvaller gecontroleerde hostname zowel naar de server van de aanvaller als naar 127.0.0.1 werd omgezet. De browser laadde eerst JavaScript van de server van de aanvaller. Nadat die server stopte met reageren, bereikten latere verzoeken naar dezelfde hostname de lokale Paperclip-service. De pagina kon vervolgens de import API van Paperclip aanroepen, een bedrijf installeren met een procesgebaseerde agent en diens wakeup-eindpunt aanroepen. Omdat de lokale modus administratorautoriteit toekende aan de 'rebound' verzoeken, voerde de server het commando van de aanvaller uit met de rechten van de ontwikkelaar, zonder dat een Paperclip-token, sessiecookie of gestolen referentie nodig was. Een proof-of-concept werd geverifieerd op macOS met Firefox.

Organisaties die Paperclip gebruiken, dienen te updaten naar versie 2026.416.0 of later en te controleren hoe registratie en implementatie-exposure zijn geconfigureerd.

Bron: Oasis Security

Het ontwikkelteam van Django, het populaire Python web framework, heeft noodpatches uitgebracht voor vier beveiligingskwetsbaarheden die de ondersteunde versies beïnvloeden. Ontwikkelaars en beheerders wordt dringend geadviseerd om zo snel mogelijk te upgraden naar Django 6.0.8 en Django 5.2.17. Dit is met name cruciaal wanneer Django GIS-functionaliteiten of de ingebouwde admin-interface toegankelijk zijn voor medewerkers.

De meest kritieke kwetsbaarheid, aangeduid als CVE-2026-15307, heeft een hoge ernstscore. Deze kwetsbaarheid treft Django's ruimtelijke 'lookups' die raster-gerelateerde waarden verwerken via GDALRaster. Voorheen konden deze lookups zowel string- als dictionary-waarden accepteren die rasters vertegenwoordigden. Afhankelijk van de geselecteerde rasterdriver kon een kwaadaardige waarde een bestandsschrijfbewerking op de server teweegbrengen of een netwerkverzoek uitvoeren met de rechten van het Django-proces. In bepaalde omgevingen kon dit bestandsschrijfgedrag potentieel leiden tot uitvoering van code op afstand (Remote Code Execution). Het probleem was bijzonder relevant voor Django admin 'changelists', waar medewerkers met alleen leesrechten, door te filteren op geregistreerde modellen met ruimtelijke velden, de kwetsbaarheid konden misbruiken. Django blokkeert nu dictionary-waarden en strings die geen geldige GEOSGeometry-objecten zijn voor gebruik in ruimtelijke lookups. Modelveldtoewijzingen blijven echter ongewijzigd en kunnen deze nog steeds accepteren. Ontwikkelaars die onbetrouwbare ruimtelijke data verwerken, moeten deze valideren voor gebruik en de rasterbeveiligingsrichtlijnen van Django raadplegen voordat zij vergelijkbare functionaliteit in eigen code herstellen.

Een andere kwetsbaarheid, CVE-2026-15337, betreft een Denial of Service (DoS)-risico met lage ernst in django.utils.translation.check_for_language(). Deze functie kon een groot aantal verschillende en buitensporig lange taalcodes opslaan in een in-memory cache. Een aanvaller zou lange waarden kunnen versturen via POST-verzoeken naar de optionele set_language()-weergave, waardoor geleidelijk geheugen wordt verbruikt. Hoewel de impact op het geheugen beperkt was door Django's request-size instellingen en een maximum aantal cache-items, weigert de update nu taalcodes langer dan 500 tekens voordat ze de gecachte lookup bereiken, wat onnodig geheugengebruik vermindert.

CVE-2026-15830 is eveneens een DoS-kwetsbaarheid en treft applicaties die geografische geometrieverwerking gebruiken. Diep geneste GEOMETRYCOLLECTION-objecten konden een segmentatiefout veroorzaken in de onderliggende GEOS-bibliotheek. Dit kan een aanvaller in staat stellen een Django-applicatie te verstoren als speciaal ontworpen geometrie-input wordt doorgegeven aan ruimtelijke veld-lookups of een GeometryField-formulier. De patches dwingen een maximum van 198 geneste geometrieverzamelingen af voor 'well-known text'-input en beperken voor 'well-known binary'-input het totale aantal geometrieverzamelingen tot 198. Ontwikkelaars die een andere drempel nodig hebben, kunnen de nieuwe max_geom_collections-instelling gebruiken die beschikbaar is in GEOSGeometry, evenals in relevante formulier- en modelvelden. GeoJSON-inputs blijven onaangetast omdat GDAL deze parst.

De vierde kwetsbaarheid, CVE-2026-15920, is een matig ernstig opgeslagen Cross-Site Scripting (XSS)-risico in Django admin-weergaven. URLField-waarden werden als klikbare links weergegeven in 'changelists' en alleen-lezen admin-velden zonder eerst te controleren of de URL een veilig schema gebruikte. Een opgeslagen waarde met een gevaarlijk schema kon daardoor als een actieve link verschijnen. Django valideert nu URLField-waarden met URLValidator voordat ze als links worden weergegeven. Ongeldige waarden worden in plaats daarvan als platte tekst weergegeven.

De correcties zijn ook toegepast op de hoofdbranch van Django en de releasekandidaatbranch van Django 6.1. Organisaties moeten hun Django-implementaties snel bijwerken, de compatibiliteit van ruimtelijke lookups testen en toegangscontroles voor beheerders en inputvalidatiepraktijken herzien.

Bron: Django

De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft recentelijk een nieuwe kwetsbaarheid, CVE-2026-63077, toegevoegd aan zijn Known Exploited Vulnerabilities (KEV) Catalogus. Deze toevoeging volgt op bewijs van actieve exploitatie van de kwetsbaarheid, die een deserialisatieprobleem betreft in JetBrains TeamCity. Deserialisatiekwetsbaarheden worden frequent misbruikt door kwaadwillende cyberactoren en vormen een aanzienlijk risico voor diverse organisaties.

De specifieke kwetsbaarheid in JetBrains TeamCity, een populaire CI/CD-server, kan leiden tot het uitvoeren van onbetrouwbare data, wat aanvallers potentieel volledige controle over getroffen systemen kan geven. CISA benadrukt het belang van snelle remediëring van dergelijke hoogrisico-kwetsbaarheden.

Voor federale civiele uitvoerende takken (FCEB-instanties) in de VS geldt Binding Operational Directive (BOD) 26-04. Deze richtlijn stelt eisen aan het kwetsbaarheidsbeheer, waarbij prioriteit wordt gegeven aan snelle reparatie van hoogrisico-kwetsbaarheden die in de KEV Catalogus staan, met name op publiek toegankelijke assets. Bovendien vereist BOD 26-04 dat instanties controleren of systemen zijn gecompromitteerd voordat patches worden toegepast.

Hoewel BOD 26-04 primair van toepassing is op FCEB-instanties, moedigt CISA alle organisaties aan om een risico-gebaseerde benadering van kwetsbaarheidsbeheer te hanteren. Dit betekent dat organisaties de remediëring van kwetsbaarheden die in de KEV Catalogus zijn opgenomen, prioriteit moeten geven om potentiële cyberaanvallen te voorkomen. CISA blijft de catalogus aanvullen met kwetsbaarheden die voldoen aan de criteria, een CVE ID, bewijs van actieve exploitatie en duidelijke mitigatierichtlijnen. Organisaties die op de hoogte zijn van uitgebuitte kwetsbaarheden die nog niet in de catalogus staan, kunnen deze ter overweging indienen via het KEV Nomination Form van CISA.

Bron: CISA

Een kritieke kwetsbaarheid (CVE-2026-59774) in Gitea, het zelf gehoste Git-platform, stelt een ongeauthenticeerde aanvaller in staat om bestanden te lezen waartoe het serviceaccount toegang heeft op de server. Deze kwetsbaarheid, die een CVSS-score van 9.8 (kritiek) heeft gekregen, treft Gitea-versies 1.22.1 tot en met 1.27.0. Voor een succesvolle aanval is geen login of schrijftoegang tot een repository vereist; een openbare repository en zorgvuldig opgestelde Org-mode markup volstaan. Gitea heeft de kwetsbaarheid op 2 augustus formeel bekendgemaakt en deze is opgelost in versie 1.27.1.

Naast CVE-2026-59774 is in Gitea 1.27.1 ook CVE-2026-60004 gepatcht, een afzonderlijke kwetsbaarheid voor de uitvoering van externe code. Voor cloud-instanties van Gitea zullen de upgrades automatisch plaatsvinden tijdens het onderhoudsvenster voor de release. Beheerders van zelf gehoste Gitea-instanties wordt echter dringend geadviseerd onmiddellijk te upgraden naar versie 1.27.1.

De kwetsbaarheid voor het lezen van bestanden is geen directe uitvoering van externe code met één verzoek. Gitea heeft echter beschreven dat deze kan escaleren naar commando-uitvoering als een aanvaller het `app.ini`-bestand kan lezen, de `INTERNAL_TOKEN` kan extraheren, een Git hook kan injecteren via de interne logger en die hook kan activeren tijdens een anonieme kloon. Deze aanvalsketen is beschreven in het advies van Gitea, maar er is geen onafhankelijk gepubliceerde exploit die dit demonstreert.

Upgraden is essentieel, maar mogelijk niet voldoende na een vermoedelijke blootstelling. Als logs aantonen dat het markup-endpoint is bereikt op een kwetsbare build, dienen alle referenties die leesbaar waren door het Gitea serviceaccount als gecompromitteerd te worden beschouwd. Het is dan noodzakelijk om de interne token, OAuth-materiaal, JWT-ondertekeningsmateriaal en database-referenties te roteren voordat de instantie als veilig kan worden beschouwd.

De kwetsbaarheid bevindt zich in Gitea's markup-rendering-endpoint, `POST /{owner}/{repo}/markup`. Deze route maakt optionele aanmelding mogelijk, lost de repository op en controleert de leesrechten. Een anoniem verzoek passeert deze controle bij elke openbare repository waarvan de code-eenheid is ingeschakeld. Dit beperkt de ongeauthenticeerde blootstelling, een instantie zonder openbare repositories heeft geen anoniem aanvalspad via dit endpoint.

De oorzaak van de kwetsbaarheid ligt in de Org-mode-renderer van Gitea. Gitea 1.27.0 initialiseerde `go-org` met `org.New()` en verving de standaard `ReadFile`-callback van de bibliotheek niet. In `go-org` 1.9.1 is die callback `ioutil.ReadFile`. De `#+INCLUDE`-directive van Org-mode accepteert absolute paden en geeft deze door aan de callback. Een aanvaller kan Org-mode markup indienen, `Mode=file` selecteren en bestanden ontvangen die het serviceaccount kan lezen. De oplossing is geïmplementeerd in PR #38642 en teruggeport in PR #38645, waarbij Gitea nu `ReadFile` overschrijft zodat een Org-mode include-pad wordt geretourneerd als platte gerenderde inhoud in plaats van te worden opgelost vanuit het bestandssysteem van de server.

CVE-2026-59774 werd ontdekt door XBOW Security, een autonoom offensief beveiligingssysteem, en getrieerd door Guido Leo. Shai Rod, online bekend als NightRang3r, rapporteerde onafhankelijk hetzelfde probleem. Gitea heeft geen formele detectiehandleiding gepubliceerd in het advies. Beheerders moeten anonieme POST-verzoeken naar `/{owner}/{repo}/markup` controleren, vooral verzoeken die Org-mode-rendering selecteren of absolute bestandssysteempaden indienen. Als de escalatieroute van het advies is geprobeerd, moeten de hook-directories van de repository worden gecontroleerd op onverwachte uitvoerbare bestanden.

Gitea's advies meldt geen actieve exploitatie in het wild, en per 5 augustus 2026 was CVE-2026-59774 nog niet verschenen in CISA's catalogus van bekende misbruikte kwetsbaarheden. Eerdere kwetsbaarheden in Gitea omvatten een kritieke authenticatie-bypass via reverse-proxy in Docker-images (CVE-2026-20896) die in juni werd gepatcht, en een toegangscontrolekwetsbaarheid in het container-registry (CVE-2026-27771) die in mei werd geschat op meer dan 30.000 installaties in meer dan 30 landen.

Bron: Gitea

Beveiligingsonderzoekers van de Universiteit van Californië, San Diego (UC San Diego) hebben alarmerende kwetsbaarheden aan het licht gebracht in een model van aftermarket autoalarm, bekend als het KARR Security System. Dit systeem, dat naar schatting in meer dan twee miljoen voertuigen in de Verenigde Staten is geïnstalleerd, blijkt een aanzienlijk risico te vormen voor de veiligheid en functionaliteit van auto's.

De kern van het probleem ligt in de mogelijkheid voor kwaadwillende actoren om binnen Bluetooth-bereik radiofrequentiecommando's naar het KARR Security System te sturen. Deze commando's kunnen op diverse manieren misbruikt worden, wat de controle over het voertuig ondermijnt en de eigenaar in gevaar kan brengen. Specifiek hebben de onderzoekers aangetoond dat aanvallers hiermee de auto naar believen geruisloos kunnen ontgrendelen, het alarm kunnen uitschakelen, de claxon kunnen activeren of de lichten van het voertuig kunnen laten knipperen, of zelfs de ontsteking kunnen uitschakelen en een bestuurder gestrand kunnen achterlaten.

De wijdverspreide adoptie van het KARR Security System in miljoenen voertuigen in de VS, gecombineerd met de relatief eenvoudige methode van exploitatie via Bluetooth, onderstreept de urgentie van deze ontdekking. Het feit dat het een aftermarket-oplossing betreft, die na de aankoop van de auto wordt toegevoegd, benadrukt een blinde vlek in de algehele voertuigbeveiliging. Dergelijke systemen worden vaak als een extra beschermingslaag beschouwd, maar kunnen, indien kwetsbaar, juist een nieuw aanvalsoppervlak creëren.

De onderzoekers van UC San Diego dringen aan op onmiddellijke actie en het uitbrengen van patches door de fabrikant om deze kritieke beveiligingslekken te dichten. Dit incident dient als een belangrijke herinnering aan de noodzaak van continue beveiligingsaudits en updates voor alle elektronische systemen in voertuigen, inclusief die van derden.

Bron: Schneier

Een omvangrijke campagne van crypto-overvallen teistert momenteel beveiligde offline hardware wallets, zo melden diverse beveiligingsbedrijven. Een tiental verschillende hackersgroepen maakt misbruik van een kwetsbaarheid in de cryptoportefeuille Coldcard, met als doel Bitcoin en andere cryptomunten te stelen. De totale buit wordt geschat op minstens 130 miljoen dollar.

De Coldcard is een hardware crypto wallet, een fysiek apparaat dat qua uiterlijk doet denken aan een rekenmachine. Het is specifiek ontworpen om cryptovaluta veilig op te slaan. Gebruikers kunnen met de Coldcard een zogenaamde 'seed phrase' genereren, die fungeert als het wachtwoord voor hun Bitcoin wallet. Deze sleutel blijft na generatie offline, terwijl de bijbehorende Bitcoins en andere cryptomunten online beschikbaar blijven. Dit concept, bekend als een 'cold wallet', wordt algemeen beschouwd als een veiligere methode om wachtwoorden te beheren dan ze online op te slaan in 'hot' wallets, zoals mobiele apps of accounts op cryptoplatformen.

Onderzoek heeft echter uitgewezen dat bepaalde oudere Coldcard wallets een fout bevatten. Deze kwetsbaarheid stelde aanvallers in staat om te achterhalen hoe het apparaat wachtwoorden genereert. Door deze fout te doorgronden, kunnen kwaadwillenden zelf sleutels genereren en vervolgens via een brute force methode proberen de wachtwoorden van slachtoffers te raden. Dit betekent dat hackers niet fysiek hoeven in te breken op de offline Coldcard om toegang te krijgen tot de fondsen; ze kunnen de sleutels onafhankelijk recreëren.

Volgens onderzoekers van Galaxy Research is het onduidelijk wie de precieze daders zijn achter de aanvallen, en lijkt het te gaan om verschillende criminele bendes. Deze bendes hebben samen naar schatting al 130 miljoen dollar aan cryptomunten buitgemaakt.

Coinkite, het bedrijf dat de Coldcard produceert, heeft de fout inmiddels erkend in een bericht aan zijn gebruikers. Het bedrijf adviseert getroffen gebruikers om hun Coldcard-apparaat te updaten en vervolgens over te stappen op een nieuwe seed phrase voor hun cryptowallet om verdere diefstal te voorkomen.

Bron: Datanews.be

Veeam, HashiCorp en de Django Software Foundation hebben recentelijk elf kwetsbaarheden gepatcht in hun producten: Terraform MCP Server, Veeam Service Provider Console en Django. Deze patches adresseren diverse ernstige beveiligingslekken, waaronder een kritieke cross-tenant kwetsbaarheid met een CVSS-score van 10.0.

Bij Veeam Service Provider Console, een multi-tenant console die hostingbedrijven en managed service providers gebruiken voor het beheer van klantback-ups, zijn vier kwetsbaarheden verholpen in build 9.3.0.35057, die op 29 juli werd uitgebracht. Een beveiligingsbulletin met details volgde op 4 augustus. Twee van deze kwetsbaarheden zijn als kritiek beoordeeld. De meest alarmerende is CVE-2026-58073 (CVSS 9.5), die een niet-geauthenticeerde aanvaller in staat stelt zich voor te doen als een beheerde agent en diens inloggegevens te verkrijgen. De aanvalscomplexiteit hiervan is hoog. De tweede kritieke kwetsbaarheid, CVE-2026-58072 (CVSS 9.0), betreft een willekeurige bestandsschrijfkwetsbaarheid op de beheerserver die kan leiden tot remote code execution en vereist een account met lage privileges. Twee andere kwetsbaarheden zijn van hoge ernst: CVE-2026-58067, een niet-geauthenticeerde denial of service door geheugenuitputting, en CVE-2026-58071, die de geproxiede appliance API blootstelt als portalbeheerder gedurende een korte periode na het starten van een beheerderssessie. Alle vier de kwetsbaarheden betreffen VSPC 9.2.1.33875 en alle eerdere versie 9 builds. De oplossing is een upgrade naar 9.3.0.35057. Dit is de tweede kritieke patchcyclus voor de console in ongeveer drie maanden, na een eerdere RCE-bug (CVE-2026-32998, CVSS 9.4) in mei.

HashiCorp's Terraform MCP Server, dat AI-assistenten verbindt met Terraform via het Model Context Protocol, bevatte drie gerelateerde kwetsbaarheden in zijn Streamable HTTP-transport. Deze werden op 28 juli openbaar gemaakt en zijn verholpen in versie 1.1.0, die op 14 juli werd uitgebracht, gevolgd door versie 1.2.0 op 4 augustus. Implementaties die alleen in stdio-modus (de lokale single-user setup) draaien, zijn niet getroffen. De kwetsbaarheden bevinden zich in de multi-user HTTP-modus, bedoeld voor gecentraliseerde, gedeelde implementaties, de configuratie die HashiCorp in juni promootte. De ernstigste is CVE-2026-16498 (CVSS 10.0), een cross-tenant credential-reuse bug in stateless HTTP-modus. De onderliggende MCP-bibliotheek wijst geen unieke sessie-ID's toe, en de credential cache van de server vertrouwde op deze ID's om gebruikers te onderscheiden. Hierdoor kon de Terraform-token van één gebruiker worden hergebruikt voor latere gebruikersverzoeken. Een tweede kwetsbaarheid, CVE-2026-16496 (CVSS 8.9), is de stateful-modus versie van de isolatiefout, die standaard is voor een centrale implementatie. Deze cache gebruikte de MCP-sessie-ID als enige opzoekcode, zonder de gecachte client aan de token te binden die deze heeft gemaakt. Dit stelde een gebruiker die de sessie-ID van een andere gebruiker verkreeg in staat om tool calls uit te voeren met de Terraform-client van die gebruiker. Juan Pablo Martinez Kuhn van Coinspect rapporteerde deze kwetsbaarheid. De derde, CVE-2026-14869 (CVSS 8.6), is een server-side request forgery kwetsbaarheid, waarbij een niet-geauthenticeerde beller de server kan laten reageren op een door de aanvaller gecontroleerd endpoint. Voor operators die niet onmiddellijk kunnen upgraden, wordt geadviseerd de netwerktoegang tot de Streamable HTTP-listener te beperken.

Daarnaast is er een kwetsbaarheid ontdekt in GeoDjango's ruimtelijke opzoekingen, die het mogelijk maakt een bestand naar de schijf te schrijven en in sommige configuraties code uit te voeren. Deze is bereikbaar voor een medewerker met weergavebevoegdheid op een geregistreerd model dat een ruimtelijk veld bevat. Een fix is beschikbaar door Django te updaten naar versie 6.0.8 of 5.2.17.

Geen van de elf CVE's wordt momenteel actief misbruikt, noch zijn er publieke proof-of-concepts verschenen. Ze staan per 5 augustus 2026 ook niet vermeld in CISA's Known Exploited Vulnerabilities catalogus. Het is belangrijk op te merken dat de CVSS-scores van Veeam (4.0) en HashiCorp (3.1) niet direct met elkaar vergelijkbaar zijn, en de blootstelling van de HashiCorp-kwetsbaarheden afhankelijk is van de specifieke configuratie van de server.

Bron: Centrum voor Cybersecurity Belgie (CCB)

Cisco heeft updates uitgebracht om twaalf kritieke kwetsbaarheden te verhelpen die invloed hebben op de Catalyst SD-WAN software en de IOS XE software. Deze actie volgt op een uitgebreide interne beveiligingsreview. De kwetsbaarheden treffen zowel Cisco Catalyst SD-WAN software, ongeacht de apparaatconfiguratie, als Cisco IOS XE software wanneer deze in autonome of controllermodus draait.

Volgens Cisco zijn deze kwetsbaarheden ontdekt tijdens interne beveiligingstests, waarbij zowel bestaande testprocessen als geavanceerde modellen met AI zijn ingezet. Er zijn geen aanwijzingen dat deze kwetsbaarheden actief worden misbruikt. Cisco dringt er bij klanten op aan de noodzakelijke updates toe te passen voor optimale bescherming.

De kwetsbaarheden in de Catalyst SD-WAN software omvatten:

- CVE-2026-20303 (CVSS score: 9.9): Een kwetsbaarheid voor onjuiste invoervalidatie, inclusief pad traversals.

- CVE-2026-20304 (CVSS score: 9.9): Een kwetsbaarheid voor onjuiste toegangscontrole.

- CVE-2026-20310 (CVSS score: 9.9): Een kwetsbaarheid voor onjuiste linkresolutie vóór bestandstoegang.

- CVE-2026-20312 (CVSS score: 8.8): Een kwetsbaarheid voor opslag van gevoelige informatie in platte tekst.

- CVE-2026-20313 (CVSS score: 7.7): Een kwetsbaarheid voor onjuiste validatie van de opgegeven hoeveelheid in invoer.

Deze problemen zijn opgelost in de volgende versies van Cisco Catalyst SD-WAN software: 20.9 (opgelost in 20.9.10), 20.10, 20.111, 20.12 (opgelost in 20.12.8.1), 20.131, 20.141, 20.15 (opgelost in 20.15.6), 20.161, 20.18 (opgelost in 20.18.4) en 26.1 (opgelost in 26.1.2). Voor versies ouder dan 20.9 wordt migratie naar een opgeloste release aanbevolen.

De kwetsbaarheden in de IOS XE software hebben betrekking op onjuiste toegangscontrole, command injection en onjuiste invoervalidatie:

- CVE-2026-20267 (CVSS score: 9.0): Een kwetsbaarheid voor onjuiste toegangscontrole.

- CVE-2026-20268 (CVSS score: 8.6): Een reeks buffer overflow en out-of-bounds write kwetsbaarheden.

- CVE-2026-20269 (CVSS score: 8.6): Een kwetsbaarheid voor onjuiste controle van een resource gedurende de levensduur.

- CVE-2026-20270 (CVSS score: 8.6): Een kwetsbaarheid voor onjuiste berekening, inclusief rekenkundige of numerieke conversiefouten zoals integer overflow, underflow en truncatie.

- CVE-2026-20271 (CVSS score: 8.6): Een kwetsbaarheid voor onvoldoende beheer van de controlestroom, inclusief oneindige lussen, ongecontroleerde recursie en racevoorwaarden.

- CVE-2026-20272 (CVSS score: 9.8): Een kwetsbaarheid voor onjuiste neutralisatie van speciale elementen, inclusief command, besturingssysteem en argument injection.

- CVE-2026-20273 (CVSS score: 8.6): Een kwetsbaarheid voor onjuiste invoervalidatie, inclusief pad traversals.

Deze zeven kwetsbaarheden zijn opgelost in de volgende versies van Cisco IOS XE software: 17.9 (opgelost in 17.9.10), 17.12 (opgelost in 17.12.8), 17.15 (opgelost in 17.15.6), 17.18 (opgelost in 17.18.4 en 17.18.4a) en 26.1 (opgelost in 26.1.2).

Afzonderlijk heeft Cisco ook fixes uitgebracht voor een kwetsbaarheid met hoge ernst in de webgebaseerde beheerinterface van de Integrated Management Controller (IMC), bekend als CVE-2026-20200 (ook wel CIMCown). Voor deze kwetsbaarheid is een proof-of-concept exploit beschikbaar. CVE-2026-20200 (CVSS score: 8.8) betreft een onjuiste validatie van door de gebruiker geleverde invoer, wat een geauthenticeerde, externe aanvaller met lage privileges in staat zou kunnen stellen om willekeurige commando's uit te voeren op het onderliggende besturingssysteem van een getroffen systeem en privileges te escaleren naar root. Een gerelateerde kwetsbaarheid, CVE-2026-20288 (CVSS score: 6.5), maakt soortgelijke privilege-escalatie mogelijk voor geauthenticeerde, externe aanvallers met Admin-privileges. Beveiligingsonderzoeker Christoph Peil, die CVE-2026-20200 ontdekte en rapporteerde, benadrukt de diepgaande en persistente aard van een compromis van de IMC, die ver onder het niveau van klassieke beschermingsmaatregelen zoals EDR-oplossingen op besturingssysteemniveau opereert.

Deze onthullingen komen minder dan een week nadat het netwerkapparatuurbedrijf waarschuwde voor actieve exploitatie van CVE-2026-20316 (CVSS score: 5.3), een kwetsbaarheid in de Cisco Secure Firewall Management Center (FMC) software die een account met lage privileges toegang kan geven tot gevoelige gegevens binnen kwetsbare systemen.

Bron: Cisco

Een recent ontdekte kwetsbaarheid in de Linux-kernel, genaamd Zapscape en geïdentificeerd als CVE-2026-64561, kan aanvallers met kernelprivileges binnen een L1 gast virtuele machine (VM) in staat stellen om de KVM-isolatie te omzeilen en code uit te voeren op de host. Dit risico is van toepassing wanneer geneste virtualisatie wordt blootgesteld aan onbetrouwbare gasten.

De kwetsbaarheid bevindt zich in de KVM/x86's shadow memory management unit (MMU), die verantwoordelijk is voor het beheer van shadow page tables die worden gebruikt voor geneste gastgeheugenvertaling. Security-onderzoeker Hyunwoo Kim, die de bug openbaar maakte, heeft aangetoond dat het exploitpad commando's kan uitvoeren op de host met kernel- of rootrechten.

De upstream-fix is reeds samengevoegd in de Linux-kernel. Beheerders van KVM-hosts die geneste virtualisatie blootstellen aan onbetrouwbare gasten, dienen te updaten naar een gefixeerde stabiele kernel of een vendorpakket dat de patch terugport. De vereiste L1 kernelprivileges komen doorgaans overeen met gast-rootrechten. Voor Intel-systemen moeten zowel EPT page-walk length 4 als 5 worden blootgesteld aan de L1 gast; voor AMD geldt deze voorwaarde niet.

Zapscape is een 'stale-root check ordering flaw' in de KVM's shadow-MMU-boekhouding, wat kan leiden tot een use-after-free kwetsbaarheid. Tijdens het afhandelen van een door de gast geactiveerde page fault, kan KVM MMU-pagina's terugwinnen en de shadow-MMU-rootpagina ongeldig maken die nog steeds wordt gebruikt door het fault-handling pad. Omdat het pad de root niet opnieuw controleert, kan KVM doorgaan onder de ongeldige root.

In een technische uiteenzetting beschreef Kim het probleem als een use-after-free in het recursieve zap-pad dat wordt gebruikt wanneer KVM shadow-pagina's terugwint. KVM controleerde of de huidige root verouderd was voordat er meer MMU-pagina's beschikbaar werden gesteld. Het terugwinnen kon vervolgens diezelfde root ongeldig maken, maar KVM zette het fault-pad voort en creëerde kind-shadow-pagina's eronder. Deze kindpagina's erfden de ongeldige status van de ouder en werden nog steeds op de actieve MMU-paginalijst van KVM geplaatst. Latere opschoning kon dezelfde lijstlink aan twee lijsten tegelijk koppelen en vervolgens de pagina vrijgeven terwijl verouderde lijstreferenties bleven bestaan, wat een 'dangling link' en 'post-free write' creëerde.

Kim's publieke proof-of-concept gebruikt dit primitief om een volledige keten te bouwen die een root-owned bestand met de naam /Zapscape creëert op de host die de kwetsbare KVM draait. De proof-of-concept is gericht op AMD nested SVM/NPT op Linux 7.1.3. Kim adviseert om deze onder QEMU TCG te draaien voor veilig testen. QEMU is hierbij niet de kwetsbare component; de bug bevindt zich in de in-kernel KVM en wordt onafhankelijk van QEMU's emulatie geactiveerd.

Hoewel Kim's write-up van 6 augustus een publieke proof-of-concept bevat, is er geen bewijs dat de kwetsbaarheid al in het wild is uitgebuit. Kim merkte op dat het "geen wapenachtige exploit is die onmiddellijk werkt" in cloudomgevingen, en dat real-world gebruik vereist dat de L1-acties naar een gast-kernelmodule worden verplaatst en de exploit wordt aangepast aan de configuratie en het geheugen van de host-kernel.

De National Vulnerability Database vermeldt Linux 5.9 en latere versies als getroffen, totdat gefixeerde stabiele releases beschikbaar zijn, waaronder 6.6.148, 6.12.101, 6.18.42, 7.1.6 en 7.2-rc5. Red Hat heeft een voorlopige CVSS-score van 7.0 toegekend in hun advies en classificeerde het probleem als CWE-825, oftewel 'expired pointer dereference'. De status van pakketten hangt af van de tracker van elke Linux-leverancier, niet alleen van upstream-versiestrings. Red Hat waarschuwt dat hun pakketten vaak teruggeporteerde fixes bevatten zonder naar een nieuwe upstream-versie te rebasen.

Op 6 augustus 2026 vermeldde Debian's tracker bullseye-, bookworm- en trixie-kernelpakketten, inclusief hun security-repositories, als kwetsbaar. Ook forky werd als kwetsbaar vermeld en sid als gefixt op 7.1.6-1. Volgens de openbaarmakingstijdlijn rapporteerde Kim het probleem op 11 juli 2026 aan security@kernel.org. Een patch werd op 21 juli geplaatst en samengevoegd, het probleem werd op 1 augustus onder een embargo van vijf dagen ingediend bij de linux-distros-lijst en CVE-2026-64561 werd op 4 augustus toegewezen. De publieke openbaarmaking volgde op 6 augustus.

De fix, samengevoegd als commit 2abd5287f083, verplaatst de 'stale-root check' na make_mmu_pages_available(). Als reclaim de huidige root ongeldig maakt, herstart KVM nu de fault met RET_PF_RETRY in plaats van door te gaan met mappen of ophalen onder de ongeldige root. Deze openbaarmaking volgt op eerder KVM-werk van Kim, waaronder Januscape (CVE-2026-53359), een afzonderlijk KVM/x86 shadow-MMU-probleem dat in juli werd behandeld, en ITScape (CVE-2026-46316), een KVM/arm64-escape die in juni werd gepubliceerd.

Bron: Hyunwoo Kim

De Chinese routerfabrikant Zbtlink ontkent de aanwezigheid van een backdoor in diverse routermodellen, zoals beweerd door cybersecuritybedrijf VulnCheck. Niettemin heeft de fabrikant besloten de verkoop van de betreffende modellen te staken en de kwetsbare firmware niet langer aan te bieden. Daarnaast heeft Zbtlink aangekondigd te werken aan firmware-updates die het probleem met het betreffende onderdeel moeten verhelpen.

Jacob Baines, Chief Technology Officer (CTO) van VulnCheck, publiceerde gisteren een blogposting waarin hij stelde dat de firmware van verschillende routers van Zbtlink een backdoor bevat. Deze backdoor is aangeduid als ENDLESSDOORS en heeft het CVE-nummer CVE-2026-66747 gekregen. Volgens Baines maakt een onderdeel van de firmware via TCP verbinding met een hardcoded command-and-control (C2) server. Deze verbinding maakt geen gebruik van authenticatie of transportversleuteling. De server kan via een specifiek commando een interactieve root shell op de router verkrijgen. Baines waarschuwt dat de controle niet beperkt is tot degene die de backdoor heeft geplaatst, juist omdat het kanaal ongeauthenticeerd en in cleartext is.

Baines ontdekte in totaal 21 routermodellen die deze backdoor bevatten. Deze modellen communiceren met verschillende domeinen en IP-adressen. De onderzoeker adviseert gebruikers om de getroffen routers niet te gebruiken voor belangrijk verkeer en deze te vervangen door een ander apparaat.

Zbtlink heeft op zijn eigen website gereageerd en stelt dat het geen backdoor betreft, maar een onderdeel dat is bedoeld als 'after-sales technical support tool' om klanten met problemen te helpen. Volgens de fabrikant zou dit alleen op verzoek van klanten gebeuren en is het onderdeel nooit gebruikt voor ongeautoriseerde toegang.

Naar aanleiding van het onderzoek van VulnCheck heeft Zbtlink wel besloten de verkoop van de betreffende modellen stop te zetten. Ook wordt de kwetsbare firmware niet meer aangeboden. De routerfabrikant heeft verklaard te werken aan een firmware-update om het probleem volledig te verhelpen. Routers van Zbtlink worden ook verkocht onder de merknamen ZBT, ZBTWiFi en Wiflyer.

Bron: VulnCheck

Een publieke proof-of-concept (PoC) is recentelijk vrijgegeven voor een use-after-free (UAF) kwetsbaarheid die het bridge subsystem van de Linux kernel treft. Het specifieke probleem bevindt zich in de Spanning Tree Protocol (STP) implementatie, die onderdeel is van `net/bridge`. Deze kwetsbaarheid kan ertoe leiden dat STP timers actief blijven nadat het bridge netwerkapparaat, waartoe ze behoren, al is verwijderd. Dit creëert een gevaarlijke geheugenveiligheidsconditie binnen de `kmalloc-cg-8k` slab cache.

De UAF kwetsbaarheid treedt op wanneer kernel STP is ingeschakeld op een administratief uitgeschakelde bridge en een bridge poort overgaat naar de LEARNING-status. Onder deze specifieke omstandigheden kan de kernel periodieke STP timers activeren zonder de `IFF_UP` interface vlag te controleren. Deze timers zijn essentieel voor de STP state machine, die Layer 2 lussen voorkomt door de status van bridge poorten en netwerktopologie veranderingen te beheren.

Linux slaat timers, zoals `hello_timer`, `tcn_timer`, `topology_change_timer` en poortspecifieke timers, op in de `struct net_bridge`. Deze structuur wordt opgeslagen in het private data gedeelte van de `net_device` van de bridge. Het is cruciaal dat deze timers worden verwijderd voordat het onderliggende netwerkapparaat wordt vrijgegeven. Als ze na het vrijgeven van het geheugen in de wachtrij blijven staan, kan de kernel later proberen een timer callback uit te voeren via een verouderde geheugenreferentie.

Volgens SSD Disclosure komt de fout voort uit een verschil in opschoongedrag tussen een normale interface shutdown en directe verwijdering van de bridge. Tijdens een standaard UP-naar-DOWN transitie bereikt het `ndo_stop` pad `br_stp_disable_bridge()`, dat STP timers synchroon annuleert via `del_timer_sync()`. Dit voorkomt dat wachtende callbacks toegang krijgen tot vrijgegeven bridge data. Het direct verwijderen van een bridge via het `delink` pad roept echter `br_dev_delete()` aan en activeert niet dezelfde STP opschoonroutine. Als de interface al uitgeschakeld is, kan het apparaat-de-registratieproces ook `ndo_stop` overslaan.

Dit resulteert in geactiveerde timers die gekoppeld blijven aan een per-CPU timer base, zelfs nadat de bijbehorende `net_device` is vrijgegeven. Wanneer de timer verwerkingsroutine van de kernel de zwevende timer later in de softirq-context afhandelt, kan deze naar vrijgegeven geheugen verwijzen. Onderzoekers merken op dat gecontroleerde herallocatie van het vrijgegeven slab object de bug potentieel kan omzetten in een control-flow hijacking primitive, waardoor de impact verder reikt dan een crash of denial-of-service scenario.

De publieke PoC demonstreert de getroffen levenscyclus en benadrukt het belang van tijdige remediëring in omgevingen die bridge configuratie wijzigingen toestaan. Een patch voor de Linux kernel is geïntroduceerd in commit `2a00517db8de4be7df3d483b215c5544fb30a191`. Systemen met kernels van vóór deze wijziging moeten als kwetsbaar worden beschouwd en geüpdatet via de ondersteunde kernel pakketten van hun distributie. Totdat gepatchte kernels zijn geïmplementeerd, dienen beheerders de mogelijkheid voor onvertrouwde gebruikers om bridge interfaces aan te maken, te wijzigen of te verwijderen te beperken en werkbelastingen die kernel STP gebruiken te herzien.

Bron: SSD Disclosure

Microsoft heeft op 6 augustus 2026 een belangrijke kwetsbaarheid bekendgemaakt in Application Insights Profiler, een onderdeel van Azure Application Insights dat prestatieproblemen in live webapplicaties helpt opsporen. Deze kwetsbaarheid is geregistreerd onder de code CVE-2026-49163 en betreft een zogenaamde padtraversal. Dit type kwetsbaarheid ontstaat wanneer een applicatie een bestandspad onvoldoende beperkt tot de daarvoor bedoelde map.

Door de onvolledige beperking van het bestandspad kan een aanvaller die al toegang heeft tot het systeem, en dus al is aangemeld, zijn rechten over het netwerk verhogen. Dit betekent dat een succesvolle exploit van dit lek een aanvaller in staat stelt om meer bevoegdheden te verkrijgen dan waar hij oorspronkelijk recht op had, wat de impact van een aanval aanzienlijk kan vergroten. De kwetsbaarheid is beoordeeld met een ernstscore van 8,8 op een schaal van 10, wat duidt op een hoog risico.

De zwakte valt onder de Common Weakness Enumeration (CWE) klasse CWE-22, die specifiek betrekking heeft op padtraversal. Microsoft adviseert gebruikers van Application Insights Profiler om de aanbevelingen in hun beveiligingsportaal nauwlettend te volgen en de benodigde updates of mitigaties toe te passen om hun systemen te beschermen tegen mogelijke exploits.

Bron: Microsoft Security Response Center

Een ernstige kwetsbaarheid in de veelgebruikte JavaScript bibliotheek CryptoJS heeft geleid tot de diefstal van ongeveer 5,7 miljoen dollar uit cryptoportemonnees. De oorzaak ligt bij een zwakke toevalsgenerator die twaalf jaar geleden aan de bibliotheek is toegevoegd. Onderzoekers van Coinspect identificeerden deze functie als de directe aanleiding voor de zogeheten Ill Bloom diefstallen. Door de voorspelbaarheid van de gegenereerde waarden waren herstelzinnen van gebruikers te raden, wat aanvallers toegang gaf tot hun digitale activa.

Beheerder Evan Vosberg publiceerde op 5 augustus 2026 een beveiligingsadvies met het kenmerk GHSA-rg76-677x-56q9. Dit advies kreeg een ernstscore van 9,0, wat als kritiek wordt beschouwd. De diefstallen vonden plaats in twee afzonderlijke golven. De eerste golf, op 27 mei, resulteerde in het wegsluizen van ongeveer 3,14 miljoen dollar van 431 rekeningen. Een tweede golf volgde tussen 30 mei en 13 juli, waarbij 2,55 miljoen dollar werd buitgemaakt van adressen die aan 522 herstelzinnen waren gekoppeld. Een aanzienlijk deel hiervan, ongeveer 2,18 miljoen dollar aan stabiele munt, werd op 4 juli van één enkele rekening gestolen.

De kwetsbaarheid trof vijf verschillende portemonnee toepassingen en duizenden gebruikers op zowel het Bitcoin netwerk als netwerken die compatibel zijn met Ethereum. Op 6 augustus was NanChat de enige partij die een openbaar advies over deze kwestie had gepubliceerd.

Bron: GitHub Security Advisory

Het Centrum voor Cybersecurity België (CCB) waarschuwt voor twee kritieke kwetsbaarheden, aangeduid als Zapscape (CVE-2026-64561) en Januscape (CVE-2026-53359), die van invloed zijn op de KVM hypervisor in de Linux kernel. Beide kwetsbaarheden hebben een CVSS-score van 8.8 en stellen aanvallers in staat om vanuit een virtuele machine (VM) te ontsnappen naar het onderliggende host-systeem, wat kan leiden tot een volledige compromittering van de host. Organisaties worden dringend geadviseerd om onmiddellijk patches te installeren.

KVM is de ingebouwde hypervisor van Linux en functioneert als een module binnen de Linux kernel die het mogelijk maakt om meerdere geïsoleerde virtuele machines op één fysieke host te draaien. De ontdekte kwetsbaarheden bedreigen de gast-host isolatie van KVM x86-hosts. Een succesvolle exploitatie zou een hoge impact hebben op de vertrouwelijkheid, integriteit en beschikbaarheid van het getroffen systeem. Distributies zoals Red Hat Enterprise Linux (RHEL) kunnen een aanvaller met root-privileges in de gast-VM in staat stellen om root-privileges op de host te verkrijgen.

De Zapscape-kwetsbaarheid (CVE-2026-64561) is een gast-naar-host escape in KVM x86. Deze kwetsbaarheid stelt aanvallers in staat om commando's op de host uit te voeren met kernel (root) privileges door de shadow pages van de host kernel te corrumperen. Het lek bevindt zich in de shadow MMU-emulatie van KVM x86, specifiek in het recursieve ZAP-pad dat wordt uitgevoerd wanneer shadow pages worden teruggevorderd. Exploitatie vereist root-privileges in de gast-VM en systemen met een Intel-architectuur moeten zowel EPT page walk length 4 als 5 blootstellen aan L1.

De Januscape-kwetsbaarheid (CVE-2026-53359) betreft een use-after-free kwetsbaarheid in de shadow MMU-emulatie van KVM x86, die zowel Intel- als AMD-architecturen treft. Ook deze kwetsbaarheid vereist acties binnen de gast-VM met root-privileges om de shadow page van de host kernel te corrumperen, waardoor de gast-host isolatie in gevaar komt. Net als bij Zapscape kan dit bij RHEL-distributies leiden tot het verkrijgen van root-privileges door een aanvaller met lagere privileges.

Openbare cloud-instances vormen een verhoogd risico, aangezien deze publiek toegankelijk zijn en KVM gebruiken voor lichtgewicht virtualisatie van applicaties. Het CCB adviseert organisaties om met de hoogste prioriteit updates voor kwetsbare apparaten te installeren, na grondige tests. Daarnaast wordt aanbevolen de monitoring- en detectiemogelijkheden op te schalen om verdachte activiteiten te identificeren en een snelle respons bij een intrusie te waarborgen. Het patchen van systemen beschermt tegen toekomstige exploitatie, maar herstelt geen eerdere compromittering. Het CCB biedt een meldpunt voor incidenten via hun website.

Bron: Centrum voor Cybersecurity België

Het Nationaal Cyber Security Centrum (NCSC) waarschuwt organisaties die gebruikmaken van macOS Screen Sharing voor een recent ontdekte kwetsbaarheid. Deze kwetsbaarheid, aangeduid als CVE-2026-65400 met een CVSS-score van 7.1, kan leiden tot authenticatieproblemen in de Screen Sharing functionaliteit van Apple's besturingssysteem. Netwerkaanvallers zouden hierdoor ongeautoriseerde toegang kunnen verkrijgen zonder geldige inloggegevens.

macOS is het besturingssysteem van Apple voor computers zoals MacBooks en iMacs. De ingebouwde Screen Sharing functie stelt gebruikers in staat om op afstand het scherm van een andere Mac te bekijken en te bedienen. De nu ontdekte kwetsbaarheid stelt een aanvaller in staat om deze functie te misbruiken. Het systeem controleert namelijk niet correct of een gebruiker authentiek is tijdens het inlogproces, waardoor een kwaadwillende op afstand kan meekijken of zelfs de controle over de getroffen Mac kan overnemen.

De specifieke versies van macOS die kwetsbaar zijn, zijn Sequoia 15.7.9, Sonoma 14.8.9 en Tahoe 26.6.1. Apple heeft inmiddels beveiligingsupdates uitgebracht die dit probleem aanpakken door de controle op inloggegevens te verbeteren. Het NCSC adviseert dringend om deze updates zo snel mogelijk te installeren. Er zijn op dit moment geen meldingen van actief misbruik van deze kwetsbaarheid.

Organisaties die onzeker zijn over hun gebruik van macOS Screen Sharing wordt aangeraden contact op te nemen met hun IT-afdeling of IT-dienstverlener. Zij kunnen controleren of de functie wordt gebruikt en ervoor zorgen dat de beschikbare updates worden uitgevoerd om de systemen adequaat te beveiligen tegen dit potentiële risico.

Bron: NCSC

Google heeft Chrome versie 151 uitgebracht naar het stabiele kanaal, waarmee 41 beveiligingskwetsbaarheden zijn verholpen. Onder deze kwetsbaarheden bevinden zich zes kritieke gebreken in de geheugenveiligheid die kunnen leiden tot browsercrashes, geheugenbeschadiging of de uitvoering van kwaadaardige code.

De update, met versienummer 151.0.7922.108/.109 voor Windows- en macOS-systemen en 151.0.7922.108 voor Linux-gebruikers, wordt de komende dagen en weken geleidelijk uitgerold. Gebruikers wordt geadviseerd om zo snel mogelijk te updaten zodra de nieuwe versie beschikbaar is.

De meest ernstige problemen die in deze release zijn gepatcht, betreffen 'use-after-free'-kwetsbaarheden. Deze fouten treden op wanneer software geheugen blijft benaderen nadat het al is vrijgegeven. Een aanvaller kan dergelijke zwakheden misbruiken door een doelwit te verleiden een speciaal vervaardigde website te bezoeken of te interageren met kwaadaardige webinhoud.

Twee kritieke use-after-free kwetsbaarheden beïnvloeden WebGL, de Chrome-technologie voor het renderen van interactieve 2D- en 3D-afbeeldingen in webpagina's. Deze zijn geïdentificeerd als CVE-2026-19137 en CVE-2026-19170. De eerstgenoemde werd anoniem gerapporteerd, terwijl de tweede werd ontdekt door Muhammad Alifa Ramdhan, Pan ZhenPeng en Billy Jheng Bing Jhong van STAR Labs SG Pte. Ltd. Andere kritieke fouten omvatten CVE-2026-19149, een use-after-free bug in Aura, het framework voor gebruikersinterfaces van Chrome. Daarnaast zijn CVE-2026-19154, een use-after-free kwetsbaarheid in de grafische bibliotheek Skia, en CVE-2026-19172, een use-after-free fout in Views, een andere interfacecomponent van Chrome, verholpen.

Google heeft ook CVE-2026-19157 opgelost, een out-of-bounds-schrijffout in ANGLE, de grafische vertaallaag die door Chrome wordt gebruikt. Bovendien bevat de update patches voor 35 kwetsbaarheden met een hoge ernst die een breed scala aan browsercomponenten beïnvloeden. Dit omvat de V8 JavaScript-engine van Chrome, het GPU-proces, de HTML-renderer, het mediasubsysteem, de implementatie van Web Authentication, het extensieplatform, betaalfuncties, de vertaaldienst, workers, codecs, navigatieafhandeling en functies voor crashrapportage.

Verschillende van de ernstige bugs zijn geheugengerelateerd, waaronder heap buffer-overflows, out-of-bounds-schrijffouten, integer-overflows, het gebruik van niet-geïnitialiseerd geheugen en aanvullende use-after-free problemen. Dergelijke bugs zijn bijzonder belangrijk omdat webbrowsers onbetrouwbare gegevens verwerken van websites, advertenties, gedownloade bestanden, scripts en extensies.

Onder de extern gerapporteerde problemen kende Google $5.000 toe voor CVE-2026-19169, een kwetsbaarheid door onvoldoende validatie in Contextuele Taken, gerapporteerd door beveiligingsonderzoeker Sven Dysthe. Onderzoekers van OpenAI Codex Security, Hap Security, QED Audit en andere onafhankelijke bijdragers werden ook gecrediteerd voor het rapporteren van kwetsbaarheden die in deze release zijn verholpen.

Google heeft technische details en proof-of-concept-informatie over de kwetsbaarheden achtergehouden totdat de meeste gebruikers Chrome hebben geüpdatet, om zo het risico te verkleinen dat aanvallers misbruik maken van niet-gepatchte systemen. Chrome-gebruikers kunnen de browser updaten door het Chrome-menu te openen, 'Help' te selecteren en vervolgens 'Over Google Chrome' te kiezen. De browser zal dan controleren op de nieuwste versie en de gebruiker vragen om na installatie opnieuw op te starten. Organisaties wordt aangeraden prioriteit te geven aan het uitrollen van Chrome 151 op beheerde Windows-, macOS- en Linux-endpoints om de blootstelling aan deze impactvolle browserkwetsbaarheden te verminderen.

Bron: Google

De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft recentelijk een nieuwe kwetsbaarheid toegevoegd aan haar Catalogus van Bekende Misbruikte Kwetsbaarheden (KEV Catalogus). Deze toevoeging, geïdentificeerd als CVE-2026-8037, betreft een 'command injection' kwetsbaarheid in Progress LoadMaster. De beslissing om deze kwetsbaarheid op te nemen, is gebaseerd op concreet bewijs van actieve exploitatie door kwaadwillende cyberactoren.

Command injection kwetsbaarheden vormen een veelvoorkomende aanvalsvector en brengen aanzienlijke risico's met zich mee voor de federale overheid. CISA benadrukt dat deze kwetsbaarheid indringers volledige controle over het getroffen systeem kan geven na succesvolle exploitatie.

De opname in de KEV Catalogus onderstreept de urgentie van de situatie. CISA's Binding Operational Directive (BOD) 26-04, getiteld "Prioritizing Security Updates Based on Risk", stelt vereisten voor kwetsbaarhedenbeheer voor federale civiele uitvoerende instanties (FCEB-instanties). Deze richtlijn versterkt het belang van de KEV Catalogus en verplicht federale instanties om snel prioriteit te geven aan het herstellen van kwetsbaarheden met een hoog risico, met name die welke in de KEV Catalogus staan en betrekking hebben op publiekelijk toegankelijke systemen die na exploitatie volledige controle kunnen opleveren, terwijl actie wordt uitgesteld voor kwetsbaarheden met een lager risico.

Bovendien stelt BOD 26-04 basisverwachtingen vast voor wanneer instanties moeten controleren of systemen zijn gecompromitteerd voordat een patch wordt toegepast. Hoewel BOD 26-04 specifiek gericht is op FCEB-instanties, moedigt CISA alle organisaties aan om een risicogebaseerde aanpak voor kwetsbaarhedenbeheer te hanteren en de remediëring van kwetsbaarheden uit de KEV Catalogus als prioriteit te beschouwen.

CISA zal de catalogus blijven aanvullen met kwetsbaarheden die voldoen aan de gestelde criteria. Organisaties die op de hoogte zijn van een actief misbruikte kwetsbaarheid die nog niet in de KEV Catalogus is opgenomen, worden aangemoedigd deze aan te melden via het CISA KEV Nomination Form. Potentiële toevoegingen moeten een CVE-ID, bewijs van exploitatie en duidelijke mitigatierichtlijnen bevatten.

Bron: CISA

Beveiligingsonderzoeker Malcolm Stagg heeft een nieuwe aanvalsklasse onthuld, genaamd NatJack, die de verbindingsstatus van Network Address Translation (NAT) manipuleert. Deze methode maakt het mogelijk om actieve TCP-sessies te kapen, DNS-antwoorden te spoofen, toegewezen poorten bloot te leggen en NAT-tabellen uit te putten. Het onderzoek, gepresenteerd op Black Hat USA 2026, toonde aan dat dit gedrag voorkomt in onafhankelijk ontwikkelde implementaties, waaronder die van Windows en Linux.

Twee implementatiespecifieke kwetsbaarheden zijn geïdentificeerd en hebben CVE-nummers gekregen. Het betreft CVE-2026-56181, met een CVSS-score van 8.3, die betrekking heeft op Windows NAT zoals gebruikt door Hyper-V. De tweede is CVE-2026-63913, met een CVSS-score van 8.2, gevonden in Linux Netfilter conntrack.

Over het algemeen vereist NatJack dat de aanvaller geprivilegieerde toegang heeft tot een systeem dat zich achter dezelfde NAT bevindt als het slachtoffer. De mitigatierichtlijnen benadrukken daarom het scheiden van onbetrouwbare werklasten van vertrouwde systemen die dezelfde NAT-infrastructuur delen. Er is geen enkele patch voor de bredere aanvalsklasse. Organisaties dienen beschikbare Windows- en Linux-updates toe te passen en verkeer, zelfs binnen interne netwerken, te versleutelen. Het onderzoek adviseert ook het gebruik van Internet Protocol (IP) Source Guard waar van toepassing.

Het NatJack-onderzoek, onafhankelijk uitgevoerd door Stagg via SODIUM-24, richt zich op een veronderstelling die in veel NAT-implementaties is ingebouwd, want hosts achter dezelfde NAT worden doorgaans verondersteld elkaars verbindingsstatus niet te manipuleren. Een aanvaller die een systeem achter dezelfde NAT beheert, kan, afhankelijk van de implementatie, verbindingstracering vermeldingen van een ander systeem manipuleren.

Het onderzoek beschrijft vier hoofdaanvalspaden. Eén methode kan verkeer omleiden van een actieve TCP-verbinding door de NAT-mapping ervan te vervangen. Een andere methode verstoort de DNS-aanvraag van een slachtoffer, zodat de legitieme DNS-respons de aanvaller bereikt, waardoor een vervalst antwoord kan worden teruggestuurd. Andere technieken onthullen extern toegewezen poorten of vullen de NAT-verbindingstabel met gespoofde flows totdat legitieme clients geen nieuwe verbindingen meer kunnen maken.

Synack meldde dat Stagg de technieken heeft getest tegen tientallen netwerkinfrastructuurproducten van meerdere leveranciers en proof-of-concept exploitatie heeft aangetoond in een gecontroleerde omgeving. De NatJack-website publiceert geen volledige product-per-product matrix, en per 7 augustus 2026 is er geen openbaar bewijs dat NatJack-technieken in het wild zijn misbruikt.

Voor Linux vermeldt het kernel.org CNA-record dat een specifiek gevormde SYN-pakket, gevolgd door een reset-pakket met een ongeldig sequentienummer, een actieve Netfilter NAT-entry voortijdig in een gesloten staat kan dwingen doordat de conntrack-logica de richting ervan niet valideerde. Vaste stabiele releases omvatten 5.10.259, 5.15.210, 6.1.176, 6.6.143, 6.12.93, 6.18.35, 7.0.12 en 7.1. Stagg stelt dat de kernelwijziging de codefout herstelt, maar de bredere downstream spoofing techniek slechts mitigeert, waardoor de complexiteit van de aanval toeneemt in plaats van deze volledig aan te pakken.

Het CNA-record van Microsoft beschrijft het Windows-probleem als een fout in oorsprongsvalidatie die spoofing vanuit een aangrenzend netwerk mogelijk maakt. Getroffen releases zijn onder meer Windows 11 24H2 vóór 26100.8875, 25H2 vóór 26200.8875, 26H1 vóór 28000.2525, en Windows Server 2025 vóór 26100.33158. NatJack bouwt voort op eerder onderzoek naar NAT-statusmanipulatie; een NDSS 2024-studie toonde TCP-kaping aan via NAT-mappingmanipulatie en vond dat 52 van de 67 geteste routers kwetsbaar waren voor deze aanval, wat resulteerde in tien CVE's.

Bron: NatJack

Het Amerikaanse cyberagentschap CISA meldt dat een bekende kwetsbaarheid in het populaire archiveringsprogramma WinRAR actief wordt misbruikt bij ransomware-aanvallen. De kwetsbaarheid, aangeduid als CVE-2025-8088, betreft een path traversal-lek dat optreedt bij het uitpakken van archiefbestanden.

Aanvallers kunnen een speciaal geprepareerd archiefbestand naar een doelwit sturen of dit laten downloaden. Wanneer de gebruiker het bestand uitpakt, wordt een uitvoerbaar bestand ongemerkt in een map geplaatst die automatisch door Windows wordt geladen, zoals de Windows Startup-map. Bij de volgende herstart van de computer wordt dit uitvoerbare bestand automatisch geactiveerd, wat leidt tot een besmetting van het systeem.

WinRAR heeft ongeveer een jaar geleden een beveiligingsupdate uitgebracht voor dit probleem. Het lek werd op 24 juli vorig jaar verholpen in de bètaversie van WinRAR 7.13, waarna de definitieve versie op 30 juli verscheen. Echter, misbruik van de kwetsbaarheid vond al plaats voordat de patch beschikbaar was. Antivirusbedrijf ESET ontdekte de aanvallen en publiceerde na het verschijnen van de patch een gedetailleerde blogpost. Daarin werd gemeld dat een groep genaamd RomCom, een aan Rusland gelieerde organisatie die zich bezighoudt met cyberspionage en financiële diefstal, het lek gebruikte. ESET's publicatie sprak destijds niet over ransomware.

Het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security onderhoudt een overzicht van actief aangevallen kwetsbaarheden. CVE-2025-8088 staat sinds 12 augustus vorig jaar op deze lijst. Gisterenavond heeft de overheidsdienst de vermelding bijgewerkt, waarin nu specifiek wordt aangegeven dat het lek ook bij ransomware-aanvallen is ingezet. Verdere details over deze specifieke ransomware-aanvallen zijn niet vrijgegeven.

Afgelopen juni waarschuwde antivirusbedrijf Trend Micro dat het misbruik van CVE-2025-8088 nog steeds voortduurt. Dit komt doordat WinRAR lastig te updaten is. De software mist een automatische updatefunctie, ondersteunt geen Group Policy en valt buiten gangbare zakelijke patchsystemen zoals WSUS, SCCM of Intune. Hierdoor is het controleren van de patchstatus op honderden endpoints alleen mogelijk via third-party tools of handmatige controles. Trend Micro benadrukt dat software met dergelijke eigenschappen een langdurig risico vormt, zelfs nadat patches zijn verschenen, wat een 'permanente blinde vlek' creëert in het vulnerability management van organisaties.

Bron: Trend Micro

Onderzoek door runZero heeft diverse kwetsbaarheden aan het licht gebracht in Baseboard Management Controllers (BMC) van prominente leveranciers zoals HPE, Dell en Supermicro. Deze ontdekte lekken kunnen aanvallers in staat stellen om onbevoegde toegang te verkrijgen of verstoring te veroorzaken, zelfs wanneer de hoofdserver is uitgeschakeld. De kwetsbaarheden betreffen implementaties van OpenBMC, Supermicro IPMI, HPE iLO, Dell iDRAC, AMI MegaRAC, Raritan, H3C HDM en Fujitsu.

BMC-systemen zijn gespecialiseerde microcontrollers die worden ingezet in bedrijfsservers. Ze functioneren onafhankelijk van het besturingssysteem van de server en blijven via het netwerk bereikbaar, zelfs wanneer de server niet actief is. Vaak maken deze systemen gebruik van het IPMI-protocol voor communicatie.

De impact van een succesvolle exploitatie van deze kwetsbaarheden is aanzienlijk. Aanvallers kunnen hiermee beveiligingscontroles omzeilen en ongewenste toegang verkrijgen tot de BMC-systemen, of de werking ervan verstoren. Een dergelijke inbreuk kan leiden tot laterale bewegingen binnen bedrijfsinfrastructuren en het creëren van persistente toegangspunten voor aanvallers.

In reactie op deze bevindingen adviseert runZero organisaties om de beveiligingsadviezen van BMC-leveranciers nauwlettend te volgen en een gestructureerd patchproces te implementeren. Als tijdelijke maatregel is het cruciaal om de toegang tot BMC-interfaces te beperken. Dit kan door de toegang uitsluitend toe te staan vanaf vertrouwde IP-adressen of interne subnetten. Verdere aanbevelingen omvatten het isoleren van BMC-systemen van het openbare internet. Indien externe toegang noodzakelijk is, wordt het gebruik van een veilige VPN-verbinding of een dedicated beheernetwerk geadviseerd. Tot slot wordt aangeraden om verhoogde monitoring toe te passen op alle resterende beheerpaden om verdachte activiteiten tijdig te detecteren.

Bron: runZero

BTCPay Server heeft op vrijdag 7 augustus 2026 een kritieke waarschuwing uitgegeven betreffende een kwetsbaarheid in zijn betaalsoftware die actief wordt misbruikt. Deze kwetsbaarheid kan leiden tot het verlies van tegoeden. Het project roept beheerders van de opensource betaalsoftware dringend op om hun installaties onmiddellijk bij te werken naar versie 2.4.2.

De update kan worden uitgevoerd via het Admin Dashboard, onder de secties Server en Maintenance, gevolgd door Update. Na de update dienen gebruikers in de voettekst van hun installatie te controleren of het versienummer 2.4.2 zichtbaar is ter bevestiging van de succesvolle installatie.

Voor beheerders die de update niet direct kunnen installeren, adviseert BTCPay Server om de server tijdelijk uit te schakelen. Dit is om ongeautoriseerde toegang te voorkomen totdat de noodzakelijke update is toegepast.

BTCPay Server is ontworpen als opensource betaalsoftware waarmee handelaren zelfstandig bitcoinbetalingen kunnen verwerken, zonder tussenkomst van derde partijen. Dit betekent dat de verantwoordelijkheid voor het onderhoud en de beveiligingsupdates volledig bij de beheerder van de server ligt.

Het project heeft geen technische details over de aard van de kwetsbaarheid vrijgegeven, noch toegelicht hoe de exploitatie precies verloopt. Het is momenteel onduidelijk hoeveel gebruikers zijn getroffen door de aanval en of er daadwerkelijk financiële tegoeden zijn buitgemaakt, zo meldt The Block. De waarschuwing is verspreid via het officiële account van het project.

Bron: BTCPay Server

Softwareleverancier N-able heeft een waarschuwing uitgegeven aan zijn klanten over een actief misbruikte kwetsbaarheid in N-central, hun platform voor het beheer van systemen op afstand. Deze kwetsbaarheid, aangeduid als CVE-2026-18577, maakt het mogelijk om authenticatie te omzeilen en treft zowel gehoste als lokaal beheerde servers. Het lek is een direct gevolg van een onvolledige reparatie van een eerdere kwetsbaarheid, CVE-2026-18576, die alle versies tot en met 2026.1 raakte.

N-able rapporteerde op 1 augustus dat de kwetsbaarheid actief wordt misbruikt door aanvallers. Als reactie hierop heeft de leverancier hotfix 2026.3.1.7 uitgebracht voor alle versies onder 2026.3. Klanten die gebruikmaken van gehoste N-central omgevingen ontvingen deze update automatisch. Beheerders van eigen installaties worden echter dringend geadviseerd de hotfix handmatig te implementeren.

De aanvallers kunnen zonder geldige inloggegevens volledige toegang verkrijgen tot de beheerconsole van N-central. Eenmaal binnen misbruiken zij de ingebouwde overnamefunctie om verder door te dringen naar beheerde apparaten, waaronder cruciale systemen zoals domeincontrollers. Hierna zetten zij tunnels op om hun toegang te behouden. Dit vormt een aanzienlijke dreiging voor beheerde dienstverleners (MSP's), aangezien de compromittering van één N-central server hen toegang kan verschaffen tot de IT-omgevingen van al hun klanten.

Bron: Rapid7

Onderzoekers hebben een achttien jaar oude kwetsbaarheid ontdekt in de Linux-kernel, aangeduid als CVE-2026-64564 en door hen 'SCTPhantom' genoemd. Deze fout, die in december 2007 werd geïntroduceerd met Linux-kernelversie 2.6.25, betreft hergebruik van vrijgegeven geheugen tijdens de verwerking van het Stream Control Transmission Protocol (SCTP) bij het herconfigureren van netwerkadressen.

De kwetsbaarheid ontstaat wanneer een specifieke reeks SCTP-berichten ervoor zorgt dat een transportobject wordt verwijderd terwijl er nog een actieve verwijzing naar bestaat. Dit probleem is gedurende bijna achttien jaar onopgemerkt gebleven in de Linux-kernel.

Volgens de onderzoekers van Tencent Zhuque Lab kan een aanvaller met lokale toegang tot een systeem deze kwetsbaarheid misbruiken om beheerdersrechten (root) te verkrijgen. In bepaalde configuraties biedt de kwetsbaarheid zelfs de mogelijkheid om uit een container te breken en toegang te krijgen tot het onderliggende host-systeem.

Het misbruik van SCTPhantom is beperkt, aangezien het geen kwetsbaarheid op afstand betreft en vereist dat het SCTP-protocol toegankelijk is op het getroffen systeem. Patches voor deze kwetsbaarheid zijn op 3 augustus uitgebracht voor kernelversies 7.1.6, 6.18.42, 6.12.101 en 6.6.148. De openbaarmaking van de kwetsbaarheid volgde op 6 augustus.

Bron: CVE Program

Een beveiligingsonderzoeker heeft een zwakte in de boot-chain van HP ThinPro 8 en 9 openbaar gemaakt. Deze kwetsbaarheid stelt aanvallers met fysieke toegang tot een thin client in staat om de LUKS-schijfversleutelingssleutel te extraheren. Het probleem treft HP thin clients waarbij LUKS2 de versleutelde rootpartitie van het besturingssysteem beschermt en de decryptiesleutel is verzegeld in de Trusted Platform Module (TPM) van het apparaat.

Hoewel dit ontwerp bedoeld is om datadiefstal van verwijderde opslagstations te voorkomen, ontdekte de onderzoeker dat het TPM-beleid de software die tijdens het opstarten wordt geladen niet volledig valideert. HP ThinPro maakt gebruik van een eigen hulpprogramma, genaamd `hptc-tpm-tool`, om de LUKS-sleutel tijdens het opstarten uit de TPM op te halen. Een initramfs-script genaamd `unseal_key` vraagt de sleutel op en geeft deze direct door aan `cryptsetup`, dat vervolgens de versleutelde rootpartitie ontgrendelt.

De TPM-sleutel is echter alleen verzegeld aan PCR 0, PCR 2 en PCR 4. Deze registers meten de BIOS-firmware, optionROMs of UEFI-drivers en de GRUB-bootloader-binary. Ze meten echter niet de GRUB-configuratiecommando's, de Linux-kernel of de initramfs die GRUB laadt. Dit creëert een aanzienlijke lacune in de beveiliging. Een aanvaller kan de GRUB-binary niet zomaar vervangen zonder PCR 4 te wijzigen en daarmee de sleutelontgrendeling te blokkeren. Zij kunnen echter wel de onversleutelde initramfs wijzigen, inclusief het shell-script dat de sleutel ontzegelt, zonder de PCR-waarden te wijzigen die de TPM controleert.

Volgens de openbaarmaking van AmberWolf kan een gewijzigde initramfs de herstelde LUKS-sleutel kopiëren naar de onversleutelde BOOT-partitie voordat de normale opstartprocedure verdergaat. Bij de volgende opstartbehandelt de TPM het systeem als betrouwbaar, omdat de metingen van firmware en GRUB ongewijzigd blijven. Het apparaat start vervolgens normaal op, terwijl de aanvaller de blootgestelde sleutel later van het station kan ophalen.

De aanval vereist lokale fysieke toegang en de mogelijkheid om het M.2 SATA-opslagapparaat te verwijderen of te wijzigen. Er is geen solderen, gespecialiseerde hardware of geavanceerde reverse engineering vereist. De onderzoeker bevestigde het probleem op een HP t530 met ThinPro 8.1.0 build 22 en een HP t540 met ThinPro 9.0.0 build 15. Zodra een aanvaller de ruwe 32-byte LUKS-sleutel verkrijgt, kan deze de beveiligde partitie ontsleutelen en toegang krijgen tot apparaatconfiguratiegegevens, certificaatarchieven, opgeslagen referenties en wachtwoordhashes. Dit kan ernstige gevolgen hebben voor organisaties die thin clients retourneren, verliezen, doorverkopen of weggooien zonder het interne station veilig te vernietigen.

De kwetsbaarheid kreeg een CVSS 3.1-score van 6.1 (Medium), gebaseerd op fysieke toegang, lage aanvalscomplexiteit en hoge impact op vertrouwelijkheid en integriteit. Secure Boot is standaard uitgeschakeld op de getroffen systemen. Het inschakelen hiervan en het instellen van een BIOS-wachtwoord kan een aanvaller echter alleen vertragen en dicht de onderliggende PCR-meetlacune niet volledig. De onderzoeker rapporteerde het probleem op 22 februari 2026 aan HP PSIRT. HP bevestigde naar verluidt dat een oplossing in kwaliteitscontrole was, maar er was ten tijde van de openbaarmaking nog geen beveiligingsbulletin, CVE of geleverde patch beschikbaar. Organisaties die ThinPro-schijfversleuteling gebruiken, moeten apparaten buiten hun fysieke controle als potentieel blootgesteld beschouwen totdat HP een volledige oplossing heeft uitgebracht.

Bron: AmberWolf

Apple heeft CVE-2026-20685 verholpen in Private Cloud Compute. Onderzoeker Drinor Selmanaj demonstreerde binnen Apples Virtual Research Environment dat een fout in darwin-init schrijven als root en het omleiden van telemetrie mogelijk maakte. Apple classificeerde het probleem als informatielek met een CVSS-score van 6,5 en kende een beveiligingsbeloning van 150.000 dollar toe. De tests vonden uitsluitend in de officiële onderzoeksomgeving plaats en niet op productiesystemen.

Apple Private Cloud Compute is het server-side platform van Apple voor Apple Intelligence verzoeken die te complex zijn om lokaal op een iPhone, iPad of Mac te draaien. Het systeem is ontworpen als een uitbreiding van apparaat-niveau privacybescherming naar de cloud, waarbij het steunt op stateless verwerking van verzoeken, cryptografische attestatie van goedgekeurde software en strikt gecontroleerde logsystemen.

De kwetsbaarheid bevindt zich in `darwin-init`, het eerste gebruikersruimteproces dat wordt gestart op een PCC-node. Dit proces, dat draait als PID 1 met rootrechten, downloadt, extraheert, personaliseert en installeert cryptex-pakketten voordat het een gebruikersruimte reboot initieert naar de normale besturingsomgeving. Volgens het onderzoek van Sentry Security selecteerde `darwin-init` een archiefextractor door alleen de eerste 4 bytes van een inkomend bestand te onderzoeken. Een kwaadaardig tar-archief, dat niet overeenkwam met bekende Apple-archiefsignaturen, werd doorgegeven aan een generieke extractiefunctie. Deze functie voegde archief-entrynamen toe aan het beoogde uitvoerpad zonder pad traversal sequenties zoals `../../../../` correct te valideren.

Als gevolg hiervan kon een zorgvuldig vervaardigd archief uit zijn extractiemap ontsnappen en door de aanvaller gecontroleerde bestanden naar persistente locaties op het beschrijfbare datavolume van de PCC-node schrijven, inclusief `/var/db/`. Aangezien `darwin-init` als root draait voordat de beveiligingsdiensten in de stabiele staat worden geladen, konden deze bestanden na de gebruikersruimte reboot beschikbaar blijven. De onderzoeker construeerde een kwaadaardig archief dat zowel traversal entries als een structureel geldig cryptex-bundel bevatte. Dit was cruciaal, omdat een ongeldige cryptex-installatie zou voorkomen dat het systeem het opstartproces zou voltooien. Door een legitiem ogend bundel te combineren met kwaadaardige bestandspaden, kon het archief installatiecontroles doorstaan terwijl het bestanden buiten de bedoelde extractiemap plaatste.

Een gedemonstreerde impact betrof de interne `splunkloggingd`-service van PCC. Deze service controleert op een configuratiebestand op het beschrijfbare datavolume en start wanneer dat bestand bestaat. Door gebruik te maken van de root file write om een kwaadaardige logging-configuratie te creëren, leidde de onderzoeker PCC-telemetrie om naar een gecontroleerd eindpunt. De omgeleide data omvatte naar verluidt CloudBoard daemon-activiteit, node-events en metadata gerelateerd aan AI-inferentie verzoeken. Tijdens test-inferentieactiviteit in Apple's Virtual Research Environment onthulden de logs waarden zoals applicatie bundel-identifiers, workload-types, verzoek-identifiers, apparaat-groeperingsmetadata, token-aantallen, output-token-metrics en latentiemetingen. Deze details kunnen informatie onthullen over hoe een PCC-node AI-verzoeken verwerkt, bijvoorbeeld dat input token-aantallen overeenkwamen met de promptlengte. Tegelijkertijd onthulden andere waarden de first-token latentie, speculatieve decoding-informatie en model-gerelateerde telemetrie. De broncode van Apple identificeert naar verluidt sommige van de getroffen metadata als informatie die niet openbaar gelogd zou moeten worden.

Het onderzoek van Sentry Security bracht ook een attestatie-gat aan het licht. Het PCC-attestatieproces van Apple leek te bevestigen dat goedgekeurde software en cryptex-componenten waren geïnstalleerd, maar het mat geen beschrijfbare datavolume bestanden die het daemon-gedrag tijdens runtime konden beïnvloeden. Een gemodificeerde node kon daardoor tijdens software-attestatiecontroles identiek lijken aan een schone node. Apple heeft CVE-2026-20685 geclassificeerd als een informatielek met een CVSS-score van 6.5 en heeft de kwetsbaarheid verholpen in PCC-releases 5E290.3 en later. De tests werden uitsluitend uitgevoerd in Apple's officiële Virtual Research Environment, zonder betrokkenheid van productie-PCC-infrastructuur.

Bron: Sentry Security

De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft recentelijk drie nieuwe kwetsbaarheden toegevoegd aan haar Known Exploited Vulnerabilities (KEV) Catalogus. Deze toevoeging volgt op de ontdekking van concreet bewijs dat deze kwetsbaarheden actief worden misbruikt door kwaadwillende cyberactoren. De catalogus dient als een cruciale referentie voor organisaties om hun verdediging te prioriteren tegen de meest urgente cyberdreigingen.

De drie specifieke kwetsbaarheden die zijn opgenomen, zijn:

*   **CVE-2026-20349:** Een heap inspectie kwetsbaarheid die aanwezig is in Cisco Secure Firewall Adaptive Security Appliance (ASA) en Firewall Threat Defense (FTD) producten.

*   **CVE-2026-68820:** Een use-after-free kwetsbaarheid in de Microsoft Windows Ancillary Function Driver voor WinSock.

*   **CVE-2026-72898:** Een SQL injectie kwetsbaarheid in Metabase.

CISA benadrukt dat dergelijke kwetsbaarheden een veelvoorkomende aanvalsvector vormen voor cybercriminelen en aanzienlijke risico's met zich meebrengen voor zowel federale instanties als de bredere digitale infrastructuur.

De toevoeging van deze kwetsbaarheden aan de KEV Catalogus onderstreept het belang van Binding Operational Directive (BOD) 26-04: Prioritizing Security Updates Based on Risk. Deze richtlijn stelt eisen aan het kwetsbaarheidsbeheer voor Federal Civilian Executive Branch (FCEB) agentschappen. BOD 26-04 verplicht federale instanties om de snelle remediëring van kwetsbaarheden met een hoog risico, met name die welke in de KEV Catalogus worden vermeld, te prioriteren. Dit geldt specifiek voor publiekelijk blootgestelde assets die na exploitatie totale controle over het systeem kunnen verlenen. Tegelijkertijd mogen acties voor kwetsbaarheden met een lager risico worden uitgesteld.

Verder stelt BOD 26-04 basisverwachtingen vast voor wanneer agentschappen moeten controleren of dreigingsactoren het systeem hebben gecompromitteerd voordat een patch werd toegepast. Hoewel BOD 26-04 specifiek van toepassing is op FCEB agentschappen, moedigt CISA alle organisaties aan om een risicogebaseerde aanpak voor kwetsbaarheidsbeheer te hanteren en de remediëring van kwetsbaarheden uit de KEV Catalogus te prioriteren.

CISA zal de catalogus blijven aanvullen met kwetsbaarheden die voldoen aan de gespecificeerde criteria, waaronder een CVE ID, bewijs van actieve exploitatie en duidelijke mitigatierichtlijnen. Organisaties die op de hoogte zijn van een geëxploiteerde kwetsbaarheid die nog niet in de KEV Catalogus staat, kunnen deze indienen via het KEV Nomination Form van CISA voor potentiële toevoeging.

Bron: CISA

Microsoft heeft de maandelijkse beveiligingsupdate, bekend als Patch Tuesday, voor augustus 2026 uitgebracht. Deze update omvat een totaal van 421 kwetsbaarheden die diverse producten treffen. Hiervan zijn er 62 door Microsoft als "kritiek" bestempeld. Opvallend is dat één van de kwetsbaarheden die deze maand zijn onthuld, CVE-2026-68820, al actief wordt misbruikt in het wild.

CVE-2026-68820 is een kwetsbaarheid voor privilege-escalatie die de Windows Ancillary Function Driver voor WinSock beïnvloedt. Dit 'Use After Free'-lek kan een geautoriseerde aanvaller in staat stellen om lokaal privileges te verhogen. De kwetsbaarheid heeft een CVSS-basisscore van 7.0.

Van de 62 kritieke kwetsbaarheden betreffen 40 kwetsbaarheden voor remote code execution (RCE). Microsoft heeft specifiek aangegeven welke kwetsbaarheden een hogere waarschijnlijkheid op misbruik hebben. Hiertoe behoort CVE-2026-62893, een RCE-kwetsbaarheid in de Windows Deployment Services TFTP Server. Dit 'Use After Free'-lek kan een ongeautoriseerde aanvaller in staat stellen om code op afstand uit te voeren via een netwerk, met een CVSS-basisscore van 9.8.

Een andere kritieke RCE-kwetsbaarheid is CVE-2026-65665, die Microsoft SharePoint Server treft. Door 'Deserialization of Untrusted Data' kan een geautoriseerde aanvaller code op afstand uitvoeren via een netwerk. Deze kwetsbaarheid heeft een CVSS-basisscore van 8.8. Ook CVE-2026-62823, een RCE-kwetsbaarheid in de Windows DHCP Server, is als kritiek aangemerkt. Een 'Heap-based Buffer Overflow' stelt een ongeautoriseerde aanvaller in staat om code uit te voeren via een aangrenzend netwerk, eveneens met een CVSS-basisscore van 8.8.

Daarnaast zijn er kwetsbaarheden die Microsoft als minder waarschijnlijk te misbruiken inschat, maar die desalniettemin ernstig zijn. CVE-2026-62830 is een privilege-escalatiekwetsbaarheid in Azure SRE Agent. Dit 'Missing Authorization'-lek kan een geautoriseerde aanvaller de mogelijkheid bieden om privileges via een netwerk te verhogen, met een zeer hoge CVSS-basisscore van 9.9. Ook Microsoft Azure Kubernetes Service wordt getroffen door een privilege-escalatiekwetsbaarheid, CVE-2026-50516. Het 'Missing Authentication for Critical Function'-lek kan een ongeautoriseerde aanvaller privileges over een netwerk laten verhogen, met een CVSS-basisscore van 9.4.

Microsoft Excel wordt getroffen door drie RCE-kwetsbaarheden, te weten CVE-2026-68794, CVE-2026-68816 en CVE-2026-68804. Deze hebben elk een CVSS-basisscore van 7.8 en kunnen een ongeautoriseerde aanvaller in staat stellen om lokaal code uit te voeren. CVE-2026-68794 is een 'Heap-based Buffer Overflow', CVE-2026-68816 een 'Stack-based Buffer Overflow', en CVE-2026-68804 betreft een 'Numeric Truncation Error' in combinatie met een 'Heap-based Buffer Overflow'.

Verder is er een privilege-escalatiekwetsbaarheid in Microsoft Exchange Server, CVE-2026-62911. Dit 'Authentication Bypass by Capture-replay'-lek kan een geautoriseerde aanvaller in staat stellen om privileges over een netwerk te verhogen, met een CVSS-basisscore van 8.0.

Tot slot zijn er negen RCE-kwetsbaarheden in Microsoft Office, waaronder CVE-2026-63515, CVE-2026-65657 en CVE-2026-63532. Deze kunnen een ongeautoriseerde aanvaller in staat stellen om lokaal code uit te voeren. CVE-2026-63515 omvat een 'Out-of-bounds Read' en een 'Integer Underflow', met een CVSS-basisscore van 7.8. CVE-2026-65657 is een 'Use After Free'-kwetsbaarheid met een CVSS-basisscore van 7.8. CVE-2026-63532 betreft een 'Integer Overflow' en een 'Heap-based Buffer Overflow'.

Bron: Cisco Talos

Microsoft heeft aangekondigd vanavond een beveiligingsupdate uit te brengen voor een kritieke kwetsbaarheid in SharePoint, aangeduid als CVE-2026-63520. Dit lek maakt remote code execution (RCE) mogelijk op kwetsbare servers. Cybersecuritybedrijf Rapid7 heeft deze kwetsbaarheid ontdekt en deelt mee dat de update zal verschijnen tijdens de reguliere Patch Tuesday van augustus.

De kwetsbaarheid CVE-2026-63520 stelt een aanvaller in staat om willekeurige code uit te voeren op de SharePoint server. Dit gebeurt door middel van een custom .NET gadget chain, waarbij de uitgevoerde code de rechten krijgt van het account dat de SharePoint Site instance draait.

Wat deze kwetsbaarheid bijzonder ernstig maakt, is de mogelijkheid om deze te combineren met een eerder door Rapid7 ontdekt SharePoint lek, CVE-2026-55040. Voor CVE-2026-55040 bracht Microsoft op 14 juli reeds beveiligingsupdates uit. Dit eerdere lek maakt het mogelijk om authenticatie te omzeilen. De combinatie van CVE-2026-63520 en CVE-2026-55040 resulteert in ongeauthenticeerde RCE, wat betekent dat een aanvaller zonder geldige inloggegevens code kan uitvoeren op de server.

Rapid7 heeft aangegeven uiterlijk in september technische details over dit gecombineerde probleem te zullen publiceren. Gezien het wijdverbreide gebruik van SharePoint voor essentiële werkprocessen, zoals het delen van documenten en informatie en het opzetten van interne websites, is het van cruciaal belang dat organisaties de aankomende update snel installeren. Het platform is in het verleden vaker het doelwit geweest van aanvallen; het Amerikaanse cyberagentschap is bekend met veertien SharePoint kwetsbaarheden die reeds zijn misbruikt.

Bron: Rapid7

Cisco heeft een waarschuwing uitgegeven voor zeven kwetsbaarheden in ClamAV, de open source antivirus engine die veel wordt gebruikt voor het scannen van bestanden en e-mails op malware. Deze kwetsbaarheden treffen de Cisco Secure Endpoint Connector producten op Windows, macOS en Linux. Voor twee van deze kwetsbaarheden zijn publieke Proof of Concepts (PoC's) beschikbaar, wat onbevoegde aanvallers in staat stelt om Denial of Service (DoS) condities te veroorzaken.

Volgens het advies van Cisco kunnen "meerdere kwetsbaarheden in ClamAV een externe aanvaller in staat stellen om een Denial of Service (DoS) conditie te veroorzaken, waardoor scanoperaties worden onderbroken." De kwetsbaarheden, geïdentificeerd als CVE-2026-20337 tot CVE-2026-20339 en CVE-2026-20345 tot CVE-2026-20348, beïnvloeden de ClamAV parsers voor verschillende bestandsformaten. ClamAV heeft deze problemen reeds opgelost in versie 1.5.4.

Cisco heeft specifiek gewaarschuwd dat voor CVE-2026-20337 en CVE-2026-20338 publieke PoC's beschikbaar zijn. Het Cisco PSIRT (Product Security Incident Response Team) heeft echter geen bewijs gevonden dat deze kwetsbaarheden al actief zijn uitgebuit in het wild.

Een gedetailleerde beschrijving van de twee kwetsbaarheden met publieke PoC's:

*   **CVE-2026-20337 (CVSS score van 7.5): ClamAV Zip File Format Processing Out-of-Bounds Write Kwetsbaarheid.** Deze kwetsbaarheid bevindt zich in de zip archief parser van ClamAV. Door onjuiste grenscontroles bij het verwerken van inhoud in zip bestanden tijdens het scannen, kan een "out-of-bounds write" conditie ontstaan. Een aanvaller kan dit misbruiken door een speciaal geprepareerd zip bestand in te dienen voor scanning. Een succesvolle exploitatie kan leiden tot het beëindigen van het ClamAV scanning proces, wat resulteert in een DoS conditie op de getroffen software.

*   **CVE-2026-20338 (CVSS score van 7.5): ClamAV Zip File Format Processing Memory Corruption Kwetsbaarheid.** Ook deze kwetsbaarheid bevindt zich in de zip archief parser van ClamAV. Door onjuiste geheugenafhandeling bij het verwerken van inhoud in zip bestanden tijdens het scannen, kan een aanvaller een DoS conditie veroorzaken. Een kwaadwillende kan dit doen door een geprepareerd zip bestand in te dienen, wat een geheugen "double-free" kan veroorzaken en het ClamAV scanning proces kan beëindigen.

De getroffen Cisco softwareplatforms zijn de Secure Endpoint Connector voor Linux (CVSS 5.3, Medium impact), Mac (CVSS 5.3, Medium impact) en Windows (CVSS 7.5, High impact). Voor de Windows versie is het risico hoger omdat ClamAV daar met verhoogde privileges wordt uitgevoerd, terwijl macOS en Linux een gemiddeld risico lopen. De Secure Endpoint Private Cloud is zelf niet direct getroffen, maar moet de fixes wel distribueren naar de endpoints.

Cisco heeft aangegeven dat er geen tijdelijke oplossingen (workarounds) beschikbaar zijn. Patches worden verwacht in augustus 2026. Klanten worden geadviseerd de gerelateerde bug ID's (CSCwv87285, CSCwv87286, CSCwv87283) te controleren voor specifieke details over elke kwetsbaarheid.

Bron: Cisco

Microsoft heeft recentelijk meerdere kwetsbaarheden verholpen binnen diverse Azure componenten. Het Nationaal Cyber Security Centrum (NCSC) heeft hierover een advies uitgebracht. Een kwaadwillende kan deze kwetsbaarheden misbruiken om aanvallen uit te voeren die kunnen leiden tot het verkrijgen van verhoogde rechten, toegang tot gevoelige gegevens of zelfs het uitvoeren van willekeurige code.

Een aantal van de meest kritieke kwetsbaarheden, waaronder CVE-2026-56162 met een CVSS-score van 10.0, en CVE-2026-50516, CVE-2026-56161, CVE-2026-59115, CVE-2026-62830, CVE-2026-62873 en CVE-2026-68823, elk met een CVSS-score hoger dan 9.0, zijn reeds centraal verholpen door Microsoft. Gebruikers hoeven hiervoor geen specifieke acties te ondernemen.

Echter, de kwetsbaarheid met kenmerk CVE-2026-50481, die een CVSS-score van 9.9 heeft, vereist wel actie van beheerders. Deze kwetsbaarheid bevindt zich in Azure Active Directory en stelt een aanvaller in staat om zichzelf verhoogde rechten toe te kennen. Dit kan leiden tot ongeautoriseerde toegang tot gegevens en componenten die normaal gesproken buiten het bereik van de aanvaller zouden vallen.

Naast de reeds genoemde kwetsbaarheden zijn er ook andere belangrijke beveiligingslekken verholpen. In de Azure Monitor Agent is CVE-2026-47299 (CVSS 7.20) gepatcht, die eveneens het verkrijgen van verhoogde rechten mogelijk maakte. Microsoft Purview eDiscovery bevatte CVE-2026-65668 (CVSS 8.80), ook gerelateerd aan privilege-escalatie.

Voor Azure Entra ID is CVE-2026-62869 (CVSS 8.80) verholpen, waarmee een kwaadwillende zich kon voordoen als een andere gebruiker. Microsoft Entra Connect Sync had een kwetsbaarheid, CVE-2026-65673 (CVSS 7.80), die leidde tot verhoogde rechten. Azure SQL Database bevatte naast de eerder genoemde CVE-2026-56162 ook CVE-2026-63522 (CVSS 7.80), beide met impact op privilege-escalatie.

Azure Logic Apps kampte met CVE-2026-56161 (CVSS 9.60), die toegang tot gevoelige gegevens kon verschaffen. Application Insights Profiler had CVE-2026-49163 (CVSS 8.80), wat ook kon leiden tot verhoogde rechten. De Azure SRE Agent bevatte CVE-2026-62830 (CVSS 9.90), een kwetsbaarheid voor privilege-escalatie.

Microsoft Entra Provisioning Service (SyncFabric) had CVE-2026-59115 (CVSS 9.90), eveneens voor het verkrijgen van verhoogde rechten. In Azure CycleCloud zijn twee kwetsbaarheden verholpen: CVE-2026-70340 (CVSS 8.10) voor privilege-escalatie en CVE-2026-65806 (CVSS 6.50) voor toegang tot gevoelige gegevens.

Azure Confidential Ledger was kwetsbaar via CVE-2026-68823 (CVSS 9.10), wat de uitvoering van willekeurige code mogelijk maakte. Tot slot zijn in het Microsoft 365 Admin Center CVE-2026-62873 (CVSS 9.80) en in Azure Storage Explorer CVE-2026-57104 (CVSS 8.80) verholpen, beide met impact op privilege-escalatie. Organisaties die Azure Active Directory gebruiken, wordt geadviseerd de noodzakelijke acties voor CVE-2026-50481 zo snel mogelijk uit te voeren.

Bron: NCSC

Microsoft heeft in haar Patch Tuesday-ronde van augustus 2026 een nieuwe kwetsbaarheid voor uitvoering van code op afstand (RCE) in Outlook bekendgemaakt. Het lek, aangeduid als CVE-2026-70329, vindt zijn oorsprong in een integer overflow of wraparound zwakke plek binnen Microsoft Office Outlook. Met een CVSS v3.1-basisscore van 8.8 valt deze kwetsbaarheid in de categorie van hoge ernst.

Volgens het advies van Microsoft kan een ongeautoriseerde aanvaller dit lek misbruiken om willekeurige code over een netwerk uit te voeren. Dit maakt het een prioriteit voor organisaties die een ondersteunde versie van Outlook of Office gebruiken om de patch onmiddellijk toe te passen. Het Microsoft Security Response Center heeft bevestigd dat de kwetsbaarheid vóór deze release niet openbaar was gemaakt en dat er geen bewijs is van actieve exploitatie in het wild.

Hoewel Microsoft de exploitabiliteit als "onwaarschijnlijk" beoordeelt, wordt beveiligingsteams toch aangeraden om snel te patchen. De inschatting van exploitabiliteit kan namelijk veranderen zodra proof-of-conceptcode of exploitketens publiekelijk beschikbaar komen. De aanval vereist interactie van de gebruiker, wat betekent dat deze niet automatisch kan worden geactiveerd zonder een actie van het doelwit. Een aanvaller moet een kwaadaardig Office-bestand creëren, waarschijnlijk vermomd als e-mailbijlage, en het slachtoffer overtuigen dit te openen.

Zodra het bestand wordt geopend, kan de integer overflow-bug worden geactiveerd om geheugen te corrumperen en de uitvoering van het programma te kapen. Afhankelijk van het privilege-niveau van het slachtoffer kan dit de aanvaller volledige controle over het getroffen systeem geven. Dit aanvalspatroon komt overeen met eerdere geheugenbeschadigingsfouten in Outlook en Office, waarbij social engineering via phishing-e-mails de primaire methode is voor verspreiding, in plaats van een volledig niet-geauthenticeerde, netwerkgebaseerde exploit.

De patch van Microsoft dekt een breed scala aan producten binnen het Office-ecosysteem. Getroffen producten zijn onder andere Microsoft 365 Apps for Enterprise voor zowel 32-bits als 64-bits systemen, Microsoft Office 2019 in beide architecturen, Microsoft Office LTSC 2021 en LTSC 2024 voor 32-bits en 64-bits edities, en de standalone Microsoft Outlook 2016-releases voor beide 32-bits en 64-bits systemen. Voor Outlook 2016 is de fix gepubliceerd onder Knowledge Base-artikel 5002755, waarmee builds worden bijgewerkt naar versie 16.0.5565.1000. Click-to-Run-edities worden automatisch bijgewerkt via het servicingskanaal van Microsoft, terwijl MSI-gebaseerde installaties handmatige implementatie van de beveiligingsupdate vereisen.

CVE-2026-70329 was een van de 394 kwetsbaarheden die Microsoft heeft aangepakt in de beveiligingsupdatecyclus van augustus 2026, die ook drie actief misbruikte zero-days in andere productlijnen oploste. De Outlook-kwetsbaarheid staat naast een afzonderlijke Outlook-spoofing-kwetsbaarheid, CVE-2026-62882, die lager is beoordeeld (CVSS 4.3), en verschillende lekken voor informatie-openbaarmaking die Excel, Word en PowerPoint treffen. Microsoft heeft een anonieme onderzoeker bedankt voor het melden van de Outlook RCE-fout via haar programma voor gecoördineerde kwetsbaarheidsmelding.

Beveiligingsteams moeten prioriteit geven aan het implementeren van de cumulatieve update van augustus 2026 voor alle Outlook- en Office-installaties, met name in omgevingen die nog Office 2016 of LTSC-builds gebruiken die geen automatische Click-to-Run-updates ontvangen. Aangezien exploitatie afhangt van het overhalen van een gebruiker om een kwaadaardig bestand te openen, zal het versterken van training voor phishingbewustzijn en filtering van e-mailbijlagen het risico verder verminderen terwijl patches breed worden uitgerold.

Bron: Microsoft

Het Nationaal Cyber Security Centrum (NCSC) waarschuwt voor recent verholpen kwetsbaarheden in diverse Developer Tools van Microsoft. Kwaadwillenden kunnen deze zwakheden misbruiken door slachtoffers te misleiden tot het importeren en verwerken van een malafide broncodebestand, wat kan leiden tot ernstige schade. De kwetsbaarheden zijn geïdentificeerd met specifieke CVE-ID's en variëren in ernst, met CVSS-scores tot 8.8.

Binnen de Visual Studio Code CoPilot Chat Extension is de kwetsbaarheid CVE-2026-65675 gedetecteerd, met een CVSS-score van 7.10, die het omzeilen van beveiligingsmaatregelen mogelijk maakt.

Microsoft PowerShell Core kent twee kritieke kwetsbaarheden: CVE-2026-58612 (CVSS 7.40), die toegang tot gevoelige gegevens verschaft, en CVE-2026-70337 (CVSS 8.80), die het uitvoeren van willekeurige code toelaat.

Voor GitHub Copilot en Visual Studio Code gezamenlijk is CVE-2026-70335 (CVSS 7.80) gepatcht, een kwetsbaarheid die kan leiden tot het verkrijgen van verhoogde rechten.

Visual Studio Code zelf bevat meerdere kritieke lekken. CVE-2026-58650 (CVSS 7.80), CVE-2026-69278 (CVSS 7.80) en CVE-2026-69306 (CVSS 8.20) maken het omzeilen van beveiligingsmaatregelen mogelijk. Drie andere kwetsbaarheden, CVE-2026-59113 (CVSS 8.80), CVE-2026-69320 (CVSS 8.80) en CVE-2026-70336 (CVSS 8.80), staan het uitvoeren van willekeurige code toe. Daarnaast kan CVE-2026-47285 (CVSS 6.50) leiden tot toegang tot gevoelige gegevens.

Het .NET Framework is eveneens getroffen door drie kwetsbaarheden: CVE-2026-62897 (CVSS 7.00) maakt het uitvoeren van willekeurige code mogelijk, terwijl CVE-2026-62872 (CVSS 8.80) en CVE-2026-65810 (CVSS 7.80) kunnen resulteren in het verkrijgen van verhoogde rechten.

Voor Microsoft PowerShell zijn CVE-2026-59119 (CVSS 7.30) en CVE-2026-70338 (CVSS 7.80) verholpen, die respectievelijk leiden tot het verkrijgen van verhoogde rechten en het omzeilen van beveiligingsmaatregelen.

De .NET-omgeving kent de meeste kwetsbaarheden. CVE-2026-62899 (CVSS 5.90) omzeilt beveiligingsmaatregelen, terwijl CVE-2026-62900 (CVSS 5.90) en CVE-2026-62902 (CVSS 6.50) toegang tot gevoelige gegevens bieden. CVE-2026-62901 (CVSS 7.50) kan een Denial-of-Service veroorzaken. Kwetsbaarheden die het verkrijgen van verhoogde rechten mogelijk maken zijn CVE-2026-62909 (CVSS 7.80), CVE-2026-58641 (CVSS 7.80) en CVE-2026-62886 (CVSS 7.80). Tot slot kunnen CVE-2026-62871 (CVSS 7.80) en CVE-2026-70354 (CVSS 7.80) leiden tot het uitvoeren van willekeurige code.

Ten slotte is in de Python extension van Visual Studio Code CVE-2026-54981 (CVSS 7.80) verholpen, een kwetsbaarheid die ook het omzeilen van beveiligingsmaatregelen betreft.

Bron: NCSC

Microsoft heeft een cruciale uitgebreide beveiligingsupdate (ESU) uitgebracht voor Windows 10, onder de naam KB5120249. Deze update is specifiek bedoeld voor versies 22H2 en 21H2 van het besturingssysteem en richt zich op het oplossen van diverse beveiligingskwetsbaarheden en algemene softwarefouten. De introductie van deze update valt samen met de reguliere Patch Tuesday van augustus 2026, wat betekent dat de installatie ervan van groot belang is voor de systeemveiligheid.

Gebruikers van Windows 10 kunnen deze noodzakelijke update verkrijgen via de standaard Windows Update-functionaliteit. Door te navigeren naar Start, vervolgens Instellingen, Update en beveiliging, en tot slot Windows Update, kan men op 'Controleren op updates' klikken om de installatie te starten. Voor diegenen die de voorkeur geven aan handmatige installatie, is de update ook beschikbaar voor download via de Microsoft Update Catalog. Na de succesvolle implementatie van KB5120249 zullen de systemen met Windows 10 worden geüpgraded naar OS Builds 19045.7663 en 19044.7663.

Een van de specifieke verbeteringen in deze Patch Tuesday-update betreft een correctie voor de functie Bestandsgeschiedenis. Voorheen konden automatische back-ups die via deze functie naar netwerkshares werden uitgevoerd met behulp van Server Message Block (SMB), mislukken. Dit uitte zich in een onjuiste foutmelding van "ongeldige referenties", met als gevolg dat geplande back-ups geen bestanden kopieerden. Dit hinderlijke probleem is met de huidige update verholpen, waardoor de betrouwbaarheid van back-upoperaties is verbeterd.

Daarnaast omvat de update een belangrijke uitbreiding van de uitrol van nieuwe certificaten voor Secure Boot. Microsoft heeft aanvullende, zeer betrouwbare targetinggegevens geïntegreerd, wat de dekking vergroot van apparaten die in aanmerking komen om automatisch nieuwe certificaten voor Secure Boot te ontvangen. Het bedrijf heeft aangegeven dat de verdere implementatie van deze certificaten via toekomstige Windows-updates gedurende de komende maanden zal doorgaan, zowel voor ondersteunde pc's als voor onbeheerde zakelijke apparaten. Tot op heden zijn er geen nieuwe significante problemen bekendgemaakt met betrekking tot de maandelijkse Patch Tuesday-update.

Bron: Microsoft

Volgens BleepingComputer heeft Microsoft cumulatieve updates KB512103 en KB5120240 uitgebracht voor Windows 11-versies 25H2/24H2 en 23H2. Deze updates zijn van essentieel belang, aangezien zij beveiligingskwetsbaarheden, bugs en nieuwe functies bevatten. De updates maken deel uit van de verplichte Patch Tuesday van augustus 2026 en adresseren maar liefst 400 kwetsbaarheden die in de voorgaande maanden zijn ontdekt.

Gebruikers kunnen de updates installeren via Windows Update, toegankelijk via Start > Instellingen > Windows Update, door te klikken op 'Controleren op updates'. Alternatief is handmatige download en installatie via de Microsoft Update Catalog. Dit is de achtste Patch Tuesday-release van 2026, gebaseerd op versie 24H2, wat betekent dat versie 25H2 dezelfde updates ontvangt zonder exclusieve wijzigingen.

Naast de uitgebreide reeks beveiligingsoplossingen introduceert de update ook diverse verbeteringen en nieuwe functionaliteiten. Windows Search is verbeterd in het omgaan met typefouten en gedeeltelijke app-namen bij het zoeken naar geïnstalleerde applicaties, en de relevantie van instellingen in de zoekresultaten is geoptimaliseerd.

File Explorer heeft ook een aantal aanpassingen ondergaan. Bestandsgroottes in de Details-weergave worden nu weergegeven in passende eenheden (KB, MB, GB) voor betere leesbaarheid. Een middenklik om een map in een nieuw tabblad te openen wordt nu ondersteund in de adresbalk en op de startpagina, wat de navigatie verbetert. Visuele bugs, zoals een grijze flits bij het laden en onverwacht scrollen op de startpagina, zijn verholpen, en de weergave van bestandsminiaturen in de 'Aanbevolen'-sectie is scherper.

Voice Access is uitgebreid met de functie Voice Isolation, die achtergrondgeluiden en andere sprekers reduceert voor betere stemherkenning. Gebruikers kunnen kiezen uit drie snelheidsherkenningsmodi: Voice Isolation (vereist een eenmalige steminstelling), alleen achtergrondgeluid verwijderen, of geen filtering. Bovendien is er Koreaanse taalondersteuning toegevoegd voor Voice Access, en de betrouwbaarheid van het starten van Voice Access is verbeterd.

Widgets op de taakbalk tonen nu notificatiebadges in de Windows-accentkleur, ter vervanging van de voorheen rode kleur. Het vergrendelscherm toont voor nieuwe gebruikers standaard alleen de Weer-widget. Voor precisietouchpads zijn nieuwe gebarenbedieningen beschikbaar in de instellingen, waaronder aanpasbare scroll- en zoomsnelheid en versneld scrollen.

Het Startmenu is betrouwbaarder geworden wat betreft weergavevoorkeuren en toetsenbordnavigatie in de app-lijst. Voice Typing heeft nu standaard 'Fluid dictation' uitgeschakeld voor nieuwe gebruikers, met een instructietip bij het eerste gebruik. Verbeteringen aan de consistentie van de muiscursorgrootte, de juiste weergave van systeemdialogen op kleine tablets en de Magnifier-ervaring op aanraakapparaten zijn eveneens doorgevoerd.

Windows Hello Enhanced Sign-in Security (ESS) ondersteunt nu ook perifere vingerafdruksensoren, waardoor deze beveiligde aanmeldoptie beschikbaar is voor desktops en andere Windows 11-pc's, inclusief Copilot+ pc's. Deze functie, eerder aangekondigd in januari 2026 (KB5074105), wordt nu breder uitgerold. Tot slot zijn er updates voor lettertypen en de weergave van de accountcontrole in het Startmenu, inclusief een badge die de abonnementsstatus toont.

Bron: Microsoft

Zoom heeft recentelijk patches uitgebracht voor vier nieuw ontdekte beveiligingslekken. Deze kwetsbaarheden stelden een kwaadwillende deelnemer aan een online vergadering in staat om op afstand code uit te voeren op de computer van een andere deelnemer. Dit kon gebeuren zonder enige klik, download of waarschuwing, wat de ernst van de problemen benadrukt.

De meest kritieke van deze kwetsbaarheden, aangeduid als CVE-2026-53413, heeft van het onderzoeksteam A Security de naam "Zoomsday" gekregen. Zoom's eigen Trust en Security team heeft deze als 'hoog' geclassificeerd. Het lek bevindt zich in de annotatiefunctie van Zoom, waarmee deelnemers kunnen tekenen, markeren of tekst toevoegen tijdens het delen van een scherm. Deze functie maakt gebruik van een eigen protocol dat een directe communicatiekanaal opent tussen de schermdeler en de kijkers.

Onderzoekers ontdekten dat de routine verantwoordelijk voor het parsen van tekst-annotatie opmaakdata, genaamd CAnnoFormatBlock::Deserialize, meerdere vaste 128-byte buffers bevat. Echter, het systeem vertrouwt blindelings op 32-bit karaktertellingen die over het netwerk worden verzonden. Omdat de client de inkomende data niet valideert om te controleren of deze binnen de buffers past, kan een aanvaller een overgedimensioneerd, speciaal gemaakt bericht verzenden. Dit veroorzaakt een buffer overflow en corrumpeert aangrenzend geheugen, wat uiteindelijk de controle over de programmacode overneemt om willekeurige code uit te voeren.

Een onderzoeker van A Security demonstreerde de exploit op macOS door de Safari-browser geruisloos op de machine van een slachtoffer te starten. Dit toonde aan dat volledige code-executie mogelijk is zonder gebruikersinteractie en zonder zichtbaar teken van compromis. Een aanvaller hoeft alleen maar deel te nemen aan of een vergadering te hosten en vervolgens een willekeurige deelnemer individueel te targeten.

Naast CVE-2026-53413 heeft Zoom nog drie gerelateerde problemen bekendgemaakt in dezelfde bulletin-cyclus. CVE-2026-53414, met een medium severity rating, is een buffer over-read bug in Zoom Clients die kan leiden tot het lekken van geheugeninhoud. CVE-2026-53415 is een use-after-free kwetsbaarheid, eveneens met een hoge rating, die geheugenbeschadiging en potentiële code-executie kan veroorzaken als een aanvaller toegang tot vrijgemaakt geheugen triggert. Tot slot beïnvloedt CVE-2026-53416 de Virtual Desktop Infrastructure (VDI) Client van Zoom. Deze kwetsbaarheid, met een hoge rating, komt voort uit een pad traversal zwakte die gevoelige bestanden kan blootleggen door een aanvaller in staat te stellen bestandspaden buiten de bedoelde directory's te manipuleren. Zoom heeft deze problemen bijgehouden onder bulletins ZSB-26015 tot en met ZSB-26018, die allemaal op 11 augustus 2026 zijn gepubliceerd en bijgewerkt.

Zoom heeft aangegeven dat de annotatiegerelateerde bugs van invloed zijn op clients op alle ondersteunde platforms, terwijl het pad traversal probleem specifiek is voor VDI-implementaties. Oplossingen zijn reeds beschikbaar: Zoom Workplace versies 7.1.5 en 7.0.6, Zoom Rooms 7.1.5 en Meeting SDK 7.1.5 verhelpen de annotatiekwetsbaarheden. De Workplace VDI Client versies 7.0.11 en 6.6.16, samen met VDI Plugin versies 7.0.11 en 6.6.15, patchen de pad traversal bug.

Hoewel Zoom geen bewijs heeft gemeld van actieve exploitatie in het wild en er momenteel geen publieke proof-of-concept exploit in omloop is, moeten beveiligingsteams en individuele gebruikers dit als een urgente patchprioriteit behandelen. Dit is cruciaal omdat de annotatiekwetsbaarheid geen interactie van het slachtoffer vereist en geen visueel spoor van compromis achterlaat. Organisaties die gecentraliseerde Zoom-implementaties beheren, dienen onmiddellijk bijgewerkte installatiepakketten te pushen in plaats van te vertrouwen op handmatige updates door individuele gebruikers, om te voorkomen dat kwetsbare builds stilzwijgend opnieuw verschijnen bij de volgende installatiecyclus.

Bron: Zoom

Een recent onthulde kwetsbaarheid in Docker, aangeduid als CVE-2026-17106 en met de bijnaam "CopyEscape", stelt kwaadaardige containers in staat om bestanden op de hostmachine te overschrijven en, in specifieke configuraties, volledige code-executie op rootniveau te verkrijgen. Deze kwetsbaarheid werd ontdekt door het Red Team van Imperva en treft de veelgebruikte `docker cp`-opdracht, evenals de gerelateerde `sbx cp`-opdracht die wordt gebruikt in Docker Sandboxes voor AI-agent-workflows.

Bij misbruik stelt CopyEscape een kwaadaardige container in staat om uit zijn geïsoleerde omgeving te ontsnappen, willekeurige bestanden op de client-host te schrijven of te overschrijven, en onder specifieke omstandigheden op Linux, root-level code-executie te bereiken. De kwetsbaarheid bevindt zich in de archief-pipeline van Docker, het mechanisme dat bestanden tussen een container en de hostmachine verplaatst. Wanneer een gebruiker een eenvoudige opdracht uitvoert, zoals `docker cp container:/path/to/file.txt ./file.txt`, voert Docker geen directe bestandskopie uit. In plaats daarvan doorloopt de daemon het live bestandssysteem van de container, verpakt het geselecteerde pad in een tar-archief en geeft dat archief door aan de Docker CLI voor extractie op de lokale machine.

Dit ontwerp gaat uit van twee aannames, namelijk dat de daemon een consistent archief produceert en dat de CLI elk geëxtraheerd bestand houdt binnen de door de gebruiker gekozen bestemming. Onderzoekers van Imperva vonden een manier om beide aannames in één kopieerbewerking te doorbreken. De exploit combineert een race-conditie in het bestandssysteem met een gebrekkige symlink-controle. Omdat Docker alleen zijn interne status vergrendelt tijdens het doorlopen van het archief, en niet de processen die in de container draaien, kan een aanvaller bestanden manipuleren tijdens de scan.

Met behulp van een getimede reeks directory-swaps misleidt de kwaadaardige container de walker van Docker om een directory te registreren, om deze vervolgens stilzwijgend te vervangen door een symlink die buiten de beoogde bestemming wijst, zoals `/usr/bin`. Een validatiecontrole in de extractiecode van Docker inspecteert een geconstrueerd pad, maar creëert feitelijk een symlink met behulp van een ander, ongecontroleerd pad uit het archief. Deze mismatch zorgt ervoor dat de bestanden van de aanvaller terechtkomen waar de symlink wijst, waardoor de sandbox volledig wordt omzeild.

Omdat `docker cp` ten grondslag ligt aan routinetaken zoals het verzamelen van build-artefacten, logs en forensisch bewijsmateriaal, bedreigt de kwetsbaarheid direct CI/CD-pipelines, ontwikkelaars-workstations en incident-response-workflows. Ironisch genoeg zou een analist die bewijsmateriaal uit een gecompromitteerde container haalt om deze te onderzoeken, onbewust de exploit kunnen activeren.

Op macOS, waar Docker Desktop zijn daemon in een virtuele machine draait, extraheert de CLI nog steeds bestanden lokaal. Dit betekent dat aanvallers opstartscripts voor shells, SSH-configuratie of LaunchAgents kunnen overschrijven om code-executie te bereiken de volgende keer dat een terminal wordt geopend. Op Linux, als `docker cp` met verhoogde privileges wordt uitgevoerd, wat gebruikelijk is bij automatisering, kan dezelfde schrijf-primitive systeembestanden zoals `runc` vervangen, waardoor een bestandsoverschrijving wordt omgezet in onmiddellijke root-toegang. De onderzoekers bevestigden ook dat de kwetsbaarheid de `sbx cp`-opdracht van Docker Sandboxes treft, waardoor omgevingen voor AI-coding-agenten worden blootgesteld aan hetzelfde risico van bestemmings-ontsnapping bij het ophalen van bestanden uit niet-vertrouwde sandboxes.

Docker heeft het probleem verholpen in Docker Engine en CLI 29.7.2, Docker Desktop 4.86.0 en Docker Sandboxes 0.38.0, na een openbaarmakingsproces dat in april 2026 begon en meerdere verlengingen vereiste om regressies van een eerdere fix op te lossen. Organisaties die niet onmiddellijk kunnen upgraden, moeten het uitvoeren van `docker cp` tegen niet-vertrouwde of live containers vermijden, containers stoppen voordat bestanden worden gekopieerd, het gebruik van `sudo docker cp` elimineren en verdachte gegevens alleen via geïsoleerde, wegwerpbare omgevingen ophalen. De onderliggende les is dat archiefextractie zelf een beveiligingsgrens is, een die pad-string-controles niet kunnen garanderen zodra symlinks en gelijktijdige bestandsveranderingen in het spel komen.

Bron: Imperva

Ivanti heeft een beveiligingsadvies uitgebracht voor Ivanti Endpoint Manager (EPM) waarin drie kwetsbaarheden met een hoge ernst worden onthuld. Deze kwetsbaarheden kunnen externe aanvallers in staat stellen om agentservices te laten crashen, configuraties voor cloudopslag te kapen en gevoelige database-inloggegevens te onderscheppen. Het advies, gepubliceerd op 11 augustus 2026, heeft betrekking op alle EPM 2024 SU6 en eerdere implementaties, en Ivanti dringt er bij beveiligingsteams op aan om onmiddellijk te updaten naar de zojuist uitgebrachte 2024 SU7-build.

De ontdekte kwetsbaarheden omvatten agentcomponenten, kernbeheerservices en externe integraties.

**CVE-2026-18125**, met een CVSS-score van 7.5, is een out-of-bounds read kwetsbaarheid in de EPM Agent. Deze kwetsbaarheid stelt een externe, ongeauthenticeerde aanvaller in staat om de agentservice op beheerde endpoints te laten crashen door op maat gemaakte invoer te verzenden. Hiervoor is geen gebruikersinteractie of geldige inloggegevens vereist. Hoewel deze kwetsbaarheid geen code-uitvoering mogelijk maakt, verstoort de exploitatie ervan de mogelijkheden voor endpointbeheer binnen een bedrijfsomgeving, waardoor beheerders tijdens een storing blind zijn. De kwetsbaarheid valt onder CWE-125, een klassiek geheugenveiligheidsprobleem. Beveiligingsonderzoeker Hieu Tran Nam (jkana101) wordt gecrediteerd voor het rapporteren van deze kwetsbaarheid.

**CVE-2026-18127**, met een CVSS-score van 7.7, vloeit voort uit externe controle van een bestandsnaamparameter in de EPM Core-component (CWE-73). Dit stelt een geauthenticeerde externe aanvaller in staat om volledige schrijftoegang te verkrijgen tot een Amazon S3-bucket die is geconfigureerd voor opslag van sessieopnames. Een aanvaller met lage privileges kan bestanden binnen archieven van sessieopnames overschrijven, wijzigen of plaatsen, waardoor audittrails worden beschadigd of een staging point in de cloudinfrastructuur wordt gevestigd.

De kwetsbaarheid met de hoogste ernstscore, **CVE-2026-18129** (CVSS 8.1), betreft de verzending van gevoelige gegevens in platte tekst in de EPM Core (CWE-295). Een aanvaller die zich in een Man-in-the-Middle (MitM) netwerkpad bevindt, kan ongecodeerd verkeer onderscheppen om inloggegevens te lekken die worden gebruikt voor externe SQL-databaseverbindingen. Omdat exploitatie geen authenticatie of gebruikersinteractie vereist, vormt dit een primair doelwit voor bedreigingsactoren die zich richten op niet-gesegmenteerde netwerken.

Zoals gedetailleerd in het officiële Ivanti Security Advisory, benadrukken deze beveiligingsfouten waarom organisaties die externe en on-premises endpoints beheren, strikte netwerksegmentatie moeten afdwingen. Het implementeren van geautomatiseerd patchbeheer helpt bij het stroomlijnen van beveiligingsupdates binnen de gedistribueerde beheerinfrastructuur, voordat bedreigingsactoren actieve exploits ontwikkelen.

Alle versies van Ivanti Endpoint Manager tot en met 2024 SU6 zijn getroffen. Ivanti heeft alle drie de kwetsbaarheden opgelost in EPM 2024 SU7, die momenteel beschikbaar is voor download via het Ivanti License System (ILS). Organisaties die afhankelijk zijn van externe SQL-databases of S3-gesteunde sessielogs moeten deze patchcyclus onmiddellijk prioriteren.

Volgens Ivanti is er geen bewijs van actieve exploitatie voorafgaand aan de openbaarmaking, en de kwetsbaarheden werden geïdentificeerd via het responsible disclosure program van het bedrijf. Omdat er momenteel geen openbare Indicators of Compromise (IoC's) zijn, is detectie afhankelijk van het monitoren van endpoint-telemetrie op afwijkende agent-crashes, ongeautoriseerde S3-bucket-writes en ongebruikelijke SQL-authenticatiepatronen. Gezien de geschiedenis van terugkerende kritieke kwetsbaarheden in Ivanti EPM, moeten beveiligingsteams het testen en implementeren in productieomgevingen versnellen.

Bron: Ivanti

Onderzoekers van Claroty Team82 hebben recentelijk 23 kwetsbaarheden ontdekt in de XWEB Pro supervisory controllers van Copeland. Deze controllers worden veelvuldig ingezet voor het beheer van commerciële koelsystemen in supermarkten, opslagplaatsen en ziekenhuizen wereldwijd. Van de geïdentificeerde kwetsbaarheden zijn er 21 geclassificeerd als kritiek, en ze stellen een ongeauthenticeerde aanvaller in staat om via het netwerk volledige root toegang tot het apparaat te verkrijgen.

Commerciële koelsystemen zijn doorgaans opgebouwd uit meerdere lagen. Bovenaan bevindt zich een supervisory controller die verbonden is met het internet. Daaronder bevinden zich veldcontrollers die individuele eenheden, zoals compressoren en ventilatoren, beheren via een seriële verbinding. De Copeland XWEB300D en XWEB500D PRO controllers spelen een cruciale rol in deze opzet, aangezien zij temperatuurlogboeken bijhouden die essentieel zijn voor voedselveiligheid en gezondheidsvoorschriften.

Eén van de kwetsbaarheden, aangeduid als CVE 2026 25085, is het gevolg van een programmeerfout. Wanneer een gebruiker een niet-herkend login type indient, zou het systeem dit moeten weigeren. Echter, het systeem retourneert dan een lege datastructuur die de software ten onrechte als geldig interpreteert. Dit stelde aanvallers in staat om login controles volledig te omzeilen en toegang te krijgen tot beperkte administratieve functies zonder de juiste inloggegevens.

Een tweede kwetsbaarheid, CVE 2026 21718, wordt beschouwd als potentieel gevaarlijker. Het apparaat genereert zijn SSH en webwachtwoorden voor beheerdersfuncties uitsluitend op basis van de huidige datum, het MAC adres van het apparaat en geheime sleutels die verborgen zijn in de firmware. Aangezien de datum openbaar is en het MAC adres eenvoudig te achterhalen, kan een aanvaller het exacte dagelijkse wachtwoord offline berekenen en als beheerder inloggen.

Na het omzeilen van de authenticatie vonden de onderzoekers nog eens 19 afzonderlijke command injection kwetsbaarheden in diverse apparaatfuncties, waaronder firmware updates en netwerkinstellingen. Deze kwetsbaarheden stellen aanvallers in staat om verborgen systeemcommando's in normaal ogende data in te voegen, waardoor zij volledige root toegang tot de controller krijgen.

Om de mogelijke impact in de praktijk te demonstreren, bouwden de onderzoekers een werkende minikoelkast die was aangesloten op een XWEB controller en een XR60CX veldeenheid. Met behulp van een op maat gemaakte Python tool toonden zij aan hoe de temperatuurweergave kon worden ingesteld op elke willekeurige waarde tussen -50 en 110 graden Celsius. Nog verontrustender was een aanval waarbij de weergave de correcte temperatuur bleef tonen, terwijl de koelventilatoren op de achtergrond geruisloos werden uitgeschakeld. De koelkast warmde hierdoor langzaam op, waardoor de inhoud bedierf, zonder dat er een zichtbare waarschuwing op het scherm verscheen.

Claroty heeft deze problemen gemeld aan Copeland, die firmwareversie 1.13 heeft uitgebracht om alle 23 kwetsbaarheden te patchen. Faciliteiten die XWEB Pro controllers gebruiken, wordt geadviseerd onmiddellijk de update uit te voeren, aangezien exploitatie geen geldige inloggegevens vereist en op afstand via het internet kan plaatsvinden. Dit onderzoek onderstreept een toenemend risico in operationele technologie, want softwarefouten in industriële controllers kunnen direct fysieke schade veroorzaken, variërend van bedorven etenswaren tot vernietigde medische voorraden. Experts adviseren om deze controllers te verwijderen van directe internettoegang, koelnetwerken te segmenteren van andere systemen en leverancierspatches snel toe te passen om vergelijkbare stille sabotageaanvallen te voorkomen.

Bron: Claroty

Het Nationaal Cyber Security Centrum (NCSC) heeft recent gewaarschuwd voor diverse kwetsbaarheden die zijn ontdekt in meerdere softwarecomponenten van Veeam ONE. Deze kwetsbaarheden betreffen onder meer agents en services die opereren met verhoogde privileges, alsook systemen die rapporten verspreiden via gedeelde links en gebruikmaken van backend databases. De aard van deze kwetsbaarheden stelt zowel gebruikers met verschillende privilege-niveaus als volledig onbevoegde aanvallers in staat om acties uit te voeren die onder normale omstandigheden niet zijn toegestaan.

De specifieke risico's die uit deze kwetsbaarheden voortvloeien, zijn aanzienlijk. Aanvallers kunnen door misbruik van deze lekken willekeurige code uitvoeren op servers of agent hosts, wat hen potentieel volledige controle over de getroffen systemen geeft. Daarnaast is het mogelijk om arbitraire bestanden te lezen zonder dat hiervoor authenticatie vereist is. Dit kan leiden tot ongeautoriseerde toegang tot gevoelige informatie.

Verder kunnen de kwetsbaarheden worden ingezet om toegangscontroles op gedeelde rapportlinks te omzeilen, waardoor vertrouwelijke rapportages in verkeerde handen kunnen vallen. Een andere ernstige dreiging is de mogelijkheid tot het uitvoeren van SQL-injectieaanvallen op de backend databases van Veeam ONE. Dergelijke aanvallen kunnen leiden tot datadiefstal, -manipulatie of verdere compromittering van de database-infrastructuur. Bovendien is lokale privilege-escalatie mogelijk binnen specifieke servicecontexten, zoals die van de Reporter service, wat aanvallers in staat stelt hun rechten op een systeem te verhogen.

De exploitatie van deze kwetsbaarheden kan leiden tot ongeautoriseerde toegang tot gevoelige data, manipulatie van systemen en de volledige compromittering van de getroffen systemen. Het NCSC benadrukt dat de vereiste toegang voor het misbruiken van deze kwetsbaarheden verschilt. Sommige lekken vereisen lokale toegang tot het systeem, terwijl andere op afstand en zonder authenticatie kunnen worden misbruikt, wat het risico aanzienlijk vergroot voor extern toegankelijke systemen.

Bron: NCSC

Siemens heeft recentelijk een reeks beveiligingsproblemen aangepakt in verschillende van hun industriële en softwareproducten. Deze kwetsbaarheden, die door het Nationaal Cyber Security Centrum (NCSC) onder de aandacht zijn gebracht, betroffen systemen zoals Desigo, Parasolid, RUGGEDCOM, SIMATIC, Siveillance en Solid Edge. Het dichten van deze lekken is cruciaal, gezien de potentiële impact die varieert van het platleggen van systemen tot het volledig overnemen van controle.

De geïdentificeerde kwetsbaarheden boden kwaadwillenden de mogelijkheid om diverse soorten aanvallen uit te voeren. Een van de directe risico's was een Denial-of-Service (DoS), wat kan leiden tot de onbeschikbaarheid van kritieke systemen en processen. Verder bestond de dreiging van manipulatie van gegevens, waarbij aanvallers informatie konden wijzigen of corrumperen. Ook het omzeilen van bestaande beveiligingsmaatregelen was een mogelijkheid, waardoor aanvallers toegang konden krijgen tot anderszins beschermde delen van een systeem.

Meer geavanceerde vormen van misbruik omvatten (remote) code execution, wat betekent dat aanvallers hun eigen code kunnen uitvoeren op het getroffen systeem. Dit kon zowel met gebruikersrechten als met verhoogde privileges, zoals root- of admin-rechten, gebeuren, wat de aanvallers volledige controle over de omgeving zou geven. Bovendien konden de kwetsbaarheden leiden tot ongeautoriseerde toegang tot gevoelige gegevens, wat serieuze implicaties heeft voor de privacy en bedrijfsgeheimen. Tot slot was er het risico van privilege escalation, waarbij een aanvaller met beperkte toegang hogere rechten kon verkrijgen binnen het systeem.

Het Nationaal Cyber Security Centrum (NCSC) heeft in haar waarschuwing benadrukt dat voor het succesvol exploiteren van de kwetsbaarheden, een kwaadwillende toegang moest hebben tot de productieomgeving. Dit onderstreept het belang van strikte toegangscontrole en netwerksegmentatie. Het NCSC wijst op de gevestigde praktijk om dergelijke productieomgevingen niet publiekelijk toegankelijk te maken, wat een cruciale stap is in het beperken van het aanvalsoppervlak. Siemens heeft de betreffende kwetsbaarheden inmiddels verholpen, waarmee de risico's die voortvloeiden uit deze lekken zijn aangepakt.

Bron: NCSC

Een onderzoeker die opereert onder de naam Nightmare Eclipse heeft een Proof of Concept (PoC) vrijgegeven, genaamd ShieldBreak, die de door Microsoft uitgebrachte patch voor kwetsbaarheid CVE-2026-50656 omzeilt. Deze kwetsbaarheid betreft een race condition in mpengine.dll, de scanmotor die Microsoft Defender aandrijft. Eerder werd deze kwetsbaarheid al misbruikt onder de naam RoguePlanet om een shell met SYSTEM-rechten te initiëren.

Volgens de onderzoeker heeft Microsoft de kwetsbaarheid niet volledig gerepareerd. De PoC van ShieldBreak demonstreert een volledige omzeiling van de bestaande patch. Waar het oorspronkelijke misbruik via RoguePlanet sterk varieerde in slaagkans per machine, claimt Nightmare Eclipse dat ShieldBreak een slaagkans van honderd procent heeft. Deze claim is gebaseerd op tests die zijn uitgevoerd op Windows 11 25H2 en Windows Server 2025. Hoewel Windows 10 momenteel niet wordt ondersteund door de vrijgegeven code, stelt de onderzoeker dat ook dit besturingssysteem kwetsbaar is voor de omzeiling. De code is publiekelijk beschikbaar gesteld op een codeplatform.

Bron: Cybercrimeinfo

Mozilla heeft de GPG-subsleutel vervangen die wordt gebruikt voor het ondertekenen van releasebestanden van Firefox en Thunderbird. Deze actie volgt op de ontdekking dat een onversleuteld exemplaar van de subsleutel per ongeluk terechtkwam in een besloten repository op een intern codeplatform. De subsleutel is essentieel voor de authenticatie van onder meer Linux-tarballs, RPM-pakketten en checksumbestanden.

Volgens Mozilla bevatten de auditlogboeken geen aanwijzingen dat onbevoegde partijen toegang hebben gehad tot de gelekte sleutel. De toegang tot de betreffende repository was beperkt tot een kleine, interne groep medewerkers die reeds geautoriseerd waren om met de sleutel te werken via andere beveiligde kanalen. Desondanks heeft Mozilla uit voorzorg besloten de oude sleutel in te trekken en een nieuwe subsleutel uit te rollen om de integriteit van de software-releases te waarborgen.

Voor de meeste gebruikers van Firefox en Thunderbird zijn geen specifieke acties vereist. Echter, gebruikers van oudere Fedora-versies, evenals systemen die draaien op RHEL, Rocky Linux, AlmaLinux en SUSE-varianten, dienen de oude RPM-sleutel handmatig te verwijderen. Dit is noodzakelijk omdat de pakketbeheerders op deze systemen een ingetrokken sleutel niet automatisch vervangen, wat kan leiden tot problemen met het installeren van toekomstige updates.

Bron: Mozilla

Threat actors zijn recentelijk begonnen met de actieve exploitatie van een kritieke beveiligingsfout in Broadcom VMware vCenter, zo blijkt uit nieuwe bevindingen van het Duitse cybersecuritybedrijf QUIRSO. De kwetsbaarheid, geïdentificeerd als CVE-2026-59310 met een CVSS-score van 9.8, is een directory-traversal lek in de VMware vCenter server. Kwaadwillende actoren met netwerktoegang kunnen dit misbruiken voor het uitvoeren van willekeurige code. Broadcom bracht eind vorige maand al patches uit voor deze kwetsbaarheid.

QUIRSO ontdekte de activiteit tijdens een incident response engagement. De aanvalsketen vertoonde pad-traversal activiteit die consistent is met de kwetsbaarheid. Hierop volgde de implementatie van een kwaadaardige cron job, bedoeld om persistentie op de host te creëren met behulp van reverse_ssh. Dit is een open-source tool die wordt ingezet voor het opzetten van SSH-verbindingen naar door aanvallers beheerde infrastructuur.

De door QUIRSO geïdentificeerde gecompromitteerde systemen legden voor het eerst contact met de domeinen van de aanvallers op 3 augustus, vijf dagen nadat Broadcom de kwetsbaarheid publiekelijk had bekendgemaakt. In totaal zijn er maar liefst 361 unieke slachtoffer IP-adressen gevonden in 47 landen. De meeste hiervan bevinden zich in Duitsland, de Verenigde Staten, Turkije, Iran en Frankrijk. QUIRSO merkte op dat hoewel de aanvallers mogelijk voorkennis van de kwetsbaarheid hadden, de sterke correlatie tussen de openbaarmaking en de exploitatie suggereert dat de disclosure het startpunt was voor de campagne.

Het is nog onduidelijk wie er achter de exploitatiecampagne zit, maar er wordt vermoed dat het werk is van een Advanced Persistent Threat (APT) actor. VMWare appliances zijn in het verleden al een lucratief doelwit gebleken voor Chinese dreigingsactoren, zoals UNC5174, die beveiligingsfouten in VMware Tools en VMware vCenter hebben misbruikt in diverse spionagecampagnes. In april 2025 onthulde SentinelOne details over een Chinese dreigingsgroep genaamd PurpleHaze, die een Zuid-Aziatische overheidsgerelateerde entiteit aanviel met een Windows-backdoor genaamd GoReShell. Deze gebruikte functionaliteiten van de reverse_ssh tool om reverse SSH-verbindingen met de aanvallers op te zetten.

Het gebruik van reverse_ssh is opmerkelijk, omdat het de aanvaller in staat stelt een uitgaande verbinding tot stand te brengen met een eindpunt onder hun controle. Dit omzeilt effectief beveiligingsmaatregelen die zijn ontworpen om verdachte inkomende verzoeken te voorkomen. QUIRSO benadrukt dat de aanwezigheid van reverse_ssh op zichzelf niet als bewijs van kwaadaardige activiteit moet worden behandeld. Echter, in combinatie met ongeautoriseerde installatie, onverwachte uitgaande verbindingen of uitvoering op een kwetsbare vCenter appliance, is het een indicator met hoge prioriteit die onderzoek vereist.

Deze openbaarmaking valt samen met een waarschuwing van Defused Cyber, dat een toename in scans tegen VMware vCenter waarneemt. Dit duidt op potentiële exploitatiepogingen gericht op CVE-2026-59309 (CVSS-score: 9.8), een authenticatie-bypass in vmdir. Denis Szadkowski, COO en medeoprichter van QUIRSO GmbH, verklaarde dat er in dit stadium onvoldoende bewijs is om de exploitatie- en scanpogingen met CVE-2026-59309 te correleren met de inbraak of de aanvallersinfrastructuur die geassocieerd wordt met CVE-2026-59310. Szadkowski voegde eraan toe dat de onderzochte activiteit een succesvolle compromittering vertegenwoordigt, en dat forensisch bewijs sterk wijst op CVE-2026-59310 als de initiële toegangspoort.

Bron: VMware

WordPress heeft versie 7.0.4 uitgebracht, een op beveiliging gerichte update die een kwetsbaarheid voor uitvoering van externe code (RCE) dicht. Deze kwetsbaarheid treft sites die afbeeldingen verwerken met de Imagick-extensie en Ghostscript. Het beveiligingsteam van WordPress dringt er bij site-eigenaren op aan om onmiddellijk te updaten via het Dashboard of door de release direct te downloaden van WordPress.org, aangezien sites met automatische achtergrondupdates de patch al zouden moeten ontvangen.

Het lek, aangeduid als CVE-2026-65640 en verder beschreven in GHSA-8vr3-7mxf-gx8w, werd verantwoordelijk gemeld door onderzoekers van pwn.ai. Het stelt een geauthenticeerde gebruiker met auteurrechten in staat om externe code uit te voeren via een zorgvuldig geprepareerd bestand dat wordt geüpload.

Het probleem komt voort uit de afhankelijkheid van WordPress van ImageMagick voor het aanpassen en verwerken van afbeeldingen in de Mediabibliotheek. ImageMagick beperkt zich niet tot JPEG- en PNG-bestanden, maar opent ook PostScript-, EPS- en PDF-bestanden. Voor het renderen van deze formaten schakelt het Ghostscript in, een hulpmiddel dat al vaker is misbruikt om onbedoelde commando's uit te voeren. Beveiligingsonderzoekers zullen dit herkennen als dezelfde familie van bugs die in het verleden de beruchte "ImageTragick"-kwetsbaarheden veroorzaakten.

De kern van het probleem lag in een discrepantie in de manier waarop bestandstypen worden geïdentificeerd. ImageMagick bepaalt het type bestand door de daadwerkelijke inhoud te lezen, terwijl de methode `WP_Image_Editor_Imagick::load()` van WordPress grotendeels vertrouwde op de bestandsextensie. Dit betekende dat een onschuldig ogend bestand, zoals `holiday.png`, PostScript-code kon bevatten, uploadcontroles kon passeren en toch aan Imagick werd overgedragen. Imagick zou dan de ingebedde PostScript-code herkennen en Ghostscript aanroepen om deze uit te voeren.

Normaal gesproken vangt de functie `wp_check_filetype_and_ext()` van WordPress dit soort discrepanties op tijdens standaard uploads, maar niet elk uploadpad maakt gebruik van deze controle. De methode `wp.uploadFile` van XML-RPC en de routine voor cover-art extractie voor geüploade MP3-bestanden schrijven beide bytes direct met behulp van `wp_upload_bits()`, wat de inhoudsinspectie volledig overslaat. Dit gaf aanvallers een alternatieve route om een malafide payload te plaatsen.

De oplossing, opgenomen in commit 7daaa50, herschrijft de functie `load()` zodat deze de daadwerkelijke inhoud van een bestand inspecteert voordat een Imagick-object wordt geconstrueerd. Het scant nu de eerste reeks van elk geüpload bestand en blokkeert alles met PostScript- of EPS-signaturen, nep-PDF's die de extensie claimen maar de echte `%PDF-header` missen, en gecomprimeerde bestanden zoals gzip of bzip2 die ImageMagick anders stilzwijgend zou uitpakken.

De patch dicht ook een slimmere truc waarbij aanvallers een bestandsnaam konden voorzien van een formaatspecifier, zoals `EPS:innocent.png`, om ImageMagick naar de gevaarlijke decoder te dwingen. De nieuwe code verwijdert en valideert deze voorvoegsels, terwijl valse positieven op Windows-schijfletters zorgvuldig worden vermeden. Dezelfde nauwkeurigheid wordt toegepast op bestandsnamen die via externe URL's of streams binnenkomen.

Exploitatie vereist toegang op auteur-niveau of hoger, dus dit is geen drive-by, niet-geauthenticeerde aanval. Het reële risico hangt echter sterk af van wie accounts bezit op een bepaalde site. Publicaties met meerdere auteurs, lidmaatschapsplatformen en klantensites met open of losjes beheerde toegang voor bijdragers lopen een aanzienlijk risico, aangezien elke auteur kan proberen een geprepareerd bestand te uploaden dat is vermomd als een afbeelding. Sites die beperkt zijn tot een klein, vertrouwd redactieteam hebben een relatief laag risico.

Volgens WordPress worden de fixes teruggeport via de 4.7-branch en naar de aankomende 7.1 RC3-release, hoewel alleen de nieuwste WordPress-versie volledige doorlopende ondersteuning ontvangt. Sitebeheerders moeten hun versie controleren en zonder vertraging updaten, vooral op sites waar uploadrechten verder reiken dan een vertrouwd kernteam.

Bron: WordPress

Er zijn twee kwetsbaarheden geïdentificeerd in de virtuele TPM (Trusted Platform Module) beveiligingschip die aanwezig is in AMD Ryzen processors. Deze lekken, die risico's van respectievelijk 8.3 en 8.5 uit 10 hebben, kunnen aanvallers in staat stellen om de chip uit te lezen of uit te schakelen. De TPM chip is een verplichte component voor iedere installatie van Windows 11.

De kwetsbaarheden zijn aangeduid als CVE-2026-6726 en CVE-2026-6727. Volgens AMD kunnen lokale aanvallers die reeds over verhoogde privileges beschikken, deze lekken misbruiken. Dit doen zij door schadelijke commando's te versturen naar de TPM 2.0-chips in specifieke Ryzen CPU's. Het betreft alle desktopprocessors binnen de Ryzen 3000- tot en met 9000-series.

Wanneer aanvallers erin slagen deze kwetsbaarheden uit te buiten, kunnen zij toegang krijgen tot gevoelige gegevens die in de TPM chip zijn opgeslagen. Hieronder vallen bijvoorbeeld private keys, die essentieel zijn voor de beveiliging van data. Daarnaast biedt de kwetsbaarheid de mogelijkheid om de beveiligingschip volledig uit te schakelen. Dit zou de functionaliteit van bepaalde beveiligingskenmerken, zoals BitLocker, kunnen ondermijnen of geheel buiten werking stellen.

AMD heeft het bestaan van deze kwetsbaarheden recentelijk publiek gemaakt, hoewel er de afgelopen maanden al intensief is samengewerkt met verschillende moederbordfabrikanten. Deze samenwerking heeft geresulteerd in de ontwikkeling en uitrol van BIOS updates, die de problemen moeten verhelpen. Gebruikers van getroffen systemen wordt geadviseerd om de beschikbare updates zo spoedig mogelijk te installeren.

Bron: AMD

Palo Alto Networks heeft op 12 augustus 2026 een beveiligingsbulletin uitgebracht met details over elf nieuwe kwetsbaarheden. Deze lekken treffen PAN-OS, de GlobalProtect-app, de agent van Prisma Access en de browser van Prisma, naast een maandelijkse update voor Chromium. De gedichte kwetsbaarheden omvatten informatielekken, lokale escalatie van privileges, buffer overflows, bypasses van certificaatvalidatie en anti-tamper beveiliging. De ernstscores variëren van een lage 1.1 tot een gematigde 7.2 op de CVSS-schaal, wat betekent dat geen van de nieuw gepubliceerde problemen als kritiek wordt beoordeeld. Beveiligingsteams die de kwetsbaarheden in PAN-OS monitoren, dienen de blootstelling van endpoints in bedrijfsomgevingen te evalueren.

De meest in het oog springende infrastructuurkwetsbaarheid is CVE-2026-0301, een informatielek met lage ernst (CVSS 1.7) in de URL Filtering-functionaliteit van PAN-OS. Dit lek treft Cloud NGFW en meerdere PAN-OS-releasebranches, waaronder 12.1, 11.2, 11.1 en 10.2, evenals implementaties van Prisma Access op AWS en Azure. Oplossingen zijn beschikbaar voor de getroffen PAN-OS 11.1- en 10.2-releases. Cloud NGFW en openbare cloud-instanties van Prisma Access zijn door Palo Alto Networks al hersteld. Organisaties dienen de specifieke releasetabellen te raadplegen voor updates van alle firewall managementinterfaces.

De GlobalProtect-app heeft deze maand zes fixes ontvangen. CVE-2026-0299 (CVSS 5.9) adresseert lokale privilege-escalatielekken in GlobalProtect 6.3, 6.2 en 6.0 op Linux, macOS en Windows; mobiele versies blijven onaangetast. CVE-2026-0298 (CVSS 5.2) verhelpt een kwetsbaarheid voor code-uitvoering in de Windows Pre-Logon Access Provider (PLAP)-component. CVE-2026-0297 (CVSS 5.2) dicht een buffer overflow geactiveerd tijdens het UDP-tunnel handshake proces, wat iOS, Android en Chrome OS-versies vóór 6.3.5 treft. CVE-2026-0296 (CVSS 4.5) mitigeert een onjuiste certificaatvalidatie-bypass die desktopclients treft. CVE-2026-0295 (CVSS 4.1) verhelpt een race condition die leidt tot lokale privilege-escalatie op macOS-endpoints. Patches voor GlobalProtect-app-lekken op de 6.0-branch hebben een geschatte beschikbaarheidsdatum van 31 augustus 2026, wat aangeeft dat herstelwerkzaamheden voor oudere clients nog gaande zijn.

De agent van Prisma Access was onderhevig aan vier beveiligingslekken. CVE-2026-0294 (CVSS 6.0) is een kwetsbaarheid voor lokale privilege-escalatie die Windows en macOS treft, met een verwachte fix op 20 augustus. CVE-2026-0293 (CVSS 5.6) betreft een bypass van anti-tamper bescherming op Windows, eveneens met een verwachte fix op 20 augustus. CVE-2026-0292 (CVSS 2.1) is een bypass van lokale beveiligingsinspectie op Windows, met dezelfde tijdslijn van 20 augustus. CVE-2026-0291 (CVSS 1.1) is een geauthenticeerd bestandswislek op Linux, reeds gepatcht in versie 26.2.2.

Afzonderlijk heeft Palo Alto Networks advies PAN-SA-2026-0011 uitgegeven, dat Chromium-kwetsbaarheden in Prisma Browser-builds vóór 148.18.4.217 behandelt. Met een CVSS-score van 7.2 is dit de hoogste risicoscore in de updatecyclus van augustus. Organisaties die de browser van Prisma gebruiken, moeten prioriteit geven aan het updaten naar versie 150.49.8.187 of later. Hoewel geen van de kwetsbaarheden momenteel actief wordt misbruikt, onderstreept het aantal fixes voor GlobalProtect en de agent van Prisma Access de blootstelling van endpoints. Beheerders moeten prioriteit geven aan het updaten van naar internet gerichte managementinterfaces van PAN-OS en URL-filteringbeleid, gevolgd door desktop VPN-clients op Windows en macOS, waar kwetsbaarheden voor privilege-escalatie samenkomen.

Bron: Palo Alto Networks

Adobe heeft met spoed beveiligingsupdates uitgebracht voor ColdFusion 2025 en ColdFusion 2023. Deze updates zijn cruciaal en adresseren meerdere kwetsbaarheden die aanvallers in staat zouden kunnen stellen om willekeurige code uit te voeren, beveiligingscontroles te omzeilen, privileges te escaleren, gevoelig geheugen bloot te stellen of de beschikbaarheid van applicaties te verstoren. Gezien de potentiële impact op de webinfrastructuur van bedrijven, heeft Adobe deze updatecyclus als urgent bestempeld.

De meest alarmerende kwetsbaarheid die in deze reeks is opgelost, is CVE-2026-48362, een niet-geauthenticeerde OS command injection kwetsbaarheid met een maximale CVSS-score van 10.0. Deze kwetsbaarheid stelt externe, niet-geauthenticeerde aanvallers in staat om zonder enige gebruikersinteractie willekeurige besturingssysteemcommando's uit te voeren op kwetsbare ColdFusion-servers. Op servers die rechtstreeks via het internet toegankelijk zijn, biedt dit aanvallers een directe route naar volledige controle over de host.

Naast de command injection kwetsbaarheid heeft Adobe ook CVE-2026-48273 opgelost, een eval injection kwetsbaarheid met een CVSS-score van 9.9. Hoewel het exploiteren van deze bug lage privileges vereist, zou een geauthenticeerde gebruiker deze kunnen misbruiken om willekeurige code uit te voeren. Een andere kritieke fix betreft CVE-2026-48440, een heap-based buffer overflow met een CVSS-score van 8.1, die aanvullende uitvoeringsvectoren opent. Het aanpakken van deze kritieke kwetsbaarheden is essentieel om hostcompromittering van publieke webdiensten te voorkomen.

De update lost ook diverse autorisatie- en toegangscontrolefouten op, waaronder CVE-2026-71384 (CVSS 9.6) en CVE-2026-71387 (CVSS 8.8), die kunnen leiden tot denial-of-service van applicaties, privilege-escalatie en willekeurige code-uitvoering. Andere autorisatiefixes omvatten CVE-2026-71385, CVE-2026-25652 en CVE-2026-71383. Zoals gedetailleerd in Adobe Security Bulletin APSB26-90, heeft Adobe updates uitgebracht voor alle ondersteunde ColdFusion-platforms om deze kwetsbaarheden te verhelpen. De release mitigeert ook CVE-2026-71386 (CVSS 8.8), een cross-site scripting (XSS) kwetsbaarheid die code-uitvoering kan activeren bij gebruikersinteractie.

Aanvullende fixes pakken systemische cryptografische risico's en inputvalidatierisico's aan:

*   Hard-Coded Cryptographic Key (CVE-2026-34635): Verhelpt tekortkomingen in sleutelbeheer die de gegevensbescherming in gevaar kunnen brengen.

*   Risky Cryptographic Algorithm (CVE-2026-48386): Lost algoritmezwaktes op die gevoelig systeemgeheugen blootstellen.

*   Improper Input Validation (CVE-2026-21279): Bindt input bounds checks om onverwachte uitvoeringsstatussen te voorkomen.

Het verhelpen van deze kwetsbaarheden voor willekeurige code-uitvoering voorkomt dat dreigingsactoren door bedrijfsapplicaties kunnen pivoteren. Adobe meldt dat er nog geen actieve exploitatie van deze ColdFusion-kwetsbaarheden in het wild is waargenomen. Gezien de aanwezigheid van niet-geauthenticeerde RCE-primitieven, moeten beheerders het toepassen van de Adobe beveiligingsupdates echter niet uitstellen.

Aanbevolen mitigatiemaatregelen omvatten:

*   Softwarepatches toepassen: Upgrade ColdFusion 2025 naar versie 2025.0.12 en ColdFusion 2023 naar versie 2023.0.23.

*   Administratieve portals beperken: Zorg ervoor dat de administratieve interfaces van ColdFusion zijn geïsoleerd van directe publieke internetblootstelling.

*   Serverlogs controleren: Inspecteer uitvoerings- en weblogs op afwijkende OS-commando's, ongebruikelijke processtarts of ongeautoriseerde authenticatiepatronen.

Bron: Adobe

Cisco heeft een belangrijke kwetsbaarheid verholpen die impact heeft op de beveiliging van zijn Secure Firewall ASA en FTD software. Deze kwetsbaarheid is specifiek geïdentificeerd binnen de heap inspection functionaliteit, welke deel uitmaakt van de Remote Access SSL VPN-service. De kwetsbaarheid treft netwerkbeveiligingsapparaten die worden ingezet voor het faciliteren van veilige externe toegang.

De onderliggende oorzaak van deze kwetsbaarheid is gelegen in een onvoldoende foutcontrole die optreedt tijdens de verwerking van HTTP-verzoeken door de software. Deze tekortkoming stelt een niet-geauthentiseerde externe aanvaller in staat om de kwetsbaarheid te exploiteren. Door het versturen van speciaal opgemaakte HTTP-verzoeken naar de getroffen apparaten, kan de aanvaller de werking van de systemen beïnvloeden en een onverwachte herstart initiëren.

Het directe gevolg van een succesvolle exploitatie van deze kwetsbaarheid is een onverwachte herstart van de getroffen Cisco Secure Firewall-apparaten. Deze onverwachte herstart resulteert in een Denial-of-Service (DoS). Een Denial-of-Service houdt in dat de normale werking van de netwerkbeveiligingsapparaten wordt onderbroken, waardoor de beschikbaarheid van de getroffen systemen tijdelijk wordt belemmerd en de toegang tot externe diensten wordt verstoord.

De kwetsbaarheid treft specifiek netwerkbeveiligingsapparaten die zijn geconfigureerd en gebruikt worden voor veilige externe toegang. Cisco heeft deze kwetsbaarheid in de Secure Firewall ASA en FTD software verholpen door middel van een fix. Deze fix is gericht op het adresseren van de onvoldoende foutcontrole tijdens de verwerking van HTTP-verzoeken, die eerder leidde tot de mogelijkheid van een Denial-of-Service door een niet-geauthentiseerde externe aanvaller.

Bron: NCSC

Google heeft officieel Chrome 151 uitgebracht naar het Stable-kanaal, waarmee vijf kritieke beveiligingslekken zijn gedicht. Deze kwetsbaarheden, allen van het type 'use-after-free' (UAF), beïnvloeden cruciale onderdelen van de webbrowser, waaronder de V8 JavaScript-engine, de Blink rendering-engine, het Chrome Extensions-framework, de HTML-verwerkingslaag en de TabStrip-gebruikersinterface.

De update wordt momenteel uitgerold als versie 151.0.7922.137/.138 voor Windows en macOS, terwijl Linux-systemen versie 151.0.7922.137 ontvangen. Google heeft aangegeven dat de update de komende dagen en weken wereldwijd alle gebruikers zal bereiken.

Alle vijf de kwetsbaarheden die in Chrome 151 zijn aangepakt, behoren tot de use-after-free geheugenveiligheidsklasse. Dit type kwetsbaarheid ontstaat wanneer software toegang blijft krijgen tot geheugen dat al is vrijgegeven. In webbrowsers kunnen aanvallers proberen deze kwetsbaarheden te activeren met behulp van kwaadaardig ontworpen webscripts, HTML-elementen of interacties met extensies. Afhankelijk van het beoogde subsysteem en de exploitomgeving kan succesvolle exploitatie leiden tot browsercrashes, openbaarmaking van gevoelige informatie of het uitvoeren van willekeurige code.

De meest opvallende kwetsbaarheid die in deze cyclus is opgelost, is CVE-2026-19556, een UAF-fout met hoge ernst in V8, de open-source JavaScript- en WebAssembly-engine van Chrome. Deze kwetsbaarheid werd ontdekt door onderzoeksstagiair Jihyeon Jeong van Compsec Lab aan de Seoul National University, waarvoor Google een bug bounty van 500 dollar toekende. Omdat V8 web-geleverde JavaScript-code verwerkt, blijven kwetsbaarheden in de V8-engine een primair doelwit voor browser-exploits.

De update verhelpt ook CVE-2026-19560 in de Blink rendering-engine, gemeld door Huynh Dinh Vu / WinD39, en CVE-2026-19558 in de Chrome Extensions API, gemeld door @bean5oup. Extensie-API's en rendering-engines hebben uitgebreide permissies om te interageren met webinhoud, waardoor geheugenveiligheid in deze lagen cruciaal is om te voorkomen dat Chrome RCE-kwetsbaarheden (Remote Code Execution) productiesystemen bereiken.

Twee aanvullende interne bevindingen, CVE-2026-19557 in de TabStrip UI en CVE-2026-19559 in HTML-parsing, tonen aan dat geheugenveiligheidsrisico's zowel front-end gebruikersinterfacecomponenten als kern webparsers omvatten. In lijn met het standaard beveiligingsprotocol heeft Google technische details en publieke proof-of-concept (PoC) informatie voor alle vijf de bugs beperkt. Details blijven beperkt totdat een meerderheid van de actieve gebruikers is bijgewerkt naar Chrome 151, om het risico te minimaliseren dat dreigingsactoren patchinformatie bewapenen tegen onbeveiligde systemen. Google bedankte zijn beveiligingsonderzoekers en benadrukte het vertrouwen op geautomatiseerde fuzzing en defensieve geheugentesttechnologieën tijdens de ontwikkeling.

Gebruikers van desktopsystemen wordt geadviseerd om naar Help > Over Google Chrome te navigeren om de automatische download van versie 151.0.7922.137/.138 te starten en de browser opnieuw op te starten. Enterprise-beheerders dienen te verifiëren dat beheerde Windows-, macOS- en Linux-systemen Chrome 151 ontvangen via hun software-implementatie- en patchmanagementplatforms.

Bron: Google Chrome Releases Blog

Zoom heeft recentelijk meerdere kwetsbaarheden aangepakt in zijn Zoom Clients en Zoom VDI Client software. Deze beveiligingslekken kunnen, afhankelijk van de aard van de kwetsbaarheid, leiden tot de uitvoering van willekeurige code op apparaten van deelnemers of tot verstoring van de dienstverlening.

In de annotator functie van de reguliere Zoom Clients zijn diverse problemen vastgesteld. Eén van deze kwetsbaarheden betreft een ontbrekende bounds check, wat kan resulteren in een buffer overwrite. Dit stelt een externe deelnemer met netwerktoegang in staat om mogelijk willekeurige code uit te voeren op het systeem van een andere deelnemer tijdens een vergadering. Een tweede kwetsbaarheid in dezelfde annotator functie is een buffer over-read, die een denial-of-service (DoS) kan veroorzaken. Dit kan leiden tot onverwachte crashes of onderbrekingen van de dienst tijdens actieve vergaderingen, waardoor de beschikbaarheid van de communicatie wordt beïnvloed.

Verder is er in de annotator functie van de Zoom Clients een use-after-free kwetsbaarheid ontdekt. Net als bij de buffer overwrite, kan ook deze kwetsbaarheid door een externe deelnemer via netwerktoegang worden misbruikt om willekeurige code op afstand uit te voeren op het apparaat van een andere vergaderdeelnemer.

Naast de kwetsbaarheden in de standaard Zoom Clients, zijn er ook problemen geïdentificeerd in de Zoom VDI Client en de bijbehorende plugins. Hier betreft het een path traversal kwetsbaarheid, die ontstaat door een onjuiste validatie van bestandsroutes. Een geauthenticeerde gebruiker met lokale toegang kan dit lek misbruiken. Door de gebrekkige validatie is het mogelijk om toegang te krijgen tot bestanden buiten de bedoelde directorystructuur, wat kan resulteren in ongeautoriseerde toegang tot gevoelige gegevens op het systeem. Organisaties en individuele gebruikers worden geadviseerd de noodzakelijke updates zo spoedig mogelijk te installeren om deze risico's te mitigeren.

Bron: NCSC

Adobe heeft recentelijk een reeks beveiligingslekken in zijn Adobe Commerce-platform aangepakt. Deze kwetsbaarheden, die voornamelijk betrekking hadden op incorrecte autorisatieprocessen, creëerden serieuze risico's voor de integriteit en veiligheid van systemen die gebruikmaken van deze e-commerce oplossing. Door de gebrekkige autorisatie konden aanvallers, zelfs met verschillende niveaus van privileges, de bestaande beveiligingscontroles van het platform omzeilen. Dit opende de deur voor kwaadwillenden om zonder enige interactie van gebruikers ongeautoriseerde lees- en schrijfrechten te verkrijgen.

De exploitatie van deze tekortkomingen maakte het mogelijk voor aanvallers om toegang te krijgen tot gevoelige data die op het platform is opgeslagen. Bovendien konden zij hun privileges binnen het systeem escaleren, wat hen in staat stelde om verdergaande acties uit te voeren dan oorspronkelijk toegestaan was. Dit kan leiden tot een aanzienlijke compromittering van het getroffen systeem en de gegevens die het beheert, met potentieel ernstige gevolgen voor de bedrijfsvoering en privacy.

Naast de autorisatieproblemen is er ook een opgeslagen Cross-Site Scripting (XSS) kwetsbaarheid gevonden. Deze specifieke XSS-variant stelt aanvallers met een laag privilege in staat om kwaadaardige JavaScript code te injecteren in diverse velden van formulieren binnen Adobe Commerce. Zodra een legitieme gebruiker deze geïnfecteerde pagina bezoekt, wordt de kwaadaardige code automatisch uitgevoerd in de browser van het slachtoffer. De gevolgen hiervan kunnen ernstig zijn, waaronder het kapen van sessies, waardoor aanvallers de controle over een gebruikerssessie kunnen overnemen zonder de inloggegevens te kennen. Ook kan het leiden tot ongeautoriseerde toegang tot gebruikersaccounts, wat verder misbruik mogelijk maakt.

De cumulatieve impact van deze verholpen kwetsbaarheden omvat potentiële wijzigingen in de integriteit van het Adobe Commerce platform, ongeautoriseerde toegang tot essentiële bronnen en een mogelijke verstoring van de beschikbaarheid van de dienst. Het is van cruciaal belang dat beheerders van Adobe Commerce-installaties de door Adobe uitgebrachte patches en updates zo snel mogelijk implementeren om hun systemen te beveiligen tegen potentiële aanvallen die misbruik maken van deze voorheen aanwezige zwakheden en om de continuïteit en veiligheid van hun e-commerce activiteiten te waarborgen.

Bron: NCSC

Fortinet heeft een kritieke kwetsbaarheid (CVE-2026-26035) ontdekt in zijn FortiWeb webapplicatie firewalls. De kwetsbaarheid, geclassificeerd als een Improper Authentication (CWE-287), heeft een CVSSv3-score van 8.8 en wordt beschouwd als 'High' in ernst. Het lek kan een externe, niet-geauthenticeerde aanvaller in staat stellen om in te loggen op de beheerinterface van FortiWeb met een willekeurige gebruikersnaam en wachtwoord.

Deze kwetsbaarheid doet zich voor wanneer de externe RADIUS type administrator-authenticatie is geconfigureerd met specifieke, niet-standaardinstellingen, met name wanneer de wildcard-optie voor beheerders is ingeschakeld. Dit maakt een gebroken toegangscontrole mogelijk, waardoor ongeautoriseerde toegang tot het systeem kan worden verkregen.

De volgende FortiWeb-versies zijn getroffen:

*   FortiWeb 8.0: versies 8.0.0 tot en met 8.0.2. Gebruikers wordt geadviseerd te upgraden naar versie 8.0.3 of hoger.

*   FortiWeb 7.6: versies 7.6.0 tot en met 7.6.6. Een upgrade naar versie 7.6.7 of hoger is vereist.

*   FortiWeb 7.4: versies 7.4.0 tot en met 7.4.11. Deze moeten worden geüpgraded naar versie 7.4.12 of hoger.

*   FortiWeb 7.2: versies 7.2.0 tot en met 7.2.12. Upgraden naar versie 7.2.13 of hoger is de oplossing.

Als een directe upgrade niet mogelijk is, biedt Fortinet een tijdelijke oplossing. Beheerders kunnen de wildcard-optie uitschakelen voor de betreffende administratoraccounts. Dit kan via de grafische gebruikersinterface (GUI) door te navigeren naar 'System > Administrators', het externe administratoraccount met de ingeschakelde wildcard-optie te bewerken en deze optie uit te schakelen. Via de command-line interface (CLI) kan dit worden gedaan met de commando's `config system admin`, `edit <naam_admin>`, `set wildcard disable`, `next` en `end`.

De kwetsbaarheid is intern ontdekt als onderdeel van een audit van Fortinet en is op 12 augustus 2026 voor het eerst gepubliceerd. Er zijn momenteel geen aanwijzingen dat deze kwetsbaarheid actief wordt misbruikt.

Bron: Fortinet

Fortinet heeft een kwetsbaarheid (CVE-2026-70466) geïdentificeerd in zijn FortiWeb Web Application Firewall (WAF) producten, die het voor een onbevoegde aanvaller mogelijk maakt om beveiligingsbeleid te omzeilen. De kwetsbaarheid, met een CVSSv3-score van 4.8 (Medium), betreft een onvolledige lijst van niet-toegestane invoer (CWE-184) in de WAF, waardoor specifiek opgestelde verzoeken door de verdediging kunnen glippen. De impact van deze kwetsbaarheid wordt beschreven als onjuiste toegangscontrole.

De kwetsbaarheid bevindt zich in de grafische gebruikersinterface (GUI) van FortiWeb en kan worden misbruikt zonder authenticatie. Hoewel de kwetsbaarheid extern is ontdekt, is er op dit moment geen indicatie dat deze actief wordt uitgebuit.

Organisaties die gebruikmaken van FortiWeb dienen de volgende versies te controleren en waar nodig te updaten:

*   FortiWeb 8.0: Versies van 8.0.0 tot en met 8.0.2 zijn kwetsbaar. Gebruikers moeten upgraden naar versie 8.0.3 of hoger.

*   FortiWeb 7.6: Versies van 7.6.0 tot en met 7.6.5 zijn kwetsbaar. Gebruikers moeten upgraden naar versie 7.6.6 of hoger.

*   FortiWeb 7.4: Alle versies van 7.4 zijn kwetsbaar. Gebruikers moeten migreren naar een vaste release.

*   FortiWeb 7.2: Alle versies van 7.2 zijn kwetsbaar. Gebruikers moeten migreren naar een vaste release.

Voor de getroffen systemen is ook een virtuele patch beschikbaar onder de naam "FG-VD-10009598.0day", die opgenomen is in de FMWP database-update 26.071.

Fortinet bedankt Rui Xi (@Cycloctane) van Beijing University of Posts and Telecommunications voor het rapporteren van deze kwetsbaarheid via een verantwoorde openbaarmaking. De initiële publicatie van deze informatie vond plaats op 12 augustus 2026. Het interne referentienummer voor dit incident is FG-IR-26-157.

Bron: Fortinet

Fortinet heeft een beveiligingsadvies uitgebracht voor een kwetsbaarheid in FortiManager en FortiManager Cloud, aangeduid als CVE-2026-70468. Deze kwetsbaarheid, geclassificeerd als een authenticatiebypass door middel van een alternatief pad of kanaal (CWE-288), heeft een CVSSv3-score van 7.3 (Hoog) en kan een aanzienlijke impact hebben op de beveiliging van beheerde FortiGate-apparaten. De zwakheid werd intern ontdekt en is van het type "Unauthenticated Attack". Er zijn geen aanwijzingen dat deze kwetsbaarheid al actief wordt misbruikt.

De kwetsbaarheid stelt een externe, niet-geauthenticeerde aanvaller in staat om zich voor te doen als een FortiGate-apparaat dat wordt beheerd door de FortiManager. Dit is mogelijk wanneer de aanvaller over een geldig certificaat beschikt en een specifieke CLI-optie op de FortiManager is ingeschakeld. Door het versturen van specifiek opgestelde FGFM-verzoeken kan de aanvaller ongeautoriseerde toegang verkrijgen. De impact van deze kwetsbaarheid wordt omschreven als "Improper access control".

Fortinet heeft de volgende versies van FortiManager en FortiManager Cloud geïdentificeerd als kwetsbaar en heeft oplossingen beschikbaar gesteld:

*   FortiManager 7.6.1: Gebruikers dienen te upgraden naar versie 7.6.2 of hoger.

*   FortiManager 7.4.3 tot en met 7.4.5: Gebruikers dienen te upgraden naar versie 7.4.6 of hoger.

*   FortiManager 7.2.5 tot en met 7.2.9: Gebruikers dienen te upgraden naar versie 7.2.10 of hoger.

*   FortiManager Cloud 7.6.1: Gebruikers dienen te upgraden naar versie 7.6.2 of hoger.

*   FortiManager Cloud 7.4.3 tot en met 7.4.5: Gebruikers dienen te upgraden naar versie 7.4.6 of hoger.

*   FortiManager Cloud 7.2.5 tot en met 7.2.9: Gebruikers dienen te upgraden naar versie 7.2.10 of hoger.

FortiManager versie 8.0 is niet kwetsbaar voor dit probleem.

Als tijdelijke oplossing adviseert Fortinet om de `fgfm-peercert-withoutsn` optie uit te schakelen via de Command Line Interface (CLI). Dit kan worden gedaan met de volgende commando's: `config system global`, gevolgd door `set fgfm-peercert-withoutsn disable` en afgesloten met `end`. Deze maatregel helpt de kwetsbaarheid te mitigeren totdat een volledige upgrade kan worden uitgevoerd. De initiële publicatie van dit beveiligingsadvies vond plaats op 12 augustus 2026.

Bron: Fortinet

Fortinet heeft een waarschuwing uitgegeven betreffende een denial of service (DoS) kwetsbaarheid, aangeduid met CVE-2026-49975, die impact heeft op de Apache HTTP Server en verschillende Fortinet-producten die deze component gebruiken. De kwetsbaarheid, bekend als een 'HTTP/2 Bomb', bevindt zich in de `mod_http`-module van de Apache HTTP Server en maakt misbruik van een fout in geheugentoewijzing met een excessieve grootte. Malafide HTTP-verzoeken kunnen leiden tot een denial of service, waardoor getroffen systemen onbereikbaar worden.

De kwetsbaarheid, die een CVSSv3 score van 5.8 (Medium) heeft, kan worden uitgebuit zonder authenticatie. Er zijn momenteel geen meldingen dat deze kwetsbaarheid actief wordt misbruikt. De getroffen versies van de Apache HTTP Server variëren van 2.4.17 tot en met 2.4.67.

Fortinet's Product Security Incident Response Team (PSIRT) heeft bevestigd dat diverse Fortinet-producten kwetsbaar zijn. Het betreft hier met name:

*   FortiPAM: Versies 1.0 tot en met 1.9 (specifiek 1.9.0 tot 1.9.1, en alle subversies van 1.8, 1.7, 1.6, 1.5, 1.4, 1.3, 1.2, 1.1 en 1.0).

*   FortiProxy: Versies 7.2 tot en met 7.6 (specifiek 7.6.0 tot 7.6.6, 7.4.0 tot 7.4.14, en alle subversies van 7.2).

*   FortiSwitchManager: Versies 7.2.0 tot en met 7.2.9.

Voor de getroffen producten heeft Fortinet specifieke mitigatiemaatregelen en oplossingen aangekondigd. Gebruikers van FortiPAM 1.9 worden geadviseerd te upgraden naar de aankomende versie 1.9.2 of hoger. Voor alle andere FortiPAM-versies (1.0 tot 1.8) is de aanbeveling om te migreren naar een vaste release. FortiProxy-gebruikers dienen te upgraden naar de aankomende versie 7.6.7 of hoger voor versie 7.6, en 7.4.15 of hoger voor versie 7.4. Voor FortiProxy 7.2 geldt een migratieadvies naar een vaste release. FortiSwitchManager-gebruikers moeten upgraden naar de aankomende versie 7.2.10 of hoger.

Fortinet PSIRT onderzoekt nog de impact van deze CVE op andere producten, waaronder FortiOS, FortiSASE en FortiPresence. Producten die bevestigd niet kwetsbaar zijn voor CVE-2026-49975 omvatten FortiDDoS, FortiADC, FortiWebManager en FortiSOAR. De initiële publicatie van deze waarschuwing vond plaats op 12 augustus 2026.

Bron: Fortinet

Fortinet heeft een beveiligingsadvies uitgebracht met betrekking tot een Server-Side Request Forgery (SSRF) kwetsbaarheid, aangeduid als CWE-918, in de grafische gebruikersinterface (GUI) van FortiSIEM. Deze kwetsbaarheid, met CVE-ID CVE-2026-70467, heeft een lage ernstscore van 3.4 op de CVSSv3 schaal. Een geauthenticeerde aanvaller kan misbruik maken van dit lek door middel van speciaal vervaardigde HTTP requests, waardoor het mogelijk wordt om HTTP requests te versturen die afkomstig lijken te zijn van het kwetsbare apparaat. De potentiële impact van deze kwetsbaarheid omvat het uitvoeren van ongeautoriseerde code of commando's.

De kwetsbaarheid is ontdekt en op verantwoorde wijze gerapporteerd door de externe onderzoeker khalooda0x, ook bekend als Khaled ibn Al-Walid. De initiële publicatie van het beveiligingsadvies vond plaats op 12 augustus 2026, onder IR-nummer FG-IR-26-159. Het betreft een aanvalstype dat authenticatie vereist en er zijn geen aanwijzingen dat deze kwetsbaarheid momenteel actief wordt misbruikt.

Fortinet heeft de volgende oplossingen en mitigatiestappen geadviseerd voor de getroffen FortiSIEM versies:

*   Voor FortiSIEM versie 7.5.0 wordt geadviseerd te upgraden naar versie 7.5.1 of hoger.

*   Gebruikers van FortiSIEM versies 7.4.0 tot en met 7.4.2 dienen te upgraden naar de aankomende versie 7.4.3 of hoger.

*   Voor FortiSIEM versies 7.3.0 tot en met 7.3.5 geldt het advies om te upgraden naar de aankomende versie 7.3.6 of hoger.

*   Alle versies van FortiSIEM 7.2, 7.1, 7.0, 6.7, 6.6 en 6.5 moeten migreren naar een gefixte release.

Organisaties die gebruikmaken van FortiSIEM worden dringend geadviseerd de aanbevolen upgrades of migraties uit te voeren om hun systemen te beveiligen tegen potentiële aanvallen die deze kwetsbaarheid misbruiken.

Bron: Fortinet

Fortinet heeft een beveiligingsadvies uitgebracht betreffende een kwetsbaarheid (CVE-2026-71407) in FortiOS explicit proxy. Deze kwetsbaarheid, geclassificeerd als een "Stack-based Buffer Overflow" (CWE-121), heeft een CVSSv3-score van 5.1, wat duidt op een gemiddelde ernst. Het lek kan potentieel leiden tot de uitvoering van willekeurige code of commando's.

De kwetsbaarheid bevindt zich specifiek in de WAD daemon van FortiOS explicit proxy. Een ongeauthenticeerde aanvaller kan misbruik maken van dit lek door middel van zorgvuldig opgestelde sockets. Dit is echter alleen mogelijk indien de explicit proxy is geconfigureerd met zowel authenticatie via Kerberos als een ingeschakelde SOCKS proxy. Om de aanval succesvol uit te voeren, moet de aanvaller in staat zijn om stack protection en Address Space Layout Randomization (ASLR) te omzeilen. Indien dit lukt, kan de aanvaller commando's uitvoeren in de context van de WAD daemon.

De getroffen versies van FortiOS zijn 7.6.1 tot en met 7.6.6. Versies 8.0, 7.4 en 7.2 zijn niet kwetsbaar voor dit specifieke probleem. Fortinet adviseert gebruikers van de getroffen versies om te upgraden naar FortiOS 7.6.7 of hoger. Een upgrade tool is beschikbaar via de documentatie van Fortinet om het aanbevolen pad te volgen.

Als alternatieve mitigatiemaatregelen kunnen beheerders de SOCKS proxy uitschakelen met behulp van het commando `config web-proxy explicit set socks disable end`. Een andere optie is het aanpassen van het authenticatieschema voor de SOCKS proxy, zodat er geen gebruik wordt gemaakt van authenticatie via Kerberos in de `config authentication rule` en `config authentication scheme` instellingen.

Fortinet heeft tevens een virtuele patch met de naam "FG-VD-10009617.0day" beschikbaar gesteld, die is opgenomen in de FMWP database update 26.073. Het UK's National Cyber Security Centre (NCSC) wordt bedankt voor het verantwoordelijk melden van deze kwetsbaarheid. De eerste publicatie van dit beveiligingsadvies vond plaats op 12 augustus 2026.

Bron: Fortinet

Fortinet heeft een kwetsbaarheid (CVE-2026-71408) in FortiOS bekendgemaakt die het mogelijk maakt voor een niet-geauthenticeerde aanvaller om een slow HTTP denial of service (DoS) aanval uit te voeren op de webinterface. Deze kwetsbaarheid, geclassificeerd als een "Allocation of Resources Without Limits or Throttling" (CWE-770), heeft een CVSSv3 score van 5.0, wat duidt op een gemiddelde ernst. De kwetsbaarheid werd gerapporteerd door Iván Domínguez van Zerolynx via verantwoorde openbaarmaking.

De kwetsbaarheid bevindt zich specifiek in de grafische gebruikersinterface (GUI) van FortiOS en stelt aanvallers in staat om via specifiek opgestelde HTTP-verzoeken de webinterface te overbelasten, wat resulteert in een DoS-situatie. Hoewel de kwetsbaarheid extern is ontdekt, zijn er op dit moment geen aanwijzingen dat deze actief wordt misbruikt.

Verschillende versies van FortiOS zijn getroffen. Gebruikers van FortiOS 7.6, specifiek de versies 7.6.0 tot en met 7.6.6, wordt geadviseerd om te upgraden naar versie 7.6.7 of hoger. Voor FortiOS 7.4 en 7.2 zijn alle versies kwetsbaar; gebruikers van deze reeksen moeten migreren naar een vaste release. FortiOS 8.0 is niet getroffen door dit specifieke probleem.

Als tijdelijke mitigatiemaatregel wordt aanbevolen om beheerdersaanmeldingen te beperken tot uitsluitend vertrouwde hosts. Dit vermindert het aantal potentiële aanvalsbronnen. Daarnaast is het raadzaam om de GUI-toegang uit te schakelen op interfaces die direct met het internet verbonden zijn.

Vanaf FortiOS versie 7.6.7 en 8.0.0 zijn er nieuwe configuratieopties beschikbaar gesteld om de timeout-drempels voor het ontvangen van complete HTTP-headers en -bodies in te stellen. Beheerders kunnen hiervoor de commando's `set admin-http-request-header-timeout`, `set admin-http-request-body-timeout`, en `set admin-http-unauthenticated-request-body-timeout` gebruiken binnen de `config system global` instellingen. Fortinet heeft tevens aangegeven dat deze kwetsbaarheid een regressie is van een eerder opgelost probleem, FG-IR-19-013.

Bron: Fortinet

Twee beveiligingspublicaties melden aanvallen op Microsoft SharePoint nadat openbare demonstratiecode beschikbaar kwam. De aanval omzeilt de aanmelding en richt zich op lokaal beheerde SharePoint omgevingen.

Beheerders moeten de actuele beveiligingsupdates van Microsoft toepassen en systemen controleren op aanwijzingen van ongeoorloofde toegang. De melding over actief misbruik is tegen twee onafhankelijke bronnen gecontroleerd.

Bron: Microsoft

Kort na de publieke openbaarmaking is een kritieke kwetsbaarheid (CVE-2026-71362) in Adobe Commerce, Commerce B2B en Magento Open Source actief aangevallen door kwaadwillenden. Deze kwetsbaarheid, met een CVSS-score van 9.1, stelt onauthenticeerde aanvallers in staat om klantsessies over te nemen, accounts te kapen en toegang te krijgen tot privédata.

Het cybersecuritybedrijf Sansec heeft de eerste exploitatiepogingen waargenomen en geblokkeerd, direct nadat Adobe zijn beveiligingsadvies publiceerde. De kwetsbaarheid beïnvloedt alle versies van Commerce, Commerce B2B en Magento Open Source die nog niet zijn bijgewerkt met de patches van juli 2026. Adobe heeft een geïsoleerde patch uitgebracht onder APSB26-92 en heeft gebruikers dringend geadviseerd deze toe te passen.

Volgens het advies van Sansec hebben aanvallers de mogelijkheid om een klantsessie te wisselen naar een ander klantaccount. Dit geeft hen volledige toegang tot het account van het slachtoffer en de bijbehorende privé klantgegevens. Sansec benadrukt dat de kwetsbaarheid kan worden uitgebuit zonder dat een aanvaller een bestaand account, beheerdersrechten of gebruikersinteractie nodig heeft.

Adobe heeft de manier waarop Magento de klantidentiteit in accountsessies verwerkt, gecorrigeerd om dit lek te dichten. Naast deze kritieke kwetsbaarheid zijn er in dezelfde update ook andere beveiligingsproblemen opgelost, waaronder opgeslagen cross-site scripting (XSS) en autorisatieproblemen. Organisaties die gebruikmaken van de getroffen Adobe Commerce-producten wordt aangeraden de beschikbare patches onmiddellijk te installeren om het risico op accountovername en datalekken te mitigeren.

Bron: Sansec

Meerdere kwetsbaarheden zijn ontdekt in GitLab Enterprise Edition (EE) en Community Edition (CE), zoals vermeld in een alert van 13 augustus 2026. Twee van de bekende kwetsbaarheden, CVE-2026-15216 en CVE-2026-15217, hebben een hoge CVSS-score tot 8.7. Installeer de beschikbare updates om misbruikrisico's te beperken.

GitLab is een softwareplatform dat teams helpt bij het beheren van broncode, het samenwerken aan projecten en het automatiseren van ontwikkelprocessen zoals testen en uitrollen.

De kwetsbaarheden kunnen op verschillende manieren worden misbruikt. Bij bepaalde kwetsbaarheden kunnen gebruikers met beperkte rechten toch toegang krijgen tot informatie of instellingen waarvoor ze geen toestemming hebben. Er zijn problemen met de controle op rechten, waardoor gebruikers ongeautoriseerd instellingen kunnen wijzigen of acties kunnen uitvoeren. Er is een mogelijkheid tot Denial-of-Service, waardoor het platform tijdelijk onbruikbaar kan worden. Cross-site scripting (XSS) kwetsbaarheden kunnen ervoor zorgen dat kwaadwillenden schadelijke code kunnen uitvoeren via het dashboard.

Deze kwetsbaarheden kunnen leiden tot ongeautoriseerde toegang, wijziging van gegevens, het verstoren van de werking van GitLab en het verhogen van gebruikersrechten. Als de nieuwste beveiligingsupdates niet worden geïnstalleerd, kunnen kwaadwillenden toegang krijgen tot vertrouwelijke informatie, instellingen aanpassen zonder toestemming, de werking van het platform verstoren of schadelijke code uitvoeren. Dit kan leiden tot datalekken, verlies van controle over projecten en verstoring van bedrijfsprocessen.

Versies 12.0 tot en met 19.2.2 van GitLab Enterprise Edition (EE) en Community Edition (CE) zijn kwetsbaar. GitLab heeft updates uitgebracht die deze kwetsbaarheden verhelpen. Wij adviseren om deze updates zo snel mogelijk te installeren. Als je niet zeker weet of je gebruikmaakt van een kwetsbare versie van GitLab, neem dan contact op met je IT-dienstverlener. Vraag hen de beschikbare updates uit te voeren en te controleren van je GitLab-omgeving. Meer informatie over de kwetsbaarheden en instructies voor het updaten zijn te vinden in de GitLab Patch Release 19.2.2.

Bron: GitLab

Een kritieke kwetsbaarheid in Microsoft SharePoint, geïdentificeerd als CVE-2026-55040, wordt actief misbruikt bij cyberaanvallen. Dit gebeurt kort nadat cybersecuritybedrijf Rapid7 de proof-of-concept (PoC) exploitcode voor dit lek openbaar maakte. De bewering van actieve exploitatie komt van it-beveiliger Defused, die opmerkte dat aanvallen al enkele uren na de publicatie van de exploitcode begonnen. Verdere specifieke details over deze aanvallen zijn echter niet bekendgemaakt.

De kwetsbaarheid, die onder andere door Rapid7 werd ontdekt en aan Microsoft gerapporteerd, stelt aanvallers in staat om toegang te krijgen tot bestanden en data aan te passen, waardoor authenticatie kan worden omzeild. Indien CVE-2026-55040 wordt gecombineerd met een andere kwetsbaarheid in SharePoint, zoals CVE-2026-63520, kan een ongeauthenticeerde aanvaller kwetsbare SharePoint-servers op afstand volledig overnemen. Dit onderstreept de ernst van het lek.

Microsoft heeft op 14 juli beveiligingsupdates uitgebracht om dit probleem aan te pakken. Desondanks publiceerde Rapid7 op dinsdag 11 augustus de technische details van de kwetsbaarheid en de bijbehorende PoC exploitcode, om het potentiële misbruik te demonstreren. De snelle inzet van deze exploitcode bij aanvallen benadrukt de snelheid waarmee cybercriminelen reageren op de openbaarmaking van kwetsbaarheidsinformatie.

Microsoft SharePoint is een veelgebruikt platform binnen organisaties voor diverse werkprocessen, zoals het delen van documenten en informatie en het opzetten van interne websites. Vanwege zijn wijdverspreide gebruik is SharePoint al jaren een frequent doelwit van cyberaanvallen. Het Amerikaanse cyberagentschap heeft momenteel 14 misbruikte kwetsbaarheden in SharePoint geregistreerd, waarvan de eerste twee op 3 november 2021 werden vastgelegd. De meest recente toevoeging aan deze lijst van actief misbruikte lekken vond plaats op 22 juli van dit jaar, wat de voortdurende dreiging voor SharePoint-gebruikers bevestigt. Organisaties worden dringend geadviseerd om de beschikbare beveiligingsupdates van Microsoft onmiddellijk toe te passen om hun systemen te beschermen tegen verdere exploitatie.

Bron: Rapid7

Microsoft heeft deze week beveiligingspatches uitgebracht om een zero-day kwetsbaarheid in Windows, bekend als "LegacyHive", aan te pakken. Deze kwetsbaarheid werd openbaar gemaakt na de Patch Tuesday van juli 2026. Een beveiligingsonderzoeker die het pseudoniem "Nightmare Eclipse" gebruikt, onthulde de kwetsbaarheid uit protest tegen de bugbounty- en kwetsbaarheidsdisclosure-praktijken van Microsoft.

Nightmare Eclipse publiceerde uren na het uitbrengen van de beveiligingsupdates van juli 2026 een proof-of-concept (PoC) exploit voor LegacyHive. De onderzoeker claimde dat deze een beveiligingslek in de Windows User Profile Service exploiteert. In tegenstelling tot eerdere exploits die Nightmare Eclipse heeft vrijgegeven, vereist de LegacyHive PoC echter aanvullende referenties, wat de wapenisering van de kwetsbaarheid door kwaadwillenden bemoeilijkt.

Een woordvoerder van Microsoft liet eerder weten op de hoogte te zijn van de gemelde kwetsbaarheid en de geldigheid en toepasbaarheid van de claims actief te onderzoeken. Kwetsbaarheidsanalist Will Dormann legde uit dat niet-admin gebruikers de exploit van Nightmare Eclipse kunnen gebruiken om de 'classes registry hive' aan te passen en automatisch code uit te voeren wanneer het admin-account inlogt op een gecompromitteerd systeem. Een dag na de publicatie van de PoC heeft cybersecurity-expert Kevin Beaumont tevens LegacyHive detectiequeries voor Microsoft Defender for Endpoint (MDE) gepubliceerd en bevestigd dat de exploit werkte.

De kwetsbaarheid is nu door Microsoft gepatcht als onderdeel van de augustus Patch Tuesday-updates en wordt gevolgd onder CVE-2026-62832. Microsoft heeft echter nog niet erkend dat Nightmare Eclipse de kwetsbaarheid heeft ontdekt, en heeft deze toegeschreven aan een anonieme onderzoeker. Het bedrijf stelt dat LegacyHive voortkomt uit onjuiste 'link resolution' (link following) vóór bestandstoegang in de Windows User Profile Service. Succesvolle exploitatie stelt lokale aanvallers in staat om administratorrechten te verkrijgen.

Volgens Microsoft kan een geauthenticeerde aanvaller met referenties voor een ander lokaal account een speciaal ontworpen applicatie uitvoeren om de registerhive van een andere gebruiker te laden. Succesvolle exploitatie kan de aanvaller toegang geven tot of wijzigingen laten aanbrengen in de gegevens van een andere gebruiker, en administratorrechten verschaffen. Er is geen gebruikersinteractie vereist voor de exploitatie.

ACROS Security, het bedrijf achter het 0Patch cybersecurityplatform, bracht op 20 juli al gratis onofficiële LegacyHive-patches uit voor systemen met Windows 10 2004 of later en Windows Server 2022 of later. Nightmare Eclipse heeft sinds april 2026 meerdere zero-day kwetsbaarheden openbaar gemaakt, waaronder ShieldBreak, RoguePlanet, YellowKey, BlueHammer, RedSun, GreenPlasma, MiniPlasma en UnDefend in Microsoft Defender, BitLocker en andere Windows-componenten. Microsoft heeft de YellowKey, GreenPlasma en MiniPlasma kwetsbaarheden gepatcht als onderdeel van de juni 2026 Patch Tuesday, en de RoguePlanet kwetsbaarheid in juli. De overige zero-days wachten nog op een officiële patch.

Bron: Microsoft

Fortinet heeft recentelijk een reeks patches uitgebracht voor diverse authenticatiegerelateerde kwetsbaarheden in de productlijnen van FortiWeb, FortiManager en FortiClient. Beheerders wordt met klem geadviseerd deze updates snel te installeren, gezien de gevoeligheid van de getroffen systemen.

De meest kritieke kwetsbaarheid, aangeduid als CVE-2026-26035, bevindt zich in het loginmechanisme van FortiWeb. Deze kwetsbaarheid heeft een CVSS-score variërend van 8.8 tot 9.8, afhankelijk van de bron, wat de potentiële impact en het gemak van misbruik onder de verkeerde configuratie benadrukt. Volgens het advies van Fortinet betreft het een probleem met onjuiste authenticatie (CWE-287). Dit doet zich voor wanneer een FortiWeb-beheerdersaccount is geconfigureerd voor 'Remote RADIUS Type'-authenticatie met de 'wildcard'-instelling ingeschakeld. Onder deze niet-standaard configuratie kan het apparaat elke gebruikersnaam op de externe authenticatieserver matchen met een gedefinieerde beheerdersgroep. Dit stelt een externe, niet-geauthenticeerde aanvaller in staat om in te loggen op de FortiWeb GUI/CLI met een willekeurige gebruikersnaam en wachtwoord, waardoor administratieve controle over de webapplicatiefirewall kan worden verkregen zonder geldige inloggegevens.

De kwetsbaarheid treft een breed scala aan FortiWeb-versies: 8.0.0 tot en met 8.0.2, 7.6.0 tot en met 7.6.6, 7.4.0 tot en met 7.4.11, 7.2.0 tot en met 7.2.12, en de oudere 7.0.x-reeks. Fortinet heeft gecorrigeerde builds uitgebracht in FortiWeb 8.0.3, 7.6.7, 7.4.12 en 7.2.13. Organisaties die nog de legacy 7.0-reeks gebruiken, dienen contact op te nemen met de ondersteuning van Fortinet voor advies, aangezien er voor deze tak geen specifieke patch is benoemd. Waar directe patching niet mogelijk is, adviseert Fortinet als tijdelijke oplossing de 'wildcard'-instelling op 'Remote Type'-beheerdersaccounts uit te schakelen, hetzij via de GUI (System > Administrators) of via de CLI (door 'set wildcard disable' uit te voeren onder 'config system admin'). Ten tijde van de publicatie van het advies heeft Fortinet geen actieve exploitatie van dit probleem in het wild waargenomen, maar de lage complexiteit van de aanval betekent dat dit snel kan veranderen.

Een afzonderlijk, doch even zorgwekkend probleem is gepatcht in FortiManager, het gecentraliseerde platform dat veel bedrijven gebruiken om FortiGate firewalls te configureren en te monitoren. Deze kwetsbaarheid, aangeduid als CVE-2026-70468, is geclassificeerd als een authenticatiebypass via een alternatief pad of kanaal (CWE-288) en heeft een CVSS v3.1-score van 8.1. Het probleem ligt in een zwakte van het FGFM protocol dat FortiManager gebruikt voor communicatie met beheerde FortiGate-apparaten. Exploitatie vereist een specifieke CLI-configuratieoptie en een geldig certificaat. Indien aan deze voorwaarden wordt voldaan, kan een aanvaller zich voordoen als elk FortiGate-apparaat onder beheer van die FortiManager, met de mogelijkheid om firewallbeleid op grote schaal te manipuleren. Getroffen builds omvatten FortiManager en FortiManager Cloud 7.6.1, 7.4.3 tot en met 7.4.5, en 7.2.5 tot en met 7.2.9. Oplossingen zijn beschikbaar in versie 7.6.2, 7.4.6 en 7.2.10.

Tot slot heeft Fortinet een buffer overflow met hoge ernst in FortiClient voor Windows aangepakt, aangeduid als CVE-2026-70465. Deze klassieke bufferkopieerfout kan een niet-geauthenticeerde aanvaller, die in staat is om DNS-antwoorden te onderscheppen of te spoofen, willekeurige code uitvoeren op een gericht endpoint via speciaal vervaardigde netwerkpakketten. Dit probleem treft FortiClient Windows 7.4.0 tot en met 7.4.3 en 7.2.0 tot en met 7.2.11. Gezien de geschiedenis van Fortinet als terugkerend doelwit voor zowel opportunistische als door de staat gelinkte dreigingsactoren, dienen beveiligingsteams die FortiWeb, FortiManager of FortiClient gebruiken deze updates te behandelen als prioriteitspatches in plaats van routineonderhoud.

Bron: Fortinet

De fabrikant van hardware wallets Trezor heeft een datalek openbaar gemaakt dat bijna 14.000 van zijn klanten treft. Het incident is te wijten aan een hack bij ShipMonk, de externe verzend- en logistieke dienstverlener van Trezor. Tijdens de aanval kregen onbevoegden toegang tot klantordergegevens, waaronder volledige namen, verzendadressen, e-mailadressen en telefoonnummers.

Trezor legde in een blogpost op donderdag uit dat het datalek klanten betreft uit de Verenigde Staten, het Verenigd Koninkrijk, Zweden, Colombia, Brazilië, Italië en Portugal. Deze klanten hadden bestellingen ontvangen tussen 10 mei en 8 augustus 2026. Specifiek zijn 11.742 klanten volledig blootgesteld met naam, e-mail, telefoonnummer en verzendadres, en 1.947 klanten gedeeltelijk met naam, stad en e-mail.

Op 10 augustus 2026 werd Trezor door ShipMonk geïnformeerd over de ongeautoriseerde toegang tot hun systemen die klantgegevens bevatten. Trezor benadrukt dat hun eigen systemen niet zijn gecompromitteerd en dat alle Trezor-apparaten veilig zijn. Klanten die getroffen zijn, worden echter gewaarschuwd voor een mogelijke toename van phishingpogingen, aangezien de gelekte informatie door oplichters kan worden gebruikt om zich voor te doen als banken, crypto exchanges of zelfs Trezor zelf.

Hoewel Trezor geen details gaf over hoe de systemen van de verzendpartner werden gecompromitteerd, bleek uit notificatie-e-mails van ShipMonk aan gedupeerde klanten dat de aanvallers misbruik maakten van een kwetsbaarheid in het externe analyticsplatform Metabase. Metabase had ShipMonk op 6 augustus 2026 geïnformeerd dat een ongeautoriseerde partij een kwetsbaarheid in hun software had misbruikt om toegang te krijgen tot data gerelateerd aan accounts en klanten. Metabase heeft de kwetsbaarheid inmiddels gepatcht en alle actieve sessies ongeldig gemaakt. ShipMonk heeft een grondig technisch onderzoek ingesteld met hulp van externe IT-experts.

Eerdere berichtgeving beschreef een kritieke kwetsbaarheid voor SQL injectie in Metabase, waarmee aanvallers beheerdersrechten kregen en gegevens uit gecompromitteerde omgevingen konden stelen. Andere bedrijven die door deze Metabase-kwetsbaarheid werden getroffen, zijn laptopfabrikant Framework en online formulierenbouwer Tally. Daarnaast heeft de ShinyHunters afpersingsgroep naar verluidt afpersings-e-mails naar ShipMonk gestuurd.

Dit is niet de eerste keer dat Trezor te maken krijgt met een datalek. In januari 2024 werd een datalek gemeld via een extern support ticketing portal, waarbij persoonlijke gegevens van 66.000 gebruikers werden blootgesteld. Destijds gebruikten aanvallers de gestolen informatie voor phishingaanvallen om herstelzinnen (recovery seeds) van Trezor-wallets te bemachtigen. Ook Valve, de distributeur van videogames, heeft onlangs Steam hardware klanten in Europa geïnformeerd over een datalek via hun verzendpartner CEVA Logistics.

Bron: Trezor

Microsoft heeft beveiligingsupdates uitgebracht voor diverse kwetsbaarheden in Exchange Server die kunnen leiden tot denial-of-service, privilege-escalatie, remote code execution, spoofing en security feature bypass aanvallen. Deze kwetsbaarheden werden op 11 augustus 2026 onthuld als onderdeel van Microsofts maandelijkse Patch Tuesday release. De getroffen producten omvatten Exchange Server Subscription Edition, Exchange Server 2019 en Exchange Server 2016.

De meest kritieke kwestie is CVE-2026-62911, een ernstige privilege-escalatie kwetsbaarheid met een CVSS score van 8.0. Deze kwetsbaarheid, gekoppeld aan CWE-294 (authenticatie bypass door capture-replay), stelt een aanvaller met lage privileges in staat om via het netwerk misbruik te maken van het systeem. Dit kan gebeuren als de aanvaller een gebruiker kan overtuigen om interactie aan te gaan met een kwaadaardig verzoek of een kwaadaardige bron. Succesvolle exploitatie kan de aanvaller hogere rechten geven binnen de Exchange omgeving. Beveiligingsonderzoekers hebben CVE-2026-62911 als een grote zorg gemarkeerd, mede doordat deze werd gedemonstreerd op Pwn2Own Berlin. Hoewel Microsoft de volwassenheid van de exploit code als onbewezen classificeert, betekent de publieke demonstratie dat organisaties deze kwetsbaarheid met hoge prioriteit moeten patchen.

Rapporten geven aan dat exploitatie van deze kwetsbaarheid kan leiden tot het omzeilen van authenticatie beveiligingen en toegang tot Exchange mailboxen. Dit omvat de mogelijkheid om berichten te lezen, e-mails te verzenden en bijlagen te downloaden.

Een andere privilege-escalatie kwetsbaarheid, CVE-2026-62910, heeft een CVSS score van 7.2. Deze wordt veroorzaakt door onjuiste controle van resource identifiers, ook wel bekend als resource injection. Voor deze kwetsbaarheid zijn hoge privileges vereist, maar de exploitatie is netwerk gebaseerd en vereist geen gebruikersinteractie. Een dreigingsacteur met geautoriseerde toegang zou misbruik kunnen maken van speciaal geformuleerde verzoeken om aanvullende permissies te verkrijgen en de controle over Exchange diensten uit te breiden.

Daarnaast heeft Microsoft CVE-2026-62912 gepatcht, een denial-of-service kwetsbaarheid met een CVSS score van 6.5, veroorzaakt door deserialisatie van onbetrouwbare data. Deze vereist lage privileges voor exploitatie en kan op afstand zonder gebruikersinteractie worden misbruikt om de beschikbaarheid van een Exchange Server te verstoren. Hoewel dit de vertrouwelijkheid of integriteit niet direct beïnvloedt, kan een succesvolle aanval de e-mailbezorging, administratieve operaties en zakelijke communicatie onderbreken.

CVE-2026-62913 betreft een remote code execution kwetsbaarheid met een CVSS score van 8.8. Dit probleem omvat een heap-based buffer overflow en kan via het netwerk worden geëxploiteerd door een aanvaller met lage privileges, zonder gebruikersinteractie. Succesvolle exploitatie kan een aanvaller in staat stellen code uit te voeren op een kwetsbare Exchange Server, wat potentieel kan leiden tot diefstal van mailboxen, persistentie, laterale beweging, data diefstal of de implementatie van ransomware.

De update omvat tevens oplossingen voor CVE-2026-62914, een cross-site scripting spoofing kwetsbaarheid, en CVE-2026-62915, een security feature bypass veroorzaakt door ontbrekende autorisatie controles. Deze problemen kunnen aanvallers helpen om betrouwbare content te imiteren, Exchange gebruikers aan te vallen of ongeautoriseerde wijzigingen aan te brengen in getroffen omgevingen.

Organisaties dienen de beveiligingsupdates voor Microsoft Exchange Server van augustus 2026 zo snel mogelijk te installeren. Beheerders moeten ook bevoegde accounts controleren, Exchange logs monitoren op abnormale authenticatie activiteiten, ongebruikelijke mailbox toegang onderzoeken en onnodige externe administratieve toegang beperken. Klanten van Exchange Online zijn reeds beschermd tegen deze server-side kwetsbaarheden. Echter, organisaties die on-premises Exchange Server of Exchange beheer tools gebruiken, moeten de relevante updates onverwijld toepassen.

Bron: Microsoft

Autodesk heeft recentelijk meerdere kwetsbaarheden verholpen in zijn populaire AutoCAD-software. Deze beveiligingslekken bevinden zich specifiek in de manier waarop AutoCAD omgaat met speciaal vervaardigde DXF- en DWG-bestanden. Deze bestanden, die veel gebruikt worden voor technische tekeningen en ontwerpen, kunnen worden misbruikt om systemen van gebruikers aan te vallen.

Een van de kritieke problemen is een zogenaamde heap-based overflow. Dit type kwetsbaarheid ontstaat wanneer een programma probeert meer data in een geheugenbuffer te schrijven dan waarvoor ruimte is gereserveerd. In het geval van AutoCAD kan dit leiden tot ernstige gevolgen, waaronder het crashen van de applicatie, ongeautoriseerde toegang tot gevoelige data die op het systeem van de gebruiker staat, of zelfs de uitvoering van willekeurige code. De willekeurige code zou dan draaien binnen de context en met de privileges van de AutoCAD applicatie, wat aanvallers aanzienlijke controle over het getroffen systeem kan geven.

Daarnaast zijn er out-of-bounds read kwetsbaarheden geïdentificeerd. Deze lekken treden op wanneer de software probeert gegevens te lezen van een geheugenlocatie die buiten het toegewezen bereik ligt. Ook deze problemen kunnen resulteren in het onverwacht crashen van de applicatie, wat de productiviteit ernstig kan verstoren. Een nog zorgwekkender gevolg is het lekken van gevoelige informatie direct uit het geheugen van het systeem. Dit kan onder meer leiden tot blootstelling van vertrouwelijke projectgegevens of inloggegevens.

Om deze kwetsbaarheden te exploiteren, is interactie van de gebruiker vereist. Een aanvaller moet het slachtoffer verleiden om een kwaadaardig DXF- of DWG-bestand te openen met AutoCAD. Zodra het bestand wordt geopend, vindt er onbedoelde geheugentoegang plaats. Deze onbedoelde toegang kan de integriteit van de gegevens in gevaar brengen en de vertrouwelijkheid van informatie aantasten.

Het Nationaal Cyber Security Centrum (NCSC) heeft een advies uitgebracht over deze kwetsbaarheden, wat het belang van tijdige patching onderstreept voor Nederlandse en Belgische organisaties die AutoCAD gebruiken. Autodesk heeft inmiddels patches uitgebracht om deze problemen aan te pakken. Gebruikers en beheerders wordt daarom dringend geadviseerd om hun AutoCAD-installaties zo snel mogelijk bij te werken naar de nieuwste, gepatchte versies om zich te beschermen tegen mogelijke aanvallen.

Bron: NCSC

Een ernstige kwetsbaarheid is ontdekt in WordPress, het meest gebruikte contentmanagementsysteem ter wereld. Dit lek stelt geauthenticeerde aanvallers in staat om willekeurige code uit te voeren op de onderliggende webserver, wat kan leiden tot volledige controle over de getroffen website. De kwetsbaarheid, aangeduid met CVE-2026-65640, heeft een CVSS-impactscore van 8.8 op een schaal van 1 tot en met 10, wat duidt op een hoge ernst van het probleem.

Voor een succesvolle exploitatie van deze kwetsbaarheid zijn er specifieke voorwaarden. Een aanvaller moet in staat zijn om in te loggen op de site die draait op WordPress met de rechten van minimaal een auteur. Bovendien moet de betreffende site gebruikmaken van de beeldverwerkingsprogramma's Imagick en Ghostscript. Wanneer aan deze voorwaarden is voldaan, kan de aanvaller door het uploaden van een malafide Postscript bestand remote code execution bewerkstelligen. Volgens de ontdekkers van het probleem is het misbruik van deze kwetsbaarheid eenvoudig uit te voeren, wat het risico aanzienlijk verhoogt.

WordPress heeft snel gehandeld om dit beveiligingslek te dichten. De kwetsbaarheid is verholpen in WordPress versie 7.0.4. Daarnaast is de fix gebackport naar oudere versies tot en met versie 4.7. Dit betekent dat een breed scala aan installaties die draaien op WordPress kan worden beveiligd door de beschikbare updates toe te passen. Beheerders van sites die draaien op WordPress worden dringend opgeroepen om hun platforms onmiddellijk te updaten naar de gepatchte versies. Het platform beschikt over een automatische updatefunctie die dit proces kan vergemakkelijken.

De urgentie van deze update wordt onderstreept door de enorme populariteit van WordPress. Volgens W3Techs draait ongeveer 41 procent van alle websites op internet op dit contentmanagementsysteem. Snelle actie van websitebeheerders is cruciaal om hun sites en de data van hun gebruikers te beschermen tegen mogelijke aanvallen die misbruik maken van dit lek.

Bron: WordPress

Het Britse National Cyber Security Centre (NCSC) heeft recentelijk het belang van het gebruik van een PIN voor BitLocker schijfversleuteling benadrukt. Dit advies volgt op herhaalde kwetsbaarheden, zoals de veelbesproken YellowKey exploit, die de veiligheid van BitLocker zonder PIN in gevaar brengen. Hoewel de NCSC richtlijnen voor de veilige configuratie van Microsoft Windows altijd al het gebruik van een PIN aanbevelen, blijkt dat veel organisaties BitLocker nog steeds zonder deze extra beveiligingslaag implementeren, waardoor hun apparaten onnodig kwetsbaar blijven.

De kwetsbaarheden die BitLocker omzeilen, maken vaak misbruik van de Windows Recovery Environment (WinRE). YellowKey, dat recentelijk de aandacht trok, gebruikte WinRE om bepaalde BitLocker configuraties te omzeilen en zo potentieel versleutelde schijven te decoderen. Hoewel Microsoft deze specifieke kwestie snel heeft gepatcht, is het volgens de NCSC geen nieuw type kwetsbaarheid. Bugs in WinRE worden al jaren gebruikt om BitLocker te omzeilen. Microsoft zelf heeft in 2025 vier soortgelijke bugs gevonden en gepatcht, die het presenteerde op de BlackHat beveiligingsconferentie.

De kern van het probleem ligt in een conflict tussen ontwerp doelen. WinRE is bedoeld om gebruikers in staat te stellen hun data te herstellen, zelfs als er iets misgaat met BitLocker zelf. Om dit te faciliteren, versleutelt BitLocker opzettelijk de bestanden die bij WinRE horen niet. Deze ontbrekende versleuteling creëert een opening die door exploits zoals YellowKey kan worden misbruikt. Zolang dit ontwerp principe blijft bestaan, zullen kwetsbaarheden die WinRE misbruiken waarschijnlijk opduiken. Het vereisen van een PIN voordat WinRE kan worden gebruikt, voegt een cruciale authenticatie laag toe die dit uniek exploiteerbare element van Windows beschermt. Het gebruik van BitLocker zonder een PIN wordt daarom beschouwd als een halve maatregel, aangezien het slechts een kwestie van tijd is voordat nieuwe kwetsbaarheden worden ontdekt in een besturingssysteem van de omvang van Windows.

Voor organisaties waar het handmatig invoeren van een BitLocker PIN niet praktisch is, biedt de NCSC alternatieve mitigatiestrategieën. Als de voornaamste barrière het onthouden van een PIN is, kan het overwegen waard zijn om dezelfde PIN te gebruiken voor zowel Windows Hello als BitLocker. Dit biedt aanzienlijk meer bescherming dan geen PIN, zonder dat gebruikers nieuwe gegevens hoeven te onthouden. Voor apparaten die voornamelijk op een bedrijfsnetwerk worden gebruikt, kan Network Unlock een oplossing zijn. Deze BitLocker functie omzeilt de PIN prompt door de sleutel van een vertrouwd netwerk te lezen. Als het apparaat van het netwerk wordt losgekoppeld, wordt alsnog om een PIN gevraagd. Een andere optie is het creëren van een Startup Key op een USB stick, wat een vorm van pre-boot authenticatie biedt, hoewel het risico op verlies of diefstal van de fysieke sleutel aanwezig is.

Bron: NCSC

Wereldwijd zijn honderden VMware vCenter servers gecompromitteerd door misbruik te maken van een recent ontdekt beveiligingslek. Het betreft CVE-2026-59310, een kritiek path traversal lek dat een ongeauthenticeerde aanvaller in staat stelt om op afstand code uit te voeren op de vCenter server. VMware vCenter is een cruciale oplossing voor het beheer van virtuele machines en gevirtualiseerde servers, en is in het verleden vaker doelwit geweest van cyberaanvallen.

Broadcom, de leverancier van VMware, bracht op 29 juli 2026 beveiligingsupdates uit voor deze kwetsbaarheid en diverse andere lekken. Echter, cybersecuritybedrijf Quirso constateerde dat CVE-2026-59310 al enkele dagen na het uitbrengen van de patches actief werd misbruikt. De eerste aanvallen werden op 3 augustus 2026 waargenomen, en tegen 5 augustus 2026 waren er al honderden vCenter servers gehackt. Onderzoekers telden 361 unieke IP-adressen van getroffen organisaties. De meeste gecompromitteerde systemen bevonden zich in Duitsland, de Verenigde Staten en Turkije.

Zodra aanvallers toegang hebben tot een vCenter server, installeren zij `reverse_ssh`, een open-source, op SSH gebaseerd reverse shell framework. Dit stelt hen in staat om blijvende toegang tot de server te behouden en verdere aanvallen uit te voeren. De onderzoekers vermoeden dat een Advanced Persistent Threat (APT) groep verantwoordelijk is voor deze aanvallen.

De kwetsbaarheid in VMware vCenter betreft een directory traversal probleem in de Syslog server. Een kwaadwillende actor met netwerktoegang tot vCenter kan dit probleem exploiteren om willekeurige code uit te voeren.

Naast de reeds gecompromitteerde servers, voerde The Shadowserver Foundation een scan uit die aantoonde dat op 3 augustus 2026 nog 549 vCenter servers de update voor CVE-2026-59310 misten. Dit aantal is inmiddels gedaald naar 242. Specifiek voor Nederland bleken er volgens deze cijfers nog vijf ongepatchte vCenter servers online te zijn.

Organisaties die gebruikmaken van VMware vCenter worden dringend geadviseerd om de beschikbare updates van Broadcom onmiddellijk te installeren. Daarnaast is het essentieel om te controleren of hun servers niet reeds gecompromitteerd zijn, gezien de snelle exploitatie na het uitbrengen van de patches.

Bron: Infosecurity Magazine

De Wireshark Foundation heeft officieel versie 4.6.8 van Wireshark uitgebracht, een beveiligingsupdate die 28 afzonderlijke kwetsbaarheden verhelpt. Deze kwetsbaarheden kunnen applicatiecrashes veroorzaken in de populaire netwerkprotocolanalysator.

Wireshark is wereldwijd de meest gebruikte tool voor netwerkprobleemoplossing, protocolanalyse, softwareontwikkeling en educatie, en vormt een essentieel onderdeel van Security Operations Centers (SOCs) en netwerkengineeringteams. Het aanpakken van deze kwetsbaarheden, die tot denial-of-service (DoS) kunnen leiden, is cruciaal om onverwachte uitval tijdens live pakketopnames of incidentrespons te voorkomen.

De 28 kwetsbaarheden, die worden bijgehouden onder de beveiligingsadviezen wnpa-sec-2026-64 tot en met wnpa-sec-2026-91, bestrijken een breed scala aan protocol dissectors en interne componenten. Verschillende kwetsbaarheden hebben direct invloed op de headless daemon `sharkd`, terwijl andere gericht zijn op protocol dissectors die worden gebruikt binnen bedrijfs-, draadloze en industriële communicatie.

Belangrijke getroffen dissectors omvatten die voor enterprise- en beveiligingsprotocollen zoals Remote Desktop Protocol (RDP), Kerberos, SSH, H.245, Cryptographic Message Syntax (CMS) en X.509IF. Ook binnen de draadloze en mobiele communicatiestack zijn er kwetsbaarheden verholpen, waaronder meerdere Bluetooth-profielen (ATT, HFP, AVRCP, BR/EDR FHS) en de cellulaire protocol dissectors UMTS FP en RRC. In de industriële en nutssector is het C12.22 smart-metering protocol tweemaal genoemd in de advieslijst.

De meeste van deze kwetsbaarheden zijn het gevolg van onjuiste verwerking van misvormde of kwaadaardig opgestelde pakketdata. Een aanvaller op een gemonitord netwerksegment, of iemand die een analist verleidt tot het openen van een speciaal geprepareerd capture-bestand, kan een DoS-conditie teweegbrengen, waardoor de dissectie-engine crasht. Historisch gezien hebben ongepatchte risico's op code-executie en dissector-crashes in Wireshark ernstige operationele risico's met zich meegebracht wanneer analisten onvertrouwde netwerkbestanden verwerkten. Met name advies wnpa-sec-2026-87, betreffende de X.509IF dissector, heeft een nog toe te kennen CVE-identificatie, wat duidt op de aanstaande opname ervan in bredere nationale kwetsbaarheidsdatabases.

Bestandsanalysecomponenten vormden een ander belangrijk blootstellingsgebied in deze release. De invoermodules van Wireshark voor TTX Logger, BUSMASTER, Tektronix K12xx, Endace ERF, Catapult DCT2000, Gammu DCT3 trace-bestanden en 3gpp telefoonlogs hebben elk patches ontvangen voor parser-crashcondities. Specifieke Windows-crashfixes zijn ook doorgevoerd voor de Ixia IxVeriWave en Vector Informatik BLF bestandslezers.

Zoals gedetailleerd in de officiële release notes van Wireshark 4.6.8, pakt de release naast de kernbeveiligingsadviezen een lange lijst met stabiliteits-, geheugenbeheer- en nauwkeurigheidsproblemen aan. Dit omvat oplossingen voor een stack buffer overflow in de K12/RF5 writer, een out-of-bounds read in de BLF writer bij het verwerken van afgekorte VLAN-getagde Ethernet frames, en een NULL-pointer dereferentie in het KNXIP Secure Wrapper decryptiepad. Recursiebeveiligingen zijn gecorrigeerd voor een stack-uitputtingsfout die werd geactiveerd door diep geneste NetLog JSON-payloads. De decodeerlogica voor 5G NAS-informatie-elementen, waaronder de geldigheid van S-NSSAI-locatie, UE-beveiligingsmogelijkheid en SOR transparante container-velden, is ook verbeterd. Tot slot is een Windows-specifieke UI-vertraging die het dialoogvenster File Capture Properties beïnvloedde, opgelost.

De release voegt geen gloednieuwe protocolondersteuning toe, maar actualiseert de dissectiemogelijkheden voor ASN.1 BER, ASTERIX, GTPv2, RELOAD en Rlogin, naast een verbeterde verwerking van capture-bestanden voor Daintree SNA en pcapng-formaten. Bovendien documenteert de release een aanpassing in de 4.6.x-releasereeks, want op de meeste UN*X-distributies bevinden `extcap`-binaries zich nu in de `libexec`-directory in plaats van het standaard bibliotheekpad.

Bron: Wireshark

Het Nationaal Cyber Security Centrum (NCSC) waarschuwt Nederlandse organisaties voor actief misbruik van een beveiligingslek in macOS. Aanvallers maken gebruik van deze kwetsbaarheid om systemen te infecteren met software voor cryptomining. Deze malware benut de rekenkracht van geïnfecteerde Macs om cryptovaluta te genereren. Het NCSC roept organisaties dringend op om de recent uitgebrachte updates van Apple onmiddellijk te installeren.

De kwetsbaarheid, aangeduid als CVE-2026-65400, bevindt zich in de Screen Sharing-functionaliteit van macOS. Screen Sharing stelt gebruikers in staat om het scherm van een andere Mac op hetzelfde netwerk te bekijken en te besturen, inclusief het openen van bestanden en het starten van applicaties op afstand. Normaal gesproken vereist toegang via Screen Sharing geldige inloggegevens. Echter, door dit specifieke lek kan een aanvaller die zich op hetzelfde lokale netwerk bevindt als het doelwit, zonder deze inloggegevens toch toegang krijgen.

De enige voorwaarden voor succesvolle exploitatie zijn dat Screen Sharing op de Mac van het slachtoffer is ingeschakeld en dat poort 5900 bereikbaar is vanaf het internet. Apple heeft op 6 augustus 2026 beveiligingsupdates uitgebracht die specifiek gericht zijn op het dichten van dit lek. Desondanks is er inmiddels actief misbruik van de kwetsbaarheid waargenomen. Het NCSC heeft geconstateerd dat aanvallers via dit lek root-toegang verkrijgen tot de systemen en vervolgens cryptomining software installeren.

Het NCSC had gisteren al melding gemaakt van het misbruik van CVE-2026-65400 in een eerder beveiligingsbulletin. Vandaag heeft de overheidsinstantie echter een aparte en dringende oproep gedaan aan organisaties om zo snel mogelijk de benodigde updates voor macOS te implementeren en daarmee hun systemen te beveiligen tegen deze actieve dreiging.

Bron: Nationaal Cyber Security Centrum

Omgevingen van SAP Commerce Cloud worden momenteel actief aangevallen via een recent ontdekte kritieke kwetsbaarheid. Deze kwetsbaarheid, aangeduid als CVE-2026-58231, maakt het voor een ongeauthenticeerde aanvaller mogelijk om willekeurige code uit te voeren op de systemen. De impactscore van dit beveiligingslek is vastgesteld op het maximale niveau van 10.0 op de Common Vulnerability Scoring System (CVSS) schaal, wat duidt op de ernstige aard van het probleem.

SAP had slechts drie dagen voordat de actieve aanvallen werden gemeld, een beveiligingsupdate uitgebracht om deze kwetsbaarheid te dichten. Op het moment van de patchrelease waren er nog geen meldingen van misbruik in het wild. Echter, cybersecuritybedrijf Defused heeft vandaag, 14 augustus 2026, via het sociale mediaplatform X gemeld dat actief misbruik van CVE-2026-58231 nu plaatsvindt. Defused heeft geen verdere details over de aard of omvang van de huidige aanvallen vrijgegeven.

SAP Commerce Cloud is een cloudgebaseerd e-commerce-platform dat specifiek is ontworpen voor grote ondernemingen. Deze platforms verwerken een breed scala aan gevoelige informatie, waaronder gedetailleerde productinformatie, diverse zakelijke data en, cruciaal, persoonlijke gegevens van klanten van de betreffende bedrijven. Het vermogen van aanvallers om willekeurige code uit te voeren, kan leiden tot volledige controle over de getroffen systemen, wat potentieel resulteert in grootschalige datalekken, verstoring van bedrijfsprocessen en verdere infiltratie van de bedrijfsnetwerken.

Het Amerikaanse cyberagentschap CISA heeft in dit verband opgemerkt dat in het verleden al eerder een kwetsbaarheid in SAP Commerce Cloud actief is misbruikt. Dit betrof CVE-2019-0344, wat onderstreept dat dergelijke platforms een terugkerend doelwit zijn voor kwaadwillende actoren. Organisaties die gebruikmaken van SAP Commerce Cloud worden dringend geadviseerd om de recent uitgebrachte beveiligingsupdates onmiddellijk toe te passen om hun systemen te beschermen tegen de actieve aanvallen.

Bron: SAP

Een kritieke kwetsbaarheid in Citrix NetScaler ADC en Citrix NetScaler Gateway blijkt remote code execution (RCE) door een ongeauthenticeerde aanvaller mogelijk te maken. Deze ontdekking, aangetoond door cybersecuritybedrijf watchTowr, kan aanzienlijke gevolgen hebben voor organisaties die deze thuiswerkoplossingen gebruiken. Citrix bracht op 30 juni beveiligingsupdates uit voor diverse kwetsbaarheden, waaronder CVE-2026-8452.

Citrix beschrijft CVE-2026-8452 als een memory overflow kwetsbaarheid die kan leiden tot 'onvoorspelbaar of foutief' gedrag en denial of service. De kwetsbaarheid heeft een CVSS-impactscore van 9.8 op een schaal van 1 tot en met 10. Onderzoekers van watchTowr hebben een technische uitleg gepubliceerd waarin zij gedetailleerd beschrijven hoe een ongeauthenticeerde aanvaller de kwetsbaarheid kan misbruiken om code op Citrix-systemen uit te voeren. Zij demonstreerden hoe zij code als root konden uitvoeren en via het lek een webshell installeerden. Een dergelijke webshell maakt het mogelijk om toegang tot het gecompromitteerde Citrix-systeem te behouden en verdere aanvallen uit te voeren.

Citrix NetScaler ADC is een server die organisaties plaatsen tussen hun interne servers en het internet. De primaire functie is het verdelen van inkomend verkeer over beschikbare servers, om zo de snelheid en toegankelijkheid van websites en applicaties te waarborgen. De Citrix NetScaler Gateway stelt medewerkers in staat om op afstand toegang te krijgen tot bedrijfsapplicaties, -omgevingen en intranetten, en wordt veelvuldig gebruikt voor thuiswerkscenario's. De impact van een gecompromitteerd Citrix NetScaler-systeem kan dan ook zeer groot zijn.

Systemen van Citrix zijn regelmatig het doelwit van aanvallen. Het Amerikaanse cyberagentschap CISA heeft een lijst met actief aangevallen kwetsbaarheden waarop in totaal 22 unieke Citrix-lekken staan. Een eerder incident met een Citrix-hack bij het Nederlandse Openbaar Ministerie resulteerde vorig jaar nog in een achterstand van duizenden zaken, wat de potentiële impact voor Nederlandse organisaties onderstreept.

Bron: watchTowr Labs

TP-Link heeft meerdere ernstige kwetsbaarheden bekendgemaakt die van invloed zijn op Aginet netwerkproducten die door internet service providers (ISP's) worden beheerd. Het gaat hierbij om mesh systemen, routers, PON-apparaten en xDSL-modems. De kwetsbaarheden kunnen aanvallers met netwerktoegang in staat stellen om authenticatie te omzeilen, privileges te escaleren, gevoelige informatie te stelen, apparaatbestanden te lezen en commando's van het besturingssysteem uit te voeren.

Het beveiligingsadvies, voor het laatst bijgewerkt op 10 augustus 2026, omvat de problemen onder de CVE-nummers CVE-2025-30237 tot en met CVE-2025-30241. De getroffen producten worden doorgaans geleverd, geconfigureerd en bijgewerkt door internet service providers. Dit betekent dat de beschikbaarheid van firmware kan variëren per operator en regio.

De meest kritieke kwetsbaarheid, CVE-2025-30237, betreft een authenticatie-bypass in de webbeheerinterface. Deze heeft een CVSS v4-score van 8.7 en is het gevolg van gebrekkige toegangscontrole op bepaalde eindpunten. Een aanvaller op een aangrenzend netwerk kan speciaal vervaardigde verzoeken sturen om geprivilegieerde functies te bereiken zonder geldige inloggegevens te verstrekken. Bij misbruik kan dit een niet-geauthenticeerde aanvaller volledige controle geven over het getroffen apparaat.

CVE-2025-30238, met een score van 8.6, is een fout in onjuiste autorisatie binnen gebruikersbeheerfuncties. Een geauthenticeerde gebruiker met lage privileges kan acties op beheerdersniveau uitvoeren, zoals het aanmaken van geprivilegieerde accounts of het wijzigen van kritieke apparaatinstellingen. Dit kan een aanvaller met beperkte toegang in staat stellen om zijn controle over een router of mesh-knooppunt uit te breiden.

Een ander ernstig probleem, CVE-2025-30239, omvat hardgecodeerde cryptografische sleutels die in de firmware zijn opgeslagen. Deze kwetsbaarheid heeft een CVSS-score van 8.5. Een aanvaller met toegang tot de opslag van het apparaat kan de ingebedde sleutels herstellen en beschermde configuratiegegevens decoderen. Blootgestelde informatie kan inloggegevens en ISP-gerelateerde service-instellingen omvatten, wat een risico vormt voor verdere compromittering.

CVE-2025-30240 is een probleem met willekeurig bestandslezen van gemiddelde ernst, met een CVSS-score van 5.1. De fout treft het USB HTTPS-toegangspad en komt voort uit onjuiste verwerking van symbolische links op externe USB-opslag. Een persoon met fysieke toegang tot het apparaat kan een kwaadaardige symbolische link maken op een ondersteund medium en deze gebruiken om toegang te krijgen tot gevoelige bestanden in het routerbestandssysteem.

Het laatste probleem, CVE-2025-30241, is een kwetsbaarheid voor OS-commando-injectie met een ernstbeoordeling van 8.6. Deze bestaat omdat sommige webinterface-componenten de door de gebruiker gecontroleerde invoer niet correct valideren voordat deze wordt doorgegeven aan commando-functies op systeemniveau. Een geauthenticeerde aanvaller op het lokale netwerk kan commando's injecteren en deze met verhoogde privileges uitvoeren, waardoor potentieel volledige controle over het apparaat wordt verkregen.

Getroffen hardware omvat modellen uit de HB-, HX-, HC-, EB-, EC-, EX-, XC-, XX- en VX-series van TP-Link. Voorbeelden zijn HB810, HB710, EX220, EX222, EX920, EC220-G5, XX530v en VX1800v varianten. De exacte impact hangt af van het regionale model, de hardwareversie, ISP-aanpassingen en de geïnstalleerde firmware.

TP-Link heeft aangegeven dat de remediëring voor door ISP's beheerde apparaten zal worden gecoördineerd via de serviceproviders. In veel gevallen kunnen updates automatisch worden geïnstalleerd via de beheerplatforms van de ISP's. Gebruikers wordt geadviseerd om de routerbeheerinterface of de beheerapplicatie van de provider te controleren op firmware-updates. Indien een update niet beschikbaar is, dienen klanten contact op te nemen met hun ISP om te bevestigen of hun apparaat is getroffen en wanneer een gepatchte firmware-release zal worden uitgerold. Omdat verschillende kwetsbaarheden lokale of aangrenzende netwerktoegang vereisen, moeten gebruikers ook de blootstelling van beheerinterfaces beperken, sterke, unieke beheerdersinloggegevens gebruiken, onnodige functies voor beheer op afstand uitschakelen en onvertrouwde gebruikers buiten het lokale netwerk houden.

Bron: TP-Link

IBM heeft recentelijk diverse kritieke kwetsbaarheden verholpen in meerdere versies van zijn IBM i operating system, specifiek in versies 7.3, 7.4, 7.5 en 7.6. Deze beveiligingslekken bestrijken een breed scala aan technische aspecten van het besturingssysteem, wat de noodzaak voor onmiddellijke patching onderstreept. Het Nationaal Cyber Security Centrum (NCSC) heeft hierover een advies uitgebracht en roept gebruikers op om hun systemen grondig te controleren.

De ontdekte kwetsbaarheden omvatten onder meer problemen met onjuist privilege management, waarbij aanvallers met legitieme authenticatie potentieel hun rechten op het systeem kunnen uitbreiden. Daarnaast zijn er lekken geïdentificeerd met onbeheerde zoekpadelementen, wat kan leiden tot het uitvoeren van kwaadaardige code wanneer legitieme programma's worden opgestart. Ook zijn er fouten gevonden in out-of-bounds reads en writes, die kunnen resulteren in het uitlezen of overschrijven van geheugen buiten de toegestane grenzen, met data-diefstal of systeemcrashes als gevolg.

Verder zijn er diverse buffer overflows aangepakt, zowel heap- als stackgebaseerd. Deze kwetsbaarheden kunnen doorgaans worden misbruikt om willekeurige code uit te voeren met de privileges van het kwetsbare proces. Specifieke SQL-injecties zijn eveneens gedetecteerd, waardoor aanvallers via databasequery's ongeautoriseerde toegang tot gevoelige gegevens kunnen verkrijgen of de database kunnen manipuleren.

Andere belangrijke lekken betreffen path traversal-kwetsbaarheden, die aanvallers in staat stellen om bestanden buiten hun toegestane directory te benaderen, en TOCTOU-racecondities (Time-of-Check to Time-of-Use) in combinatie met symbolische links. Deze racecondities kunnen leiden tot onverwacht gedrag en misbruik van systeembronnen. Tot slot zijn er problemen verholpen met onjuiste validatie van omgevingsvariabelen en profielnamen, evenals de onjuiste neutralisatie van speciale elementen in OS-commando's. Deze laatste twee kunnen eveneens leiden tot privilege-escalatie of de uitvoering van willekeurige commando's.

De cumulatieve impact van deze kwetsbaarheden is aanzienlijk. Kwaadwillenden die reeds over geldige authenticatie beschikken, kunnen deze lekken misbruiken om hun privileges te escaleren, willekeurige code op het systeem uit te voeren, toegang te verkrijgen tot gevoelige gegevens, de algehele systeemintegriteit te compromitteren, of zelfs een denial-of-service te veroorzaken, waardoor het systeem onbruikbaar wordt.

Het NCSC adviseert alle organisaties die IBM i operating systemen gebruiken, dringend om te controleren of hun in gebruik zijnde versies onder de kwetsbare versies vallen. Het is essentieel om de relevante updates van IBM zo snel mogelijk te implementeren om de systemen te beveiligen tegen potentiële aanvallen.

Bron: NCSC

Een nieuwe aanvalstechniek, genaamd "Download More RAM", kan Windows Virtualization-Based Security (VBS) omzeilen, Hypervisor-Enforced Code Integrity (HVCI) verzwakken en Microsoft Defender uitschakelen. Microsoft heeft dit probleem, aangeduid als CVE-2026-23670, erkend en heeft in de beveiligingsupdate van april 2026 mitigaties uitgebracht.

De aanval misbruikt onvoldoende beschermde Serial Presence Detect (SPD) data op specifieke consumenten DDR4 en DDR5 geheugenmodules. SPD is configuratie data die is opgeslagen op een RAM module en die de capaciteit, snelheid en operationele parameters van het systeem specificeert. Indien de SPD chip beschrijfbaar is, kan een aanvaller met lokale administratorrechten de gerapporteerde geheugen geometrie wijzigen. Dit resulteert erin dat het systeem gelooft dat een RAM module meer capaciteit heeft dan fysiek aanwezig is.

Dit creëert geheugen aliasing, waarbij twee verschillende fysieke adressen door Windows als afzonderlijke locaties worden behandeld, terwijl ze naar hetzelfde onderliggende RAM wijzen. Onder normale omstandigheden zou een dergelijke conditie Windows destabiliseren en blue-screen crashes veroorzaken. Echter, onderzoekers ontdekten dat Windows boot configuratie instellingen het aliased gedeelte van het geheugen kunnen reserveren. Hierdoor blijft het besturingssysteem stabiel, terwijl de aanvaller via alternatieve adressen toegang krijgt tot hetzelfde fysieke RAM.

Deze techniek is significant omdat deze beveiligingsgrenzen overschrijdt die VBS juist moet afdwingen. VBS is afhankelijk van Hyper-V om gevoelige services, waaronder de Secure Kernel en code integriteit componenten, te isoleren van de normale Windows kernel. De "Download More RAM" aanval werkt daarentegen tegen het ruwe fysieke geheugen, waardoor beveiligingen op basis van page tables, procesrechten en virtuele vertrouwensniveaus worden omzeild.

Onderzoekers toonden aan dat aanvallers aliased geheugen kunnen uitlezen met een aangepast forensisch geheugen acquisitie gereedschap. Vervolgens kan een RAM-schijf hulpprogramma worden gebruikt om beperkte hoeveelheden data naar geselecteerde geheugenregio's te schrijven. Hoewel deze schrijfmethode instabiel is en data kan corrumperen, bleek deze voldoende om de Secure Kernel Code Integrity bibliotheek (skci.dll) te patchen. Deze patches schakelden controles uit die gebruikt worden om bekende kwetsbare drivers te blokkeren.

Zodra de blokkeerlijst voor kwetsbare drivers was uitgeschakeld, kon de aanval drivers laden die eerder door Windows beveiligingscontroles waren geblokkeerd. Deze drivers kunnen uitgebreide fysieke geheugentoegang verschaffen, waardoor de aanvankelijk beperkte schrijfcapaciteit verandert in een betrouwbaardere lees- en schrijfprimitive. De aanvalsketen omvat zes stadia en maakt volgens het onderzoek de wijziging van beschermd geheugen mogelijk, inclusief gebieden die zijn geassocieerd met VBS-beschermde processen en endpoint beveiligingsproducten.

In een bewijs van concept gebruikten de onderzoekers de keten om de antivirus en dreigingsbescherming van Microsoft Defender uit te schakelen. Ze testten ook de impact op producten zoals Sophos Intercept X, Riot Vanguard, Easy Anti-Cheat en BattlEye. Het onderzoek benadrukt dat de techniek lokale administratorrechten vereist en een systeem met DIMM's waarvan de SPD configuratie beschrijfbaar blijft.

De onderzoekers hebben consumenten geheugenmodules onderzocht en vonden getroffen productlijnen van Corsair, G.Skill en ADATA. Ze waarschuwden dat hun tests niet uitputtend waren en dat de beschermingsstatus kan verschillen tussen productlijnen en individuele modellen. DIMM's met beschermde SPD configuratieblokken zijn niet gevoelig voor de software-only aliasing methode die in het artikel wordt beschreven. Microsoft's mitigatie van april voorkomt dat de Secure Boot compatibele geheugenconfiguratie wordt gebruikt zoals de onderzoekers deden om aliased Windows systemen te stabiliseren. Dit blokkeert de gedemonstreerde aanvalsketen, maar elimineert niet het bredere risico van alternatieve stabilisatietechnieken die mogelijk kunnen ontstaan.

Organisaties dienen de huidige Windows updates toe te passen, Secure Boot en VBS beveiligingen te handhaven, en BIOS instellingen te controleren op opties die SPD schrijfbewerkingen verbieden. Geheugenfabrikanten kunnen de kwetsbaarheid verminderen door SPD schrijfbeveiliging af te dwingen, met name voor configuratieblokken die de modulecapaciteit en adressering definiëren.

Bron: University of Birmingham

Op 15 augustus 2026 is gebleken dat een zero-day exploit voor TensorFlow Lite Micro (tflite-micro) wordt aangeboden op een cybercrimeforum. De verkoper claimt een onopgeloste kwetsbaarheid te verkopen die kan worden geactiveerd via een specifiek kwaadaardig .tflite-model. Het probleem wordt beschreven als een integer overflow binnen de functie ElementCount, wat zou leiden tot een heap buffer overflow. Dit kan potentieel resulteren in de uitvoering van willekeurige code op afstand.

De verkoper kent de kwetsbaarheid een CVSS-score van 9,8 toe en benadrukt dat er nog geen CVE-nummer aan is toegewezen. Het aangeboden pakket omvat naar verluidt een gedetailleerd technisch rapport, proof-of-concept code, diverse testomgevingen, bewijs van crashes, een handleiding voor exploitatie en kant-en-klare componenten voor zowel ARM- als x86-architecturen. De vraagprijs voor deze exploit bedraagt 1500 dollar, te betalen in Monero.

Onafhankelijk technisch onderzoek ondersteunt de technische plausibiliteit van deze kwetsbaarheid, aangezien een vergelijkbaar integer-overflowprobleem in de berekening van de tensorgrootte van TensorFlow Lite Micro al sinds mei 2026 publiekelijk bekend is. De specifieke claims van de verkoper over de exploit en de proof-of-concept zijn echter nog niet onafhankelijk geverifieerd. Volgens de verkoper kan de kwetsbaarheid systemen raken die TensorFlow Lite Micro gebruiken, waaronder IoT-apparaten, embedded systemen, mobiele applicaties en automotive-systemen.

Bron: Cybercrimeinfo

Microsoft verwacht op korte termijn misbruik van een kwetsbaarheid in de Windows Cross Device Service, de functie die gegevens tussen apparaten synchroniseert. De kwetsbaarheid is geregistreerd als CVE-2026-66804 en maakt escalatie van gewone gebruikersrechten naar volledige systeemrechten mogelijk.

Twaalf verschillende beveiligingsonderzoekers ontdekten en meldden het probleem onafhankelijk van elkaar bij Microsoft. Het bedrijf bracht afgelopen dinsdag beveiligingsupdates uit. Hoewel er nog geen misbruik in het wild is waargenomen, verwacht Microsoft dat aanvallers de kwetsbaarheid op korte termijn zullen misbruiken. Die verwachting is aangescherpt doordat er na het uitbrengen van de update al werkende proof of concept exploitcode online verscheen.

De snelle openbaarmaking van technische details en werkende exploitcode versnelt het tijdsbestek waarin aanvallers kunnen toeslaan aanzienlijk. Gebruikers en organisaties wordt geadviseerd de beschikbare updates zo snel mogelijk te installeren.

Bron: Microsoft MSRC

Er is publieke exploitcode verschenen op GitHub voor de kwetsbaarheid met kenmerk CVE-2025-49091. Deze kwetsbaarheid bevindt zich in KDE Konsole, de terminaltoepassing van de Linux werkomgeving KDE Plasma, specifiek in versies die ouder zijn dan 25.04.2. De kwetsbaarheid maakt het mogelijk voor een aanvaller om met een enkele klik willekeurige opdrachten uit te voeren op het systeem van het slachtoffer.

Het probleem ontstaat doordat Konsole adressen kan openen die beginnen met ssh, telnet of rlogin. Als het bijbehorende programma voor deze protocollen niet op het systeem aanwezig is, valt Konsole terug op /bin/bash en voert het de meegegeven tekst uit als een opdracht.

Deze gevaarlijke situatie doet zich voor wanneer aan drie voorwaarden is voldaan. De dienst KTelnetService moet aanwezig zijn, de versie van Konsole moet ouder zijn dan 25.04.2, en de programma's telnet, rlogin en ssh moeten alle drie ontbreken. Een concreet voorbeeld hiervan was de standaardsituatie in Fedora KDE Plasma Desktop 42, waar Konsole 24.12.3 werd gebruikt zonder telnet en rlogin.

De nu gepubliceerde exploitcode maakt gebruik van het chatprogramma Gajim als route om de aanval uit te voeren. Een enkele klik in een ontvangen bericht binnen Gajim kan hierbij al volstaan om de kwaadaardige opdracht te activeren.

De kwetsbaarheid werd onafhankelijk van elkaar ontdekt door Patryk Ptak en Dennis Dast. De publieke exploitcode die nu beschikbaar is, is afkomstig van Patryk Ptak. Beheerders van Linux werkplekken wordt dringend aangeraden hun installatie van Konsole bij te werken naar ten minste versie 25.04.2 om systemen te beveiligen tegen misbruik van deze kwetsbaarheid.

Bron: Cybercrimeinfo

Een recent onthulde logicafout in Apple macOS Screen Sharing toont aan hoe een functie, die bedoeld is voor het delen van schermen, misbruikt kan worden voor de volledige uitvoering van root commando's. Het probleem, aangeduid als CVE-2026-43760, treft de screensharingd-service en de bijbehorende bestandskopieerhulpprogramma's, SSFileCopySender en SSFileCopyReceiver, op macOS-systemen. Deze kwetsbaarheid doet zich voor wanneer Screen Sharing of Remote Management is ingeschakeld met de verouderde VNC wachtwoordoptie actief.

De kern van het probleem ligt in de manier waarop de Screen Sharing-service van Apple twee verschillende authenticatiepaden afhandelt. Bij verbinding via de native Apple-authenticatie identificeert de service de gebruiker correct als een macOS-account en voert alle bestandskopieerbewerkingen uit onder de eigen rechten van die gebruiker. Echter, wanneer iemand verbinding maakt via de oudere VNC-authenticatiemethode, waarbij alleen het afzonderlijk geconfigureerde "VNC viewers may control screen with password" wordt gebruikt, is er geen macOS-gebruikersidentiteit gekoppeld aan dat wachtwoord. In plaats van de privileges dienovereenkomstig te beperken, blijven de bestandskopieerhulpprogramma's draaien als root.

Deze functionaliteit creëerde twee gerelateerde kwetsbaarheden. Aan de lees-kant kon een externe kijker de SSFileCopySender vragen om elk gewenst bestandspad op te halen, en omdat het hulpprogramma als root draaide, retourneerde het de inhoud van beveiligde bestanden zoals /etc/sudoers, bestanden die een gewoon gebruikersaccount nooit direct zou kunnen lezen. Aan de schrijf-kant stelde de SSFileCopyReceiver een externe kijker in staat om een bestemmingsmap, bestandsnaam, permissies en bestandsinhoud op te geven, wat opnieuw met rootrechten werd uitgevoerd.

Onderzoekers van Bynar maakten hiervan gebruik om een nieuw bestand direct naar /private/etc/sudoers.d te schrijven. Dit is een map waar elk correct geformatteerd en van de juiste permissies voorzien bestand automatisch wordt vertrouwd door het sudo-commando. Door een geldig, door root beheerd sudoers-beleid te creëren via deze externe bestandsschrijfprimitive, verleenden de onderzoekers een niet-beheerdersaccount wachtwoordloze sudo-toegang. Van daaruit opende één enkel commando een interactieve root shell, volledig op afstand, bereikt volledig via de geauthenticeerde Screen Sharing-sessie en het bestandskopieerprotocol, zonder geheugenbeschadiging, bufferoverloop of exploitketen.

Apple heeft de kwetsbaarheid omschreven als een probleem dat een app toegang geeft tot gevoelige gebruikersgegevens, maar onderzoekers stellen dat dit de werkelijke impact aanzienlijk onderschat, aangezien de bug ook willekeurige rootbestandscreatie en uitvoering van commando's op afstand mogelijk maakt. Onafhankelijke analyses kennen de kwetsbaarheid een CVSS 3.1-score toe van maar liefst 8.8 in scenario's waarin een ontgrendelde sessie al actief is, vergeleken met Apple's officiële rating van 5.5.

Apple heeft de kwestie verholpen in macOS Tahoe 26.6 en macOS Sonoma 14.8.8, beide uitgebracht op 27 juli 2026. Gebruikers die niet direct kunnen updaten, dienen de optie "VNC viewers may control screen with password" uit te schakelen, of Screen Sharing en Remote Management volledig uit te zetten indien externe toegang niet vereist is. Het enkel wijzigen van het VNC-wachtwoord lost de onderliggende autorisatiefout niet op. De zaak onderstreept een bredere trend in kwetsbaarheidsonderzoek, want nu geheugenbeveiligingen traditionele exploits moeilijker maken, richten aanvallers en onderzoekers zich steeds meer op logicafouten en autorisatiefouten, gebreken waarbij elke individuele bewerking zoals ontworpen functioneert, maar de verkeerde entiteit de controle krijgt.

Bron: Bynar

Microsoft heeft bevestigd dat het werkt aan een beveiligingspatch voor een zero-day kwetsbaarheid in Defender, genaamd "ShieldBreak". Deze privilege-escalatiekwetsbaarheid werd openbaar gemaakt door een beveiligingsonderzoeker die de naam "Nightmare Eclipse" gebruikt, kort nadat Microsoft de beveiligingsupdates van augustus 2026 had uitgebracht.

Een woordvoerder van Microsoft verklaarde: "Microsoft is op de hoogte van de gerapporteerde kwetsbaarheid en onderzoekt actief de validiteit en potentiële toepasbaarheid van deze claims. Microsoft zet zich in om beveiligingsproblemen te onderzoeken en getroffen producten zo snel mogelijk bij te werken om klanten te beschermen."

Nightmare Eclipse beschreef ShieldBreak als een omzeiling van RoguePlanet, een andere privilege-escalatiekwetsbaarheid in Defender die in juni werd onthuld. De onderzoeker deelde een proof-of-concept (PoC) exploit voor ShieldBreak, waarmee lokale aanvallers met beperkte rechten systeemrechten kunnen verkrijgen op volledig gepatchte systemen met Windows 10, Windows 11 en Windows Server. Nightmare Eclipse merkte op dat Microsoft er niet in geslaagd is de RoguePlanet-kwetsbaarheid (CVE-2026-50656) correct te patchen, en dat deze PoC een volledige patch-omzeiling demonstreert. De PoC is met 100% succes getest op de nieuwste versies van Windows 11 25H2 (inclusief Canary channel) en Windows Server 2025. Hoewel Windows 10 en de bijbehorende serveredities momenteel niet worden ondersteund door de PoC, zijn ook zij kwetsbaar voor ShieldBreak.

Beveiligingsanalist Will Dormann bevestigde vorige week dat de ShieldBreak-exploit werkt, maar voegde eraan toe dat Microsoft Defender ingeschakeld moet zijn voor aanvallers om de privileges te escaleren. Drie dagen na de openbaarmaking van ShieldBreak heeft Microsoft bevestigd dat de kwetsbaarheid wordt bijgehouden als CVE-2026-69414 en dat er aan een patch wordt gewerkt. Microsoft heeft echter nog niet erkend dat Nightmare Eclipse de ontdekker is. In de officiële verklaring staat: "Microsoft is op de hoogte van een privilege-escalatie in de Microsoft Malware Protection Engine in Microsoft Defender, publiekelijk aangeduid als 'ShieldBreak'. We werken aan een hoogwaardige beveiligingsupdate die deze kwetsbaarheid aanpakt. Informatie hierover zal worden verstrekt in deze CVE zodra de update beschikbaar is."

Nightmare Eclipse heeft ShieldBreak openbaar gemaakt zonder voorafgaande kennisgeving aan Microsoft, als onderdeel van een aanhoudend geschil met het bedrijf over de praktijken rondom het openbaar maken van kwetsbaarheden en bugbounty-programma's. Enkele dagen nadat de onderzoeker PoC-exploits zonder voorafgaande kennisgeving publiceerde, reageerde Microsoft met waarschuwingen voor juridische stappen tegen personen die zich bezighouden met "kwaadaardige activiteiten die reële schade toebrengen" aan hun klanten. Dit werd door velen opgevat als een directe bedreiging aan het adres van de beveiligingsonderzoeker.

Sinds april heeft Nightmare Eclipse meerdere zero-day exploits openbaar gemaakt die gericht zijn op Microsoft Defender, BitLocker en diverse andere Windows-componenten. Deze staan bekend onder namen als LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma en UnDefend. Hoewel Microsoft de kwetsbaarheden YellowKey, GreenPlasma en MiniPlasma heeft opgelost als onderdeel van de Patch Tuesday van juni 2026, en RoguePlanet in juli, blijven de andere door Nightmare Eclipse onthulde beveiligingslekken zero-days en wachten ze nog op een officiële patch.

Bron: Microsoft

GitLab heeft recentelijk beveiligingsupdates uitgebracht om een kritieke kwetsbaarheid aan te pakken die invloed heeft op de Community Edition (CE) en Enterprise Edition (EE) software. Deze kwetsbaarheid, aangeduid als CVE-2026-19478, heeft een CVSS-score van 9.4 gekregen en wordt door GitLab als kritiek beoordeeld. Onder specifieke omstandigheden kan een ongeauthenticeerde aanvaller op afstand publieke projecten en gebruikersdata wijzigen of verwijderen.

De kritieke patch release verscheen op 17 augustus 2026, buiten het gebruikelijke tweemaandelijkse updateschema van GitLab. De fixes zijn beschikbaar in GitLab-versies 19.2.4, 19.1.6, 19.0.8 en 18.11.11. Het is belangrijk op te merken dat alleen zelfbeheerde installaties van GitLab actie moeten ondernemen. GitLab.com en GitLab Dedicated draaien reeds op de gepatchte versie, waardoor klanten van deze diensten geen verdere stappen hoeven te ondernemen. Alle versies van 18.2 vóór 18.11.11 zijn getroffen, waarbij de branches 18.2 tot en met 18.10 binnen het getroffen bereik vallen, maar hiervoor geen fixes zijn uitgebracht.

De CVSS-vector voor CVE-2026-19478 duidt aan dat de kwetsbaarheid via een netwerk kan worden misbruikt door een aanvaller zonder inloggegevens en zonder enige actie van een slachtoffer. GitLab heeft de specifieke GraphQL-directive die betrokken is bij de kwetsbaarheid niet benoemd, noch de exacte voorwaarden voor exploitatie gespecificeerd. Op 18 augustus 2026 was er nog geen openbare exploitcode beschikbaar op GitHub en er zijn geen meldingen van actieve misbruik van deze kwetsbaarheid.

Naast de kritieke kwetsbaarheid is er nog een tweede probleem opgelost in dezelfde release, CVE-2026-19650. Deze is door GitLab als hoog beoordeeld met een CVSS-score van 7.1. Het betreft een cross-site request forgery (CSRF) zwakte in de GraphQL multiplex query handler. In tegenstelling tot de kritieke kwetsbaarheid, vereist deze wel gebruikersinteractie voor een succesvolle exploitatie. GitLab heeft aangegeven dat deze CSRF-zwakte het mogelijk maakte voor een ongeauthenticeerde gebruiker om mutaties uit te voeren via GET-verzoeken, als gevolg van onjuiste validatie van verzoeken in de GraphQL multiplex query handling.

De update introduceert geen nieuwe migraties en zal naar verwachting geen downtime veroorzaken op multi-node implementaties. GitLab heeft aangekondigd dat de technische details van beide kwetsbaarheden ongeveer 90 dagen na de patch release openbaar zullen worden gemaakt op hun issue tracker, wat neerkomt op medio november 2026. Deze openbaarmaking volgt op een eerder rapport in juli 2026, waarin onderzoekers werkende exploitcode publiceerden voor een andere GitLab-kwetsbaarheid die zelfbeheerde servers trof.

Bron: GitLab

Apple heeft recentelijk een reeks belangrijke beveiligingsupdates uitgebracht voor iOS/iPadOS en macOS, die in totaal 108 kwetsbaarheden verhelpen. Deze updates volgen ongeveer twee weken na een kleinere update voor macOS die één specifieke kwetsbaarheid in schermdeling aanpakte. De nu uitgebrachte patches zijn cruciaal voor de beveiliging van gebruikers van Apple-apparaten in Nederland en België, gezien de wijdverspreide adoptie van deze besturingssystemen.

De updates betreffen iOS/iPadOS versies 26 en 18, en macOS versie 26. Het merendeel van de kwetsbaarheden, te weten 87, heeft specifiek betrekking op iOS 18, wat deze release meer een iOS 18-update maakt dan een voor de nieuwere besturingssystemen. Slechts zes van de 108 opgeloste kwetsbaarheden treffen alle drie de vandaag bijgewerkte besturingssystemen, en deze zes bevinden zich allemaal in WebKit. Het goede nieuws is dat er tot op heden geen indicaties zijn dat een van deze kwetsbaarheden actief is misbruikt door kwaadwillenden.

Onder de verholpen problemen bevindt zich een breed scala aan risico's. Zo zijn er diverse kwetsbaarheden in WebKit die kunnen leiden tot crashes van Safari na het verwerken van kwaadaardig webcontent, of het openbaar maken van gevoelige gebruikersinformatie (CVE-2026-28984, CVE-2026-43700, CVE-2026-43705, CVE-2026-43717, CVE-2026-43720, CVE-2026-43727, CVE-2026-43731, CVE-2026-43735, CVE-2026-43742, CVE-2026-43745, CVE-2026-43794). Andere kritieke kwetsbaarheden omvatten onder meer problemen in de kernel die kunnen leiden tot onverwachte systeemterminatie of geheugenbeschadiging (CVE-2026-39868, CVE-2026-43724, CVE-2026-43754, CVE-2026-43757, CVE-2026-43769, CVE-2026-43778).

Daarnaast zijn er kwetsbaarheden gepatcht die een kwaadaardige app in staat kunnen stellen om uit de sandbox te breken (CVE-2026-28973), toegang te krijgen tot gevoelige gebruikersgegevens (via WebKit voor CVE-2026-28958, Storage voor CVE-2026-28996, Siri voor CVE-2026-43800, of de App Store voor CVE-2026-43801), of zelfs rootrechten te verkrijgen via MediaRemote (CVE-2026-43723). Verder zijn er problemen opgelost met de verwerking van kwaadaardige afbeeldingen of audiobestanden die kunnen leiden tot geheugenbeschadiging of app-terminatie (CVE-2026-28990, CVE-2026-43661, CVE-2026-43673, CVE-2026-43711, CVE-2026-43729, CVE-2026-43744).

Gebruikers worden dringend geadviseerd om hun apparaten zo spoedig mogelijk bij te werken naar de nieuwste versies, iOS 26.6.1 en iPadOS 26.6.1, iOS 18.7.10 en iPadOS 18.7.10, en macOS Tahoe 26.6.2. Informatie over de kwetsbaarheden die zijn gepatcht in de VisionOS-release zal op een later tijdstip bekend worden gemaakt door Apple.

Bron: SANS ISC

Twee kritieke kwetsbaarheden zijn recentelijk openbaar gemaakt in populaire plugins voor WordPress: Forminator Forms en User Profile Builder. Deze lekken, beide met een CVSS-score van 9.8, kunnen leiden tot aanzienlijke risico's, waaronder de uitvoering van willekeurige code en volledige sitecompromittering.

De kwetsbaarheid in Forminator Forms, een plugin met meer dan 600.000 actieve installaties, is geïdentificeerd als CVE-2026-15748. Beveiligingsonderzoeker "daroo" ontdekte dit lek, dat onbewezen aanvallers in staat stelt willekeurige bestanden, inclusief uitvoerbare PHP-bestanden, te uploaden naar kwetsbare websites. Dit kan resulteren in remote code execution (RCE) en een volledige overname van de site. Een cruciale voorwaarde voor succesvolle exploitatie is dat de website een formulier moet bevatten met zowel een veld voor bestandsupload als een selectieveld. De kwetsbaarheid treft alle versies van de plugin tot en met 1.56.1 en is op 31 juli 2026 opgelost met de release van versie 1.56.2.

Volgens een rapport van Wordfence ligt de oorzaak van het probleem in de functie `handle_file_upload()`, waar onvoldoende validatie van bestandstypen plaatsvindt in gebruikersinvoer. Een aanvaller kan de gevaarlijke-extensie blokkeerlijst omzeilen door gebruik te maken van MIME-type sleutels met een 'pipe-alternatief', gecombineerd met een publieke indieningshandler die de door de aanvaller gecontroleerde uploadveldconfiguratie vertrouwt, die via een vervalste waarde in een selectieveld wordt geïnjecteerd. Hoewel in de standaardconfiguratie bestanden worden geüpload naar een map die wordt beschermd door een .htaccess-bestand dat PHP-uitvoering voorkomt, kan dit veiligheidsmechanisme worden omzeild. Als een sitebeheerder een aangepaste opslaglocatie voor bestandsuploads heeft geconfigureerd, is het mogelijk dat deze map niet dezelfde bescherming heeft, omdat het .htaccess-bestand pas wordt aangemaakt wanneer het voor het eerst nodig is, tijdens een frontend-verzoek waarbij de WordPress-helper voor het schrijven van het .htaccess-bestand niet wordt geladen. Hierdoor is het simpelweg opvragen van het geüploade bestand voldoende om de webserver de door de aanvaller gecontroleerde PHP-code te laten uitvoeren.

Daarnaast heeft Wordfence een kritieke kwetsbaarheid voor omzeiling van authenticatie (CVE-2026-15826, CVSS 9.8) gemeld in de plugin User Profile Builder, die meer dan 40.000 actieve WordPress-installaties heeft. Dit lek kan onbewezen aanvallers in staat stellen in te loggen als de gebruiker met ID 1, wat doorgaans de sitebeheerder is, en zo de volledige controle over de site over te nemen. De kwetsbaarheid is op 16 juli 2026 verholpen met de release van versie 3.16.5; alle eerdere versies zijn kwetsbaar. Exploitatie is alleen mogelijk op websites waar de instelling 'Automatically Log In' van de plugin is ingeschakeld.

De oorzaak van dit probleem ligt in de functie `wppb_log_in_user()`, die `absint()` aanroept op de retourwaarde van `wp_insert_user()` vóórdat een `is_wp_error()`-controle wordt uitgevoerd. Wanneer een registratie wordt ingediend met een gebruikersnaam van 61 tot 70 tekens, wijst de WordPress-core deze af met een `WP_Error`-object. Echter, `absint()` dwingt dat object om te zetten naar het integer 1 voordat de foutcontrole de uitvoering kan onderbreken. Dit zorgt ervoor dat de plugin een tijdelijke autologin nonce bindt en retourneert die gekoppeld is aan gebruikers-ID 1. Dit stelt onbewezen aanvallers in staat om in te loggen als de beheerdersaccount van de site (gebruikers-ID 1), wat resulteert in een volledige administratieve overname van de site.

Website-eigenaren die een van deze twee plugins gebruiken, wordt dringend geadviseerd de updates zo snel mogelijk toe te passen en ervoor te zorgen dat hun installaties up-to-date zijn.

Bron: Wordfence

Onderzoekers van SSD Secure Disclosure hebben een twee-fasen exploitketen gepubliceerd die volledige toegang tot de Android-kernel kan verschaffen op apparaten die gebruikmaken van modemfirmware van Unisoc. Dit is mogelijk via een VoLTE-videogesprek, en de chipsetfabrikant heeft hiervoor nog geen oplossing uitgebracht.

De waarschuwing, die op 17 augustus 2026 werd gepubliceerd, is de tweede fase van een aanvalsketen die in maart 2026 begon. Toen onthulde SSD al een remote code execution (RCE) kwetsbaarheid in dezelfde firmware, misbruik makend van een foutief geformuleerd SIP-videogesprek. Om de volledige aanvalsketen te voltooien, moet de aanvaller de controle hebben over een privé 4G-mobiel netwerk en moet het slachtoffer het inkomende videogesprek beantwoorden.

SSD Secure Disclosure heeft aangegeven dat zij via meerdere kanalen, waaronder e-mail en LinkedIn, contact hebben opgenomen met de leverancier, maar geen reactie hebben ontvangen. Dezelfde verklaring werd afgelegd bij de eerdere onthulling in maart 2026. Het onderzoek werd uitgevoerd door een onafhankelijke beveiligingsonderzoeker die bekendstaat onder de alias 0x50594d.

De kwetsbaarheid voor privilege-escalatie is geclassificeerd als CWE-1189, "Improper Isolation of Shared Resources on System-on-a-Chip". Op het moment van publicatie is er nog geen CVE-identificatie toegekend. De kwetsbaarheid bevindt zich in de modemfirmware die wordt gedeeld door ten minste drie Unisoc-chipsets, waaronder de T606 (te vinden in de Motorola E13), de T612 (in de Realme C33) en de T7250 (in de Xiaomi Redmi A5). Unisoc, een in Shanghai gevestigde chipfabrikant die voorheen bekendstond als Spreadtrum, levert componenten aan merken zoals Motorola, Realme en Xiaomi voor apparaten die in meer dan 140 landen worden verkocht.

Onderzoekers hebben de privilege-escalatiekwetsbaarheid bevestigd op een Motorola E13 met een beveiligingspatch van februari 2025 en op een Xiaomi Redmi A5 met een patch van januari 2026. Het uitvoeren van de volledige keten vereist eerst een voet aan de grond op modemniveau via de RCE-kwetsbaarheid van maart 2026, samen met door de aanvaller gecontroleerde VoLTE-infrastructuur en een slachtoffer dat het inkomende videogesprek beantwoordt.

De onderzoekers bouwden hun proof-of-concept-omgeving op met behulp van een open-source 4G-kernnetwerk, een software-gedefinieerde radio voor de 4G-radio-interface en gespecialiseerde simkaarten. Zodra code op de modem draait, werkt de privilege-escalatiestap door een volledige-toegangsconfiguratie naar de ARM Memory Protection Unit van de modem te schrijven via coprocessorregisters. Dit brengt de gehele 32-bits fysieke adresruimte in kaart als leesbaar, schrijfbaar en uitvoerbaar vanuit de modemcontext, inclusief de pagina's waar de Android-kernel zich bevindt. Deze situatie is mogelijk door een gedeelde fysieke geheugenruimte tussen de modemprocessor en de applicatieprocessor binnen de Unisoc SoC, zonder hardwarematig afgedwongen grens die voorkomt dat modem-contextcode de kernelgeheugen aanpast.

Onderzoekers bevestigden kernelniveau-code-executie op een testapparaat door de kernel-loguitvoer te observeren, waaruit bleek dat de geïnjecteerde payload was uitgevoerd. Het Android Security Bulletin van augustus 2026, gepubliceerd vóór deze onthulling, behandelt de privilege-escalatiekwetsbaarheid niet, en geen enkel Unisoc-beveiligingsbulletin dekt deze. Een afzonderlijke Unisoc-waarschuwing van oktober 2025, CVE-2025-31718 (CVSS-score: 7.5), beschrijft een modem-invoervalidatiefout in dezelfde chipsetfamilie, hoewel niet duidelijk is of deze overeenkomt met de SSD-onthulling van maart 2026.

Eigenaren van apparaten hebben momenteel geen beschikbare patch of mitigatie en moeten uitkijken naar een firmware-update van hun apparaatfabrikant. Deze onthulling volgt op onafhankelijk onderzoek dat in november 2025 door Kaspersky ICS CERT werd gepubliceerd. Dit onderzoek documenteerde dezelfde architecturale conditie op een andere Unisoc-chip, de UIS7862A, die wordt gevonden in head-units van voertuigen. Na het verkrijgen van modem-code-executie via een afzonderlijke kwetsbaarheid, was het Kaspersky-team ook in staat om de draaiende Android-kernel te bereiken en te wijzigen door misbruik te maken van de gedeelde fysieke adresruimte van de modem en de applicatieprocessor. Kaspersky beschreef een van zijn laterale bewegingspaden, waarbij een verborgen Direct Memory Access-randapparaat betrokken was, als een hardwareprobleem dat niet via een software-update kon worden opgelost. De route via de Memory Protection Unit, gebruikt in de SSD-keten, is in principe wel aan te pakken via een firmwarewijziging, hoewel Unisoc nog geen dergelijke update heeft toegezegd. Een gecoördineerde kwetsbaarheid in de Unisoc-modem, ontdekt door Check Point Research in 2022 (CVE-2022-20210), werd door Unisoc gepatcht en verspreid via het Android Security Bulletin. De twee momenteel onthulde kwetsbaarheden dragen een dergelijke zekerheid niet.

Bron: SSD Secure Disclosure

Een belangrijke update voor Microsoft Exchange Subscription Edition (SE), bekend als Cumulative Update 1 (CU1), heeft aanzienlijke vertraging opgelopen. Microsoft heeft aangegeven dat de oorzaak hiervan ligt bij diverse kwetsbaarheden die zijn ontdekt met behulp van kunstmatige intelligentie (AI).

Organisaties die Exchange SE gebruiken, zijn afhankelijk van Cumulative Updates (CU's) om alle beveiligingsupdates, bugfixes en nieuwe functies te ontvangen. Het is cruciaal om deze CU's te installeren om toekomstige beveiligingsupdates te blijven ontvangen. Oorspronkelijk stond de release van CU1 gepland voor de eerste helft van dit jaar. Echter, Microsoft heeft via een blogposting van het Exchange Team laten weten dat de lancering is verschoven naar de tweede helft van het jaar, zonder een precieze releasedatum te kunnen noemen.

De vertraging wordt direct toegeschreven aan de vondst van meerdere beveiligingsproblemen in Exchange door AI-tools. Microsoft maakt sinds enkele maanden gebruik van dergelijke tools om beveiligingslekken op te sporen, wat al diverse kwetsbaarheden aan het licht heeft gebracht. Het techbedrijf waarschuwt klanten dat zij ook in de toekomst rekening moeten houden met een groot aantal beveiligingsupdates.

Microsoft streeft ernaar om CU1 pas uit te brengen wanneer een redelijk stabiel punt is bereikt en er minstens een maand zonder belangrijke beveiligingsupdates is verstreken. Dit om te voorkomen dat systeembeheerders direct na de installatie van CU1 opnieuw aan de slag moeten met aanvullende beveiligingsupdates, wat zou leiden tot onnodig dubbelwerk.

Bron: Microsoft

Er is sprake van kwaadaardige scans en actieve misbruikpogingen van twee kritieke kwetsbaarheden die MLflow, een open-source platform voor kunstmatige intelligentie (AI), en FUXA, open-source, webgebaseerde SCADA/HMI-software voor operationele technologie (OT) en industriële automatisering, treffen. Onafhankelijke rapporten van securityonderzoeksbedrijven watchTowr en VulnCheck hebben deze activiteiten gedetecteerd.

De betreffende kwetsbaarheden zijn:

*   **CVE-2026-64849** (CVSS-score: 9.3): Een ongeauthenticeerde Server-Side Request Forgery (SSRF)-kwetsbaarheid in MLflow. Deze kwetsbaarheid stelt een aanvaller die de tracking server (MLflow-server) kan bereiken in staat om HTTP-verzoeken uit te voeren naar willekeurige interne endpoints voor cloudmetadata en zo gevoelige data te extraheren. Deze kwetsbaarheid treft MLflow-versies ouder dan 3.15.0. WatchTowr meldde op LinkedIn dat aanvallers deze kwetsbaarheid misbruiken om cloudaanmeldgegevens en geheimen te stelen. Binnen enkele uren na de toewijzing van de CVE op 17 augustus 2026 werden er al indiscriminatoire scans gedetecteerd op blootgestelde MLflow-instances. Yordan Ganchev, principal threat intelligence specialist bij watchTowr, verklaarde dat de kwetsbaarheid in de model registry webhooks van MLflow verzoeken via het getroffen systeem proxy's en interactie met interne diensten mogelijk maakt. De beveiligingsfout omzeilt eerdere fixes vanwege de manier waarop web redirects worden afgehandeld. Telemetrie van wereldwijde honeypots toont aan dat aanvallers deze kwetsbaarheid misbruiken om MLflow-systemen die in de cloud worden gehost, te targeten in een poging om referenties en geheimen te extraheren van bekende interne IP-adressen en diensten. Organisaties die MLflow gebruiken, wordt aangeraden om prioriteit te geven aan het patchen van getroffen, blootgestelde systemen, auditlogs te controleren op tekenen van compromittering en te verifiëren of gevoelige aanmeldgegevens zijn blootgesteld.

*   **CVE-2026-25895** (CVSS-score: 9.5): Een kwetsbaarheid in FUXA met ontbrekende authenticatie voor een kritieke functie en path traversal. Deze kwetsbaarheid stelt een ongeauthenticeerde, externe aanvaller in staat om willekeurige bestanden naar het bestandssysteem van de server te schrijven en remote code execution (RCE) te bereiken. Deze kwetsbaarheid treft FUXA-versies tot en met 1.2.9. VulnCheck rapporteerde dat kwaadaardige scans gericht op deze kwetsbaarheid zijn begonnen op 18 augustus 2026. Een enkel IP-adres is waargenomen dat breed het internet scant op kwetsbare FUXA-instances. Er zijn ongeveer zestig FUXA-installaties blootgesteld aan het publieke internet. Caitlin Condon, vicepresident onderzoek bij VulnCheck, meldde op LinkedIn dat de aanvallers via de CVE-2026-25895 path traversal proberen om het bestand main.js te overschrijven met onbruikbare data. Er zijn nog geen RCE-payloads gedropt.

In het afgelopen jaar zijn twee andere kwetsbaarheden in FUXA, namelijk CVE-2026-25939 en CVE-2023-33831, ook actief misbruikt. De activiteit met betrekking tot de laatstgenoemde kwetsbaarheid dateert zelfs al van november 2025 en was tot recent nog gaande.

Bron: VulnCheck

De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft recentelijk een kwetsbaarheid, getraceerd als CVE-2025-62593 met een CVSS-score van 9.4, toegevoegd aan haar Known Exploited Vulnerabilities (KEV) catalogus. Deze kritieke kwetsbaarheid betreft een remote code execution (RCE) in Ray, een veelgebruikte AI compute engine. De toevoeging aan de KEV-catalogus betekent dat de kwetsbaarheid actief wordt misbruikt door aanvallers.

De kwetsbaarheid bevindt zich in versies van Ray vóór 2.52.0 en wordt veroorzaakt door een onvoldoende bescherming van het Ray-dashboard en de API tegen browser-gebaseerde aanvallen. De verdediging van Ray vertrouwde op een controle of de HTTP User-Agent header begon met de string "Mozilla". Deze verdediging bleek echter onvoldoende, aangezien de specificatie voor het ophalen van gegevens (fetch specification) toestaat dat de User-Agent header door browsers kan worden gewijzigd.

Door deze zwakte te combineren met een DNS rebinding aanval, kunnen aanvallers potentieel willekeurige code uitvoeren op de machine van een ontwikkelaar. Dit kan gebeuren wanneer de ontwikkelaar onbedoeld een kwaadaardige website bezoekt of een schadelijke advertentie (malvertising) te zien krijgt terwijl Ray actief is. De kwetsbaarheid treft specifiek de browsers Firefox en Safari. Versie 2.52.0 van Ray verhelpt dit probleem.

Volgens een analyse van Aviatrix, een threat intelligence bedrijf, stelde de exploitatie van deze kwetsbaarheid aanvallers in staat om privileges binnen het systeem te escaleren, lateraal door het netwerk te bewegen, command-and-control-kanalen op te zetten, gevoelige gegevens te exfiltreren en uiteindelijk de operaties te verstoren.

In lijn met de Binding Operational Directive (BOD) 22-01, die gericht is op het verminderen van het aanzienlijke risico van actief misbruikte kwetsbaarheden, heeft CISA federale instanties opgedragen om deze kwetsbaarheid uiterlijk 20 augustus 2026 te patchen. Experts adviseren ook private organisaties dringend om de KEV-catalogus te raadplegen en de kwetsbaarheden in hun eigen infrastructuur aan te pakken om zich te beschermen tegen dergelijke aanvallen.

Bron: Ray Project

Siemens heeft een waarschuwing uitgegeven betreffende een kritieke kwetsbaarheid (CVE-2026-59086) in zijn Simcenter Nastran en Simcenter Femap software, die voornamelijk wordt ingezet in cruciale infrastructuursectoren wereldwijd. De kwetsbaarheid, geclassificeerd als een stack overflow (CWE-121 Stack-based Buffer Overflow), kan leiden tot remote code execution.

De specifieke zwakte bevindt zich in de manier waarop de applicatiebinaries omgaan met bestandsargumenten. Wanneer een van de getroffen applicatiebinaries een willekeurige string als bestandsargument leest, kan een stack overflow worden getriggerd. Een aanvaller kan hiervan misbruik maken door een gebruiker te misleiden om een van de kwetsbare applicaties met een kwaadaardige string uit te voeren. Dit kan resulteren in het uitvoeren van code op afstand, met de rechten van het huidige proces. De CVSS v3.1 score voor deze kwetsbaarheid is vastgesteld op 7.8 (HIGH), met een vectorstring van CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H.

De getroffen producten zijn Siemens Simcenter Femap versies ouder dan V2606 en Simcenter Nastran versies ouder dan V2606. Siemens heeft inmiddels updates uitgebracht en adviseert gebruikers dringend om te upgraden naar versie V2606 of later. De kwetsbaarheid werd aan Siemens ProductCERT gerapporteerd door Michael Heinzl.

De impact van deze kwetsbaarheid is significant, gezien de brede toepassing van Simcenter Nastran en Femap in sectoren zoals kritieke productie, de defensie-industrie, energie, gezondheidszorg en transport. Deze software wordt wereldwijd gebruikt, wat de noodzaak voor snelle patching onderstreept.

CISA, die deze waarschuwing van Siemens heeft overgenomen, herhaalt de algemene aanbevelingen voor industriële controlesystemen. Gebruikers wordt geadviseerd de netwerkblootstelling van alle controlesysteemapparaten en -systemen te minimaliseren en ervoor te zorgen dat deze niet toegankelijk zijn via het internet. Controlesysteemnetwerken en externe apparaten dienen achter firewalls te worden geplaatst en te worden geïsoleerd van bedrijfsnetwerken. Indien externe toegang vereist is, dienen veiligere methoden zoals Virtual Private Networks (VPN's) te worden gebruikt, waarbij erkend moet worden dat VPN's zelf kwetsbaarheden kunnen bevatten en regelmatig moeten worden bijgewerkt. CISA benadrukt tevens het belang van een grondige impactanalyse en risicobeoordeling alvorens defensieve maatregelen te implementeren, en moedigt organisaties aan om aanbevolen cybersecuritystrategieën voor proactieve verdediging van ICS-assets toe te passen.

Bron: Siemens

De Cybersecurity and Infrastructure Security Agency (CISA) heeft een waarschuwing uitgegeven voor meerdere kritieke kwetsbaarheden in CISA Malcolm, een suite voor netwerkverkeeranalyse. Succesvolle exploitatie van deze kwetsbaarheden kan leiden tot een denial-of-service (DoS) conditie of de uitvoering van willekeurige code door een aanvaller. De volgende versies van CISA Malcolm zijn getroffen: Malcolm <26.06.1 (CVE-2026-55676), Malcolm <26.07.0 (CVE-2026-63133, CVE-2026-63134, CVE-2026-63177) en Malcolm <=26.07.1 (CVE-2026-19670, CVE-2026-19671).

Eén van de meest significante kwetsbaarheden is CVE-2026-55676, die van invloed is op versies van Malcolm ouder dan 26.06.1 en een CVSS v3.1 score van 8.8 (High) heeft. Deze kwetsbaarheid bevindt zich in het bestands-upload component, dat standaard alle bestandstypen accepteert omdat de 'allow-list' leeg is. Hierdoor blijft de `.php` extensie intact na het opschonen van de bestandsnaam. Geüploade bestanden komen terecht in de map `/var/www/upload/server/php/files`, waarna de nginx-configuratie alle URL's die eindigen op `.php` naar `php-fpm` routeert. In RBAC-modus (Role-Based Access Control) is het upload-eindpunt bereikbaar voor gebruikers met de `ROLE_UPLOAD` rol, die eigenlijk bedoeld is voor het indienen van capture-bestanden. Dit stelt een gebruiker met deze rol in staat om willekeurige PHP-code uit te voeren als `www-data` binnen de bestands-upload container. Een update naar Malcolm versie 26.06.1 verhelpt dit probleem.

Twee andere belangrijke kwetsbaarheden, CVE-2026-63133 en CVE-2026-63134, treffen Malcolm versies ouder dan 26.07.0. CVE-2026-63133, met een CVSS v3.1 score van 6.5 (Medium) en een CVSS v4.0 score van 7.1 (High), betreft een gebrek aan resource-allocatiebeperkingen. De `safe-extract.py` functie, die geüploade archieven uitpakt, heeft geen limieten voor het aantal entries, de directoriediepte, het totale aantal entries of de uitvoergrootte. Een klein, kwaadaardig archief met een groot aantal directory- of bestandsentries kan de filebeat-verwerkingscontainer ertoe aanzetten om een onbeperkt aantal bestandssysteemobjecten te creëren. Dit kan leiden tot uitputting van inodes of bestandssysteemmetadata, waardoor de verwerkingspijplijn en alle services die dezelfde mount delen, worden lamgelegd.

CVE-2026-63134, met een CVSS v3.1 score van 5.4 (Medium) en een CVSS v4.0 score van 5.3 (Medium), is een path traversal kwetsbaarheid. Hoewel `safe-extract.py` de extractie van bestanden beschermt met veilige vlaggen van libarchive, creëert het directory-entries met een `os.makedirs()` functie die geen traversal-bescherming biedt. Een geüpload kwaadaardig archief met een directory-entry die een `../` sequentie of een absoluut pad bevat, kan de filebeat-verwerkingscontainer ertoe brengen directories buiten de beoogde extractiemap te creëren. Dit kan leiden tot onbedoelde bestandscreatie of -wijziging op het systeem. Malcolm versie 26.07.0 verhelpt zowel CVE-2026-63133 als CVE-2026-63134, samen met CVE-2026-63177.

CISA Malcolm wordt wereldwijd ingezet in kritieke infrastructuursectoren, waaronder informatietechnologie. Beheerders van CISA Malcolm worden dringend geadviseerd om hun systemen te updaten naar de gepatchte versies (26.06.1 en 26.07.0) om deze kwetsbaarheden te mitigeren.

Bron: CISA

In GeoTools, de onderliggende bibliotheek van het veelgebruikte kaartplatform GeoServer, is een kritieke kwetsbaarheid ontdekt die aanvallers in staat stelt zonder authenticatie databasecommando's uit te voeren. Het lek, met een score van 9,8 op tien, bevindt zich in de filterfunctie jsonArrayContains bij het bevragen van PostGIS-lagen. De meegegeven waarde aan deze functie wordt zonder de benodigde ontsnapping direct in de opgebouwde databasequery geschreven, wat leidt tot een SQL-injectiekwetsbaarheid.

Beheerders van GeoTools waarschuwen dat de gebruikelijke beschermingsmechanismen, zoals voorbereide queries, in dit specifieke geval niet effectief zijn tegen misbruik. De kwetsbaarheid heeft geen eigen CVE-nummer gekregen, maar wordt bijgehouden onder het advisorynummer GHSA-mqjf-5f49-2fjh. Het betreft een terugval van CVE-2023-25158, een lek dat in 2023 al gedicht leek, wat duidt op een terugkerend probleem in de afhandeling van inputvalidatie.

Getroffen versies van GeoTools zijn 33.1 en hoger, 34.0 en hoger, en 35.0. Voor deze versies zijn patches uitgebracht in GeoTools 33.6, 34.5 en 35.1. GeoServer bracht op 14 augustus 2026 al drie beveiligingsreleases uit die deze reparaties meenemen, namelijk 2.27.6, 2.28.5 en 3.0.1.

Onderzoekers hebben binnen enkele uren na de openbaarmaking van het lek honderden pogingen waargenomen om kwetsbare servers op het internet te identificeren. Deze pogingen kwamen van een beperkt aantal IP-adressen. Hoewel er sprake is van actieve scanning, zijn er op dit moment nog geen bevestigde inbraken openbaar gerapporteerd.

De kwetsbaarheid is van groot belang voor Nederland en België, aangezien GeoServer breed wordt ingezet door overheden en organisaties voor het ontsluiten van geografische data. Beheerders van omgevingen van GeoServer wordt dringend geadviseerd hun systemen te controleren op de geïnstalleerde versies en te evalueren of de kaartdienst noodzakelijkerwijs vanaf het internet bereikbaar moet zijn.

Bron: GeoTools

Op 19 augustus 2026 heeft Citrix een beveiligingsadvies uitgebracht over meerdere kritieke kwetsbaarheden in NetScaler ADC, voorheen bekend als Citrix ADC, en NetScaler Gateway, voorheen bekend als Citrix Gateway. Het CERT-EU adviseert om de getroffen apparaten zo snel mogelijk bij te werken.

De eerste kwetsbaarheid, aangeduid als CVE-2026-19489, heeft een CVSS-score van 8.8. Dit betreft een geheugenoverloopkwetsbaarheid die kan leiden tot onvoorspelbaar gedrag of een Denial of Service (DoS). Deze kwetsbaarheid is alleen van toepassing wanneer SIP ALG (Session Initiation Protocol Application Layer Gateway) is ingeschakeld in een LSN (Large Scale NAT) groepsconfiguratie. Klanten kunnen controleren of hun appliance aan deze voorwaarde voldoet door in de configuratie van NetScaler te zoeken naar de tekenreeks `add lsn group.*sipalg.*`.

De tweede kwetsbaarheid, CVE-2026-19490, heeft een CVSS-score van 9.3 en maakt een authenticatie omzeiling mogelijk via een alternatief pad. Voor deze kwetsbaarheid is het vereist dat de appliance is geconfigureerd als een Gateway (voor SSL VPN, ICA Proxy, CVPN of RDP Proxy) of als een AAA virtuele server. Op versies 14.1-43.56 en hoger, en 13.1-61.28 en hoger, is het probleem alleen relevant als een SAML-actie is geconfigureerd. Op eerdere builds en 13.1 FIPS-versies is de configuratie als Gateway of AAA virtuele server al voldoende. Gebruikers kunnen de configuratie van NetScaler inspecteren op de aanwezigheid van de configuratieregel voor de SAML-actie met add authentication samlAction of de regel voor Auth of VPN vserver met add authentication vserver .* OR add vpn vserver .*` om te bepalen of de voorwaarde van toepassing is.

De volgende ondersteunde versies van NetScaler ADC en NetScaler Gateway zijn getroffen, namelijk versie 14.1 vóór 14.1-73.32, versie 13.1 vóór 13.1-63.21, NetScaler ADC FIPS vóór 14.1-73.32 FIPS, en NetScaler ADC FIPS en NDcPP vóór 13.1-37.277.

CERT-EU adviseert dringend om de relevante bijgewerkte versies zo snel mogelijk te installeren op alle getroffen apparaten om de risico's van deze kritieke kwetsbaarheden te mitigeren.

Bron: Citrix

De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft recentelijk meerdere kritieke kwetsbaarheden toegevoegd aan haar Known Exploited Vulnerabilities (KEV) catalogus. Deze catalogus omvat beveiligingslekken waarvan bekend is dat ze actief worden misbruikt door aanvallers, wat een verhoogd risico met zich meebrengt voor organisaties. De nieuw toegevoegde kwetsbaarheden betreffen Apple macOS, Microsoft SharePoint, Broadcom VMware vCenter en Microsoft Internet Key Exchange (IKE).

Een van de kwetsbaarheden is CVE-2026-33824, een 'double free' kwetsbaarheid in de Microsoft IKE Service Extensions met een CVSS-score van 9.8. Dit lek in de Windows IKE-service-extensies kan door externe aanvallers worden misbruikt voor 'remote code execution' (RCE) op getroffen systemen. Hoewel het blokkeren van UDP-poorten 500 en 4500 de blootstelling aan externe dreigingen kan verminderen, blijft het risico op interne aanvallen voor laterale beweging bestaan. CISA adviseert daarom dringend snelle patching.

Daarnaast is CVE-2026-55040, een authenticatie-bypass in Microsoft SharePoint, aan de lijst toegevoegd met een CVSS-score van 9.1. Een niet-geauthenticeerde aanvaller kan zwakke punten in de JWT-validatie misbruiken om tokens te vervalsen en zich voor te doen als elke SharePoint-gebruiker, inclusief beheerders. Onderzoekers van Rapid7 beschreven een exploit-keten waarbij een JWT waarin het algoritmeveld op none staat wordt gebruikt, SharePoint's eigen STS-certificaat-thumbprint wordt misbruikt, en een niet-geverifieerde signatuur zoals "AAAA" wordt doorgegeven. Defused-onderzoekers hebben waargenomen dat aanvallers het Rapid7 'proof-of-concept' (POC) voor deze kwetsbaarheid tegen hun SharePoint-honeypots gebruikten.

Een derde belangrijke kwetsbaarheid is CVE-2026-59310, een 'path traversal' lek in Broadcom VMware vCenter, eveneens met een CVSS-score van 9.8. Deze kwetsbaarheid bevindt zich in de Syslog-server van VMware vCenter en stelt een kwaadwillende actor met netwerktoegang in staat om willekeurige code uit te voeren. Broadcom heeft de ernst van dit probleem als kritiek geëvalueerd.

Tot slot is CVE-2026-65400, een kwetsbaarheid voor onjuiste authenticatie in Apple macOS, toegevoegd. Dit lek bevindt zich in de ingebouwde Screen Sharing functie van macOS, een tool voor remote desktop. Het Nederlandse Nationaal Cyber Security Centrum (NCSC) bevestigde op 15 augustus 2026 de actieve exploitatie van deze kritieke macOS-authenticatiekwetsbaarheid, minder dan twee weken nadat Apple de fix had uitgebracht. Apple heeft dit probleem verholpen met de release van macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 en macOS Sonoma 14.8.9, en crediteerde onderzoeker Alfredo Pesoli van Bynario Atlas voor de ontdekking. Volgens het advies kon een aanvaller op het netwerk authenticeren bij Screen Sharing zonder geldige inloggegevens.

CISA heeft federale instanties opgedragen deze kwetsbaarheden uiterlijk 21 augustus 2026 te verhelpen, in overeenstemming met de Binding Operational Directive (BOD) 22-01. Experts adviseren ook private organisaties om de KEV-catalogus te raadplegen en de geïdentificeerde kwetsbaarheden in hun infrastructuur aan te pakken.

Bron: CISA

Cybersecurity-onderzoekers hebben details openbaar gemaakt over een kritieke kwetsbaarheid in de Elementor Pro WordPress plugin die, bij succesvolle exploitatie, kan leiden tot remote code execution (RCE). De kwetsbaarheid, aangeduid als CVE-2026-32475, heeft een CVSS-score van 9.0 uit 10.0 en wordt beschreven als een ongecontroleerde upload van een bestand met een gevaarlijk type.

Volgens het WordPress securitybedrijf Patchstack ligt de fout in het File Upload veld van de Forms module. De extensiecontrole en de bestand-verplaatsingsstap werken in twee afzonderlijke loops met verschillende afhandeling van lege bestandsvermeldingen. Door twee bestandsdelen voor hetzelfde veld in te dienen, kan een niet-geauthenticeerde aanvaller de extensie-blokkadelijst volledig omzeilen en een PHP-bestand naar een openbare directory schrijven. Deze inconsistentie in de validatie van de bestandsextensie en het verplaatsen van het geüploade bestand naar een openbare directory, wanneer lege bestandsvermeldingen worden verwerkt, transformeert een beperkt bestands-uploadveld in een ongeauthenticeerde RCE-mogelijkheid.

Succesvolle exploitatie van de kwetsbaarheid stelt een aanvaller in staat om willekeurige bestanden te uploaden, inclusief PHP-scripts, die vervolgens kunnen worden gebruikt om remote code execution op getroffen systemen te realiseren. Het beveiligingslek treft alle versies van de plugin tot en met versie 4.2.1. De enige voorwaarde voor een aanval is dat de doelsite ten minste één gepubliceerde Elementor-pagina bevat met een Form widget inclusief een File Upload veld. Het geüploade bestand wordt weggeschreven als "wp-content/uploads/elementor/forms/<uniqid>.php", waarbij "<uniqid>" de output is van de PHP-functie `uniqid()`. Deze configuratie is zeer gangbaar, bijvoorbeeld bij sollicitatieformulieren, formulieren voor het bijvoegen van foto's of bonnen, en supportticket-bijlagen. De standaardinstelling van het 'Required'-veld is uitgeschakeld, waardoor geen specifieke of ongebruikelijke instellingen nodig zijn voor exploitatie.

Beveiligingsonderzoeker Tin Pham (ook bekend als TF1T) wordt gecrediteerd voor de ontdekking en melding van het lek via het Patchstack Bug Bounty Programma. Na de melding aan Elementor Pro op 16 juli 2026, werd op 19 augustus een patch (versie 4.2.2) uitgebracht.

De update voor Elementor Pro volgt kort na de release van WordPress 7.0.4, die een ander beveiligingsprobleem met hoge ernst (CVE-2026-65640, CVSS-score: 8.8) aanpakt. Dit probleem maakte remote code execution mogelijk via de upload van een kwaadaardig Postscript-bestand door een gebruiker met Author-niveau of hoger. Deze kwetsbaarheid trof WordPress core versies 4.7 tot en met 7.0. Voor een succesvolle aanval moeten twee voorwaarden zijn voldaan: Imagick en Ghostscript moeten op de server in gebruik zijn, gezien het probleem in de afhandeling van bepaalde ingebedde bestanden door Ghostscript, en een kwaadaardige gebruiker met de `upload_files` functionaliteit is vereist. De update van WordPress verandert de manier waarop WordPress geüploade media aan ImageMagick overdraagt en sluit een pad af dat een ingelogde auteur in staat zou stellen een ogenschijnlijk normale afbeelding-upload om te zetten in code-executie op de server. De impact is groter voor websites met meerdere auteurs, lidmaatschapssites, of clientsites met bijdragers.

De bevindingen vallen samen met de ontdekking van een grootschalige operatie genaamd 'StopAndProtect', die duizenden gecompromitteerde WordPress-websites omvormt tot een gedistribueerde infrastructuur voor malwarelevering, command-and-control communicatie en de opslag van gestolen data. WordPress-gebruikers wordt geadviseerd om hun websites en plugins up-to-date te houden, te scannen op ongeautoriseerde wijzigingen die leiden tot onverwachte redirects of pop-ups, en te controleren op onbekende accounts en plugins.

Bron: Patchstack

Oracle heeft recentelijk diverse kwetsbaarheden aangepakt binnen zijn PeopleSoft Enterprise PeopleTools, een cruciaal softwareplatform voor veel grote organisaties. De patches betreffen specifieke modules, waaronder Integration Broker, Data Mover, Configuration Manager, FIN Common Objects, FIN Lease Administration en CC Common Application Objects. De getroffen versies van PeopleSoft Enterprise PeopleTools zijn 8.61 tot en met 8.63 en 9.1 tot en met 9.2.

De geconstateerde beveiligingslekken bieden aanvallers de mogelijkheid om, veelal via netwerktoegang zoals HTTP of Oracle Net, systemen volledig over te nemen. Dit kan zonder authenticatie plaatsvinden, of met slechts lage gebruikersprivileges. De kwetsbaarheden stellen kwaadwillenden in staat om kritieke data te creëren, wijzigen of verwijderen, wat aanzienlijke risico's met zich meebrengt voor de vertrouwelijkheid, integriteit en beschikbaarheid van de systemen en de daarin opgeslagen informatie.

Een deel van de kwetsbaarheden vereist interactie van een gebruiker om succesvol te worden uitgebuit, terwijl andere volledig autonoom kunnen worden geactiveerd. De aard van de lekken varieert en omvat onder meer het omzeilen van authenticatieprocessen, privilege-escalatie en het uitvoeren van ongeautoriseerde acties binnen het systeem. Ook specifieke onderdelen zoals de Integration Broker en de Configuration Manager zijn als kwetsbaar geïdentificeerd.

De ernst van de kwetsbaarheden wordt onderstreept door de CVSS 3.1 basis scores, die variëren van 4.4 tot een zeer kritieke 9.8. Meerdere kwetsbaarheden hebben een hoge score, wat duidt op een significante impact op de algehele beveiliging van de PeopleSoft-systemen. Organisaties die gebruikmaken van de genoemde Oracle PeopleSoft Enterprise PeopleTools versies worden dringend geadviseerd de uitgebrachte patches zo snel mogelijk te implementeren om hun systemen te beveiligen tegen potentiële aanvallen.

Bron: NCSC

Oracle heeft kwetsbaarheden verholpen in diverse Financial Services Enterprise modules. De kwetsbaarheden bevinden zich in Third Party producten.

Het betreft producten zoals Apache Kafka, Log4j en het Spring Framework, waarvoor eerder door de ontwikkelaars updates zijn uitgebracht. Deze updates zijn nu verwerkt door Oracle in de Financial Services modules die gebruik maken van deze Third Party producten.

Een kwaadwillende kan de kwetsbaarheden misbruiken om toegang te krijgen tot gevoelige gegevens, een Denial-of-Service veroorzaken of om willekeurige code uit te voeren op het kwetsbare systeem.

Bron: NCSC

Oracle heeft recentelijk meerdere kwetsbaarheden gepatcht in verschillende componenten van Oracle Enterprise Manager. Het Nationaal Cyber Security Centrum (NCSC) heeft hierover een waarschuwing uitgegeven, wat het belang van deze updates voor Nederlandse en Belgische organisaties onderstreept. De betroffen producten zijn de Oracle Enterprise Manager Base Platform en Oracle Enterprise Manager voor Systems Infrastructure.

De kwetsbaarheden, die van invloed zijn op versies 13.5 en 24.1 van de Enterprise Manager-producten, omvatten diverse problemen die ernstige risico's met zich meebrengen. Een aanvaller kan in sommige gevallen met lage privileges, en soms zelfs zonder authenticatie via het netwerk, volledige controle over het getroffen systeem verkrijgen. In andere scenario's kan toegang met geldige inloggegevens leiden tot hetzelfde resultaat.

Deze kwetsbaarheden stellen kwaadwillenden in staat om data te creëren, te verwijderen of te wijzigen binnen het systeem. Bovendien kunnen zij toegang krijgen tot gevoelige informatie die op de systemen is opgeslagen. Een van de specifieke risico's die de NCSC-waarschuwing benadrukt, is de mogelijkheid tot privilege-escalatie, waarbij een aanvaller met beperkte rechten hogere, vaak administratieve, privileges kan verkrijgen. Dit kan leiden tot een volledige compromittering van de beheerde systemen.

Gezien de brede toepassing van Oracle Enterprise Manager in bedrijfsomgevingen, waaronder in Nederland en België, is het van cruciaal belang dat organisaties de aangeboden patches zo snel mogelijk implementeren. Het negeren van deze updates kan leiden tot aanzienlijke operationele verstoringen, datalekken en financiële schade. Het advies van het NCSC is dan ook om proactief te handelen en de beveiligingsupdates van Oracle onmiddellijk toe te passen om potentiële aanvallen te mitigeren en de integriteit van de IT-infrastructuur te waarborgen. Het is een herinnering aan de constante noodzaak voor zorgvuldig patchmanagement in complexe enterprise-omgevingen.

Bron: NCSC

Oracle heeft recentelijk een reeks ernstige kwetsbaarheden verholpen die aanwezig waren in diverse modules van zijn Communications-productsuite. Deze beveiligingslekken, die variëren in aard en potentiële impact, vormen een aanzienlijk risico voor de integriteit en beschikbaarheid van systemen die deze software gebruiken. Organisaties die afhankelijk zijn van Oracle Communications-producten worden dringend geadviseerd om de relevante updates te implementeren en hun systemen te controleren op toepasselijkheid van de fixes.

De getroffen modules omvatten belangrijke componenten zoals Oracle Communications Cloud Native Core Network Exposure Function, Oracle Commerce Guided Search en Oracle Communications Unified Inventory Management. De aard van de kwetsbaarheden is divers en omvat onder meer stack-based buffer overflows, die kunnen leiden tot het overschrijven van geheugen en potentieel tot Denial of Service (DoS) of de uitvoering van willekeurige code. Daarnaast zijn er problemen met onjuiste validatie van input, waardoor aanvallers onverwacht gedrag kunnen forceren of schadelijke gegevens kunnen injecteren in het systeem.

Verder zijn er lekken geïdentificeerd met betrekking tot prototype pollution, een kwetsbaarheid die het manipuleren van JavaScript-objecten mogelijk maakt en in sommige gevallen kan escaleren tot remote code execution (RCE). Onvoldoende autorisatie (improper authorization) en onvoldoende toegangscontrole zijn eveneens verholpen, wat impliceert dat gebruikers met beperkte rechten ongeautoriseerde acties konden uitvoeren of toegang konden krijgen tot gevoelige informatie. De presence van use-after-free kwetsbaarheden duidt op geheugenbeheerfouten die kunnen resulteren in systeemcrashes of de uitvoering van kwaadaardige code. Tot slot is een deserialization filter bypass aangepakt, wat aanvallers in staat stelt om kwaadaardige objecten te deserialiseren en zo het systeem te compromitteren.

De misbruikmogelijkheden van deze kwetsbaarheden zijn aanzienlijk. Kwaadwillenden kunnen de lekken inzetten om Denial of Service-aanvallen uit te voeren, waardoor de beschikbaarheid van kritieke diensten wordt onderbroken. Ook kunnen ze ongeautoriseerde toegang verkrijgen tot systemen, gevoelige data wijzigen of inzien, en in het ergste geval arbitrary code execution uitvoeren. Dit laatste kan leiden tot een volledige compromittering van het getroffen systeem, waarbij aanvallers volledige controle over de omgeving verkrijgen. Specifiek kunnen sommige kwetsbaarheden leiden tot privilege escalatie, waardoor een aanvaller met beperkte rechten beheerdersrechten kan verkrijgen. Authenticatie kan ook worden omzeild, wat ongeautoriseerde toegang vergemakkelijkt, en remote code execution is in bepaalde gevallen mogelijk zonder enige vorm van authenticatie.

Deze kwetsbaarheden zijn aanwezig in diverse versies van de genoemde producten en modules. Oracle heeft voor veel van deze problemen reeds fixes uitgebracht in specifieke versies. Het is daarom van cruciaal belang dat beheerders en securityprofessionals de officiële advisories van Oracle raadplegen om te bepalen welke specifieke kwetsbaarheden van toepassing zijn op hun eigen systemen en welke updates geïnstalleerd moeten worden om de risico's te mitigeren. Regelmatige controle en tijdige patching zijn essentieel om de beveiliging van Oracle Communications-infrastructuren te waarborgen.

Bron: NCSC

Oracle heeft recentelijk diverse kritieke kwetsbaarheden verholpen in versie 11.4.0 van zijn Oracle Commerce Platform. Deze beveiligingslekken stelden ongeauthenticeerde aanvallers in staat om, met enkel netwerktoegang, zonder enige vorm van authenticatie essentiële acties uit te voeren. Dit omvat een breed scala aan potentieel schadelijke handelingen, waaronder het verkrijgen van ongeautoriseerde toegang tot gevoelige gegevens, het manipuleren, verwijderen of aanmaken van cruciale informatie binnen de systemen, en het opzettelijk veroorzaken van denial-of-service (DoS) condities.

De impact van deze kwetsbaarheden varieert in complexiteit en vereisten voor misbruik. Sommige van de geïdentificeerde problemen vereisten fysieke netwerktoegang of interactie van een gebruiker om te kunnen worden geëxploiteerd. Echter, een aanzienlijk deel van de kwetsbaarheden kon volledig op afstand en zonder enige authenticatie worden misbruikt, wat het risico aanzienlijk verhoogde voor organisaties die het platform gebruiken.

De ernst van deze lekken is aanzienlijk, aangezien ze konden leiden tot een volledige compromittering van de getroffen systemen. Dit betekent dat de vertrouwelijkheid van data, de integriteit van de opgeslagen informatie en de algehele beschikbaarheid van de diensten direct in gevaar kwamen. Naast de mogelijkheid tot directe misbruik door ongeauthenticeerde aanvallers, waren er ook kwetsbaarheden aanwezig die aanvallers met reeds beperkte privileges of toegang tot de infrastructuur in staat stelden om hun rechten te escaleren. Door deze privilege-escalatie konden zij meer controle over het systeem verkrijgen dan oorspronkelijk toegestaan was, wat de weg opende voor verdere kwaadaardige activiteiten.

De kern van de problemen lag in onvoldoende toegangscontrole en gebrekkige authenticatiemechanismen binnen verschillende componenten van de Oracle Commerce software. Oracle heeft inmiddels updates uitgebracht om deze kwetsbaarheden te adresseren en beveelt alle gebruikers van versie 11.4.0 aan om hun systemen zo spoedig mogelijk te patchen om zich te beschermen tegen potentiële aanvallen.

Bron: NCSC

Oracle heeft recentelijk meerdere kritieke kwetsbaarheden verholpen in een reeks van zijn Database producten, waaronder de Oracle Database Server, Essbase, het Autonomous Health Framework en de Application Testing Suite. Deze kwetsbaarheden, gerapporteerd door het Nationaal Cyber Security Centrum (NCSC), kunnen leiden tot ernstige gevolgen zoals datalekken, datamanipulatie, denial of service en zelfs volledige systeemcompromittatie.

De Oracle Database Server, in versies variërend van 19.3 tot en met 23.26.3, bevatte significante zwakke plekken in de RDBMS (Relational Database Management System) en Portable Clusterware componenten. Ongeauthenticeerde aanvallers, die fysieke toegang hebben tot communicatie segmenten of netwerktoegang kunnen verkrijgen, zouden in staat zijn om controle over de clusterware te verwerven. Daarnaast konden zij volledige controle over de RDBMS verkrijgen of ongeautoriseerde lees- en schrijfbewerkingen uitvoeren. De aard van de benodigde toegang varieert per kwetsbaarheid, waarbij sommige fysieke toegang vereisen en andere via het netwerk kunnen worden misbruikt.

Ook Oracle Essbase is getroffen door kwetsbaarheden die een aanzienlijk risico vormen. Aanvallers met netwerktoegang via HTTP konden deze zwakke plekken misbruiken om volledige systeemcompromittatie te bewerkstelligen. Dit onderstreept de noodzaak voor organisaties om hun Essbase implementaties onmiddellijk te patchen.

Het Oracle Autonomous Health Framework bleek eveneens meerdere kwetsbaarheden te bevatten. Deze zijn specifiek gevonden in de Trace File Analyzer en Cluster Health Analyzer componenten. Afhankelijk van de bestaande privileges en de netwerktoegang van een aanvaller, konden deze kwetsbaarheden leiden tot ongeautoriseerde toegang, manipulatie van data en denial of service (DoS) aanvallen.

Tot slot kampte Oracle Application Testing Suite, specifiek versie 13.3.0.1, met diverse kwetsbaarheden. Ongeauthenticeerde of laaggeprivilegieerde aanvallers met netwerktoegang via HTTP(S) konden misbruik maken van deze lekken. Hierdoor waren zij in staat om kritieke data aan te maken, te wijzigen of te verwijderen, privileges te escaleren en uiteindelijk volledige controle over het systeem te verkrijgen.

Organisaties die een of meer van deze Oracle producten gebruiken, worden dringend geadviseerd de recent uitgebrachte patches en updates te installeren om zich te beschermen tegen potentiële aanvallen en de integriteit en beschikbaarheid van hun systemen te waarborgen. De kwetsbaarheden hebben een breed scala aan mogelijke gevolgen, wat de installatie van de updates des te crucialer maakt voor de beveiliging van bedrijfsnetwerken en data.

Bron: NCSC

Google heeft een nieuwe update voor het stabiele kanaal van Chrome uitgebracht, die twee kritieke beveiligingskwetsbaarheden in grafiekgerelateerde componenten verhelpt. Gebruikers wordt geadviseerd hun browser zo spoedig mogelijk bij te werken zodra de release beschikbaar is voor hun apparaat.

De update brengt Chrome naar versie 151.0.7922.169/.170 voor Windows en macOS, terwijl Linux-gebruikers versie 151.0.7922.169 ontvangen. Google heeft aangegeven dat de uitrol geleidelijk zal plaatsvinden in de komende dagen en weken.

De twee kritieke problemen zijn geïdentificeerd als CVE-2026-76034 en CVE-2026-76036. Beide zijn buffer overflow kwetsbaarheden, een fout in geheugenveiligheid die kan optreden wanneer software meer data in een geheugengebied schrijft dan waarvoor het is ontworpen. Dergelijke bugs kunnen leiden tot browsercrashes, datacorruptie, of potentieel het uitvoeren van willekeurige code in bepaalde aanvalsscenario's.

CVE-2026-76034 heeft betrekking op WebGL, de interface van Chrome voor het renderen van interactieve 2D- en 3D-afbeeldingen binnen websites. WebGL wordt veel gebruikt in online games, visualisaties, browsergebaseerde ontwerptools en andere webapplicaties met veel grafische elementen. Een kwaadaardige website zou de kwetsbaarheid potentieel kunnen activeren via speciaal gecreëerde WebGL-content.

Het tweede probleem, CVE-2026-76036, is een buffer overflow in Dawn. Dawn is de implementatie van Chromium van de WebGPU-standaard, een nieuwere grafische API die webapplicaties directere en efficiëntere toegang moet bieden tot grafische hardware. Omdat WebGPU en gerelateerde grafische componenten complexe data van webcontent verwerken, kunnen geheugenbeschadigingsproblemen in deze gebieden een aanzienlijk beveiligingsrisico voor de browser vormen.

Google heeft zijn eigen beveiligingsteam gecrediteerd voor het rapporteren van CVE-2026-76034 op 15 juli 2026 en CVE-2026-76036 op 28 juli 2026. Het bedrijf heeft geen technische details, proof-of-concept code of exploitatie-informatie openbaar gemaakt. De toegang tot bugrapporten blijft mogelijk beperkt totdat de meeste Chrome-gebruikers de fixes hebben geïnstalleerd, om de mogelijkheid voor aanvallers te verminderen om patches te reverse-engineeren en de kwetsbaarheden te bewapenen.

In totaal bevat de Chrome 151 Stable release 15 beveiligingsfixes. Google merkte ook op dat het gebruikmaakt van detectie van geheugenfouten en fuzzing-technologieën, waaronder AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer en AFL, om beveiligingsbugs tijdens de ontwikkeling te identificeren.

Gebruikers kunnen Chrome bijwerken door het browsermenu te openen, 'Help' te selecteren en vervolgens 'Over Google Chrome'. Chrome controleert automatisch op de nieuwste beschikbare build en vraagt gebruikers om opnieuw op te starten zodra de update is gedownload. Organisaties moeten ervoor zorgen dat beheerde Windows-, macOS- en Linux-endpoints de nieuwe Chrome-versie ontvangen via hun normale patchbeheerproces. Beveiligingsteams dienen ook de naleving van browserversies te monitoren, vooral op systemen die regelmatig onvertrouwde websites bezoeken of webgebaseerde grafische applicaties gebruiken.

De gepubliceerde release notes van Google bevestigen dat de update 15 beveiligingsfixes bevat, waaronder twee kritieke buffer overflow kwetsbaarheden in WebGL en Dawn.

Bron: Google

Oracle heeft tijdens de augustus patchronde een omvangrijk pakket van 943 beveiligingsupdates uitgebracht voor een breed scala aan producten. Het bedrijf roept klanten dringend op om deze patches onmiddellijk te installeren. Oracle benadrukt dat het regelmatig meldingen ontvangt van klanten die slachtoffer zijn geworden van hackaanvallen via kwetsbaarheden waarvoor reeds updates beschikbaar waren, maar die nagelaten waren te installeren.

Het grote aantal van 943 uitgebrachte patches betekent niet dat er evenveel unieke kwetsbaarheden zijn verholpen. Een enkele kwetsbaarheid kan namelijk in meerdere Oracle-producten aanwezig zijn, wat resulteert in afzonderlijke patches per product. Waar Oracle voorheen het aantal unieke kwetsbaarheden wel communiceerde, is dit in de huidige patchronde achterwege gelaten. De CVSS-impactscores (Common Vulnerability Scoring System) laten echter zien dat het om een aanzienlijk aantal kritieke beveiligingslekken gaat. Maar liefst 89 van de patches betreffen kwetsbaarheden met een impactscore van 9.8 of hoger op een schaal van 1 tot en met 10. Daaronder valt ten minste een kwetsbaarheid met de maximale score van 10.0, in de LDAP-component van Oracle Internet Directory.

Het merendeel van de kritieke problemen is gevonden in producten die deel uitmaken van Oracle Fusion Middleware. Specifieke voorbeelden hiervan zijn Oracle Internet Directory, Oracle Identity Manager, Oracle Managed File Transfer en Oracle WebLogic Server. Deze producten zijn in het verleden al vaker het doelwit geweest van cyberaanvallen. Daarnaast is er een kritiek lek gedicht in Oracle PeopleSoft, een platform dat recentelijk nog onder vuur lag van aanvallen door de criminele groepering ShinyHunters.

Oracle hanteerde jarenlang een kwartaalcyclus voor het uitbrengen van beveiligingsupdates. Deze frequentie is echter gewijzigd naar maandelijkse patches sinds mei, een besluit dat volgens Oracle is genomen vanwege de toenemende capaciteit van AI-tools om kwetsbaarheden te detecteren.

Bron: Oracle

Mattermost, Inc. heeft recentelijk diverse kwetsbaarheden aangepakt in hun Mattermost software en de bijbehorende GitLab plugin. Deze kwetsbaarheden troffen specifieke versies, waaronder Mattermost 10.11.x, 11.7.x en 11.8.x, evenals alle versies van de GitLab plugin tot en met 11.8. De aard van de problemen varieert en kan leiden tot ernstige beveiligingsrisico's, zoals denial-of-service, privilege-escalatie en ongeautoriseerde toegang tot gevoelige informatie.

Een van de belangrijkste kwetsbaarheden is gerelateerd aan de onjuiste validatie van WebSocket command velden, wat geauthenticeerde gebruikers in staat stelt om plugin processen te laten crashen en zo een denial-of-service situatie te veroorzaken. Daarnaast was er een probleem met de onjuiste reconciliatie van SchemeAdmin flags, waardoor gebruikers hun administratieve privileges konden behouden, zelfs nadat zij gedemoveerd waren. Onvoldoende verificatie van kanaaleigendom bij ABAC policy unassign endpoints maakte het mogelijk om ongeautoriseerde wijzigingen aan te brengen in toegangscontrolebeleid en board-rollen.

Verder konden gastgebruikers hun privileges escaleren naar die van een Board Admin door misbruik te maken van speciaal vervaardigde boardarchiefbestanden. OAuth applicaties liepen risico doordat onvoldoende restricties op de accountbeheer endpoints het mogelijk maakten om tokens en autorisaties van andere integraties in te trekken. Ook was het mogelijk om voltooide playbook runs te wijzigen door het ontbreken van run-state validatie. Een andere kwetsbaarheid stelde gebruikers zonder voldoende leesrechten in staat om boards te koppelen aan kanalen, wat resulteerde in de blootstelling van lidmaatschappen van private kanalen. Channel administrators konden hun permissies verhogen via manipulatie van de channel member roles API.

De GitLab plugin bevatte een aparte kwetsbaarheid die bots in staat stelde om berichten met willekeurige URLs te injecteren in kanalen, zelfs zonder de vereiste toegangsrechten. Bovendien werden thread membership records niet verwijderd wanneer een gebruiker een team verliet. Dit kon ertoe leiden dat bij herintreding toegang tot private thread content mogelijk was. Ten slotte was er een kwetsbaarheid in de server-side validatie van BoardMember.Scheme* velden, wat privilege-escalatie mogelijk maakte door het toekennen van board admin rechten aan willekeurige gebruikers. Ook ontbrak een permissiecontrole bij het relinken van boards aan kanalen via de batch endpoint.

Gebruikers van de getroffen Mattermost versies en de GitLab plugin worden dringend geadviseerd om zo snel mogelijk de beschikbare updates te installeren om deze kwetsbaarheden te mitigeren.

Bron: NCSC

Een publieke proof of concept (PoC) is verschenen voor de kwetsbaarheid CVE-2026-0075, een lek in de contactenopslag van Android-toestellen. Deze kwetsbaarheid bevindt zich specifiek in ContactsProvider2, het Android-onderdeel dat verantwoordelijk is voor het beheer van de contactendatabase. Google heeft deze kwetsbaarheid in het Android-beveiligingsbulletin van juni 2026 beschreven als een rechtenverhoging met een hoge ernstgraad.

Het lek treft Android-versies 14, 15, 16 en 16-qpr2. De oorzaak van het probleem ligt in het feit dat ContactsProvider2 gedetailleerde SQLite-foutmeldingen terugstuurde naar applicaties, zelfs wanneer deze geen specifieke toestemming hadden om contacten te lezen of te schrijven. Deze foutmeldingen konden misbruikt worden als een zijkanaal om informatie over de contactendatabase prijs te geven, zonder dat de gebruiker enige interactie hoefde te verrichten.

De oplossing die Google heeft geïmplementeerd, richt zich op het verwijderen van gevoelige details uit deze foutmeldingen. Onderzoeker QM4RS heeft nu een gecontroleerde testtoepassing gepubliceerd. Deze applicatie vraagt bewust geen lees- of schrijfrechten voor contacten aan en is bedoeld om het gedrag van de kwetsbaarheid te vergelijken op afgeschermde testtoestellen. QM4RS waarschuwt echter dat de gepubliceerde testcode gebonden is aan een specifieke build van Android en geen universele aanvalsroute over alle Android-toestellen aantoont.

Gebruikers van Android-toestellen worden geadviseerd om de beveiligingsstatus van hun apparaat te controleren. Toestellen met een beveiligingsniveau van 5 juni 2026 of later zijn beschermd tegen deze kwetsbaarheid. Het is daarom van cruciaal belang om de Android-software tijdig bij te werken naar de nieuwste beschikbare versie om beschermd te blijven.

Bron: Cybercrimeinfo

Google heeft een belangrijke update uitgebracht voor Chrome, versie 151 Stable, die zeven beveiligingslekken verhelpt. De meest kritieke hiervan is een 'use-after-free'-kwetsbaarheid in Chromoting, de onderliggende technologie voor Chrome Remote Desktop, die kan leiden tot de uitvoering van kwaadaardige code op afstand. De update wordt uitgerold als versie 151.0.7922.173/.174 voor Windows en macOS, en als versie 151.0.7922.173 voor Linux.

De kwetsbaarheid, aangeduid als CVE-2026-76017, is door Google geclassificeerd als kritiek. Het betreft een 'use-after-free'-fout, een type geheugencorruptie waarbij software geheugen probeert te benaderen nadat dit al is vrijgegeven. Dit kan ertoe leiden dat aanvallers het gedrag van een applicatie manipuleren, de browser laten crashen, gevoelige informatie lekken of eigen code uitvoeren. Google's interne teams rapporteerden dit probleem op 11 juni 2026.

Hoewel Google de kwetsbaarheid als kritiek bestempelt en de impact benadrukt, zijn er nog geen technische details, 'proof-of-concept'-code, exploitatievoorwaarden of aanwijzingen voor actieve misbruik publiekelijk gemaakt. Dit is een standaardbeveiligingsmaatregel om te voorkomen dat aanvallers de kwetsbaarheid misbruiken voordat de meerderheid van de gebruikers de update heeft geïnstalleerd. De betrokkenheid van Chromoting maakt deze kwetsbaarheid bijzonder relevant voor omgevingen die gebruikmaken van Chrome Remote Desktop.

Naast deze kritieke kwetsbaarheid pakt Chrome 151 nog zes andere kwetsbaarheden met een hoge ernst aan, die diverse browsercomponenten betreffen. Deze omvatten:

*   CVE-2026-76018: Een privilege-escalatielek in de Import-component.

*   CVE-2026-76019: Een probleem met incorrecte autorisatie in Workers.

*   CVE-2026-76020: Een 'race condition' in de V8 JavaScript-engine.

*   CVE-2026-76021: Een tweede 'use-after-free'-kwetsbaarheid, ditmaal in de Document Object Model (DOM)-component, die van belang is gezien de interactie van webinhoud met browserrendering en scriptfuncties.

*   CVE-2026-76022: Een 'buffer overflow' in de Network-component.

*   CVE-2026-76023: Een fout in de resourcecontrole van de Linux Toolkit Theming.

De aanwezigheid van meerdere geheugenveiligheidsproblemen in deze release onderstreept het voortdurende belang van browser patch management. Browsers zoals Chrome verwerken dagelijks grote hoeveelheden onvertrouwde webinhoud, JavaScript, afbeeldingen en downloads. Kwetsbaarheden in browsercomponenten kunnen daardoor een ingang bieden voor aanvallers om endpoint-systemen te compromitteren via kwaadaardige websites, advertenties, phishing-links of speciaal geprepareerde webinhoud.

Organisaties moeten prioriteit geven aan het updaten van Chrome op beheerde Windows-, macOS- en Linux-endpoints. Beheerders dienen de implementatie van de browserversie te controleren via endpoint management platforms en ervoor te zorgen dat systemen Chrome indien nodig herstarten, aangezien gebruikers een oudere, kwetsbare versie kunnen blijven gebruiken totdat de browser opnieuw wordt opgestart. Individuele gebruikers kunnen handmatig controleren op updates door in Chrome naar Instellingen te navigeren, 'Over Chrome' te selecteren en de browser de nieuwste beschikbare release te laten downloaden, gevolgd door een herstart om de fixes te activeren. Google heeft security onderzoekers en interne teams erkend voor het identificeren van deze kwetsbaarheden. Het Chromium-project maakt tevens gebruik van geavanceerde beveiligingstesttechnologieën zoals AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer en AFL om kwetsbaarheden te identificeren voordat deze stabiele releases bereiken.

Bron: Google

De populaire wachtwoordmanager Passportal van N-able, die breed wordt ingezet door Managed Service Providers (MSP's) en kleine en middelgrote bedrijven (MKB's), blijkt een ernstige kwetsbaarheid te bevatten. Deze kwetsbaarheid, zelfs na een uitgebrachte patch, blijft risico's met zich meebrengen door het cloudgebaseerde ontwerp van het product. Onverstandige ontwerpkeuzes in de software stelden malafide websites in staat om volledige en persistente toegang tot de wachtwoordkluizen van klanten te verkrijgen.

N-able, voorheen SolarWinds MSP, is een onafhankelijk beursgenoteerd bedrijf met een waarde van bijna een miljard dollar. Het bedrijf richt zich met zijn producten voornamelijk op MSP's en IT-dienstverleners. Volgens de website van N-able wordt Passportal door ongeveer 2.500 MSP's en 165.000 MKB's gebruikt. Deze organisaties moeten waakzaam zijn, aangezien hun uiterst gevoelige gegevens potentieel kwetsbaar zijn voor webgebaseerde exploits door de cloudinfrastructuur van de wachtwoordmanager.

Op 8 juli ontdekte James Arnott, oprichter van Bay Area Labs, dat accounts van Passportal, en alle bijbehorende inloggegevens, volledig gecompromitteerd kunnen worden door een willekeurige website die een gebruiker bezoekt. De leverancier implementeerde de volgende dag een patch, maar Arnott stelt dat zelfs het bijgewerkte product nog steeds risico's voor gebruikers met zich meebrengt.

De meeste reguliere wachtwoordmanagers voeren hun meest gevoelige functies uit op een lokale machine om het risico te verminderen dat webgebaseerde aanvallers toegang krijgen tot wachtwoorden. Dit werkt doorgaans als volgt. Het hoofdwachtwoord genereert een geheime sleutel die de versleutelde, opgeslagen wachtwoorden ontsleutelt, en die sleutel blijft te allen tijde bij de gebruiker. Websites waar een persoon inlogt, zien alleen het resultaat van het ontsleutelingsproces, oftewel wachtwoorden in platte tekst.

Passportal wijkt hiervan af. De hoofdwachtwoorden genereren toegangstokens en verversingstokens, waarvan de toegangstoken de geheime sleutel bevat. Wanneer een medewerker wil inloggen op een website, reist de toegangstoken naar de servers van N-able. N-able gebruikt deze om de inloggegevens te ontsleutelen naar platte tekst en stuurt vervolgens het wachtwoord, met TLS-versleuteling tijdens de overdracht, terug naar de gebruiker voor de inlog.

Het bleek niet moeilijk voor een aanvaller om zich in dit proces te mengen en de toegangstoken buit te maken. Bay Area Labs ontdekte dat de browserextensie van Passportal volledig onkritisch was; het vertrouwde elk ontvangen bericht zonder te controleren welke website het verstuurde en wat de inhoud ervan was. Hierdoor kon, als een medewerker naar een malafide website werd gelokt, of een legitieme website met een geïnjecteerde malafide advertentie of iframe, Passportal onnadenkend luisteren naar wat de website te zeggen had. Als de website bijvoorbeeld `window.postMessage({ method: 'getPasswords' }, '*')` verstuurde, zou Passportal zonder nadenken de toegangstoken en verversingstoken terugsturen.

Met een toegangstoken kon een aanvaller alle accountgegevens in een Passportal-kluis inventariseren en stelen. Ze konden ook eenmalige wachtwoorden die tijdgebonden zijn (TOTP's) verkrijgen, indien nodig, om toegang te krijgen tot de meest gevoelige accounts van een organisatie. Het gestolen verversingstoken is eveneens bruikbaar, aangezien het een aanvaller in staat stelt een nieuwe toegangstoken te verkrijgen zodra een bestaande verloopt. Hoewel toegangstokens vrij snel verlopen, is het verversingstoken van Passportal 100 dagen geldig.

Deze totale, persistente compromittering van wachtwoordkluizen is al ernstig, maar hierbij komt nog dat Passportal doorgaans wordt gebruikt door dienstverleners in de toeleveringsketen. Arnott benadrukt: "Stel dat een aanvaller toegang krijgt tot één MSP die 50 organisaties beheert. Die MSP zou hoogstwaarschijnlijk bevoorrechte toegang hebben tot al hun downstream-cliënten." Het risico neemt aanzienlijk verder toe wanneer Passportal-klanten gebruikmaken van de "branded Password Management as a Service" (PMaaS)-functie, waarmee dienstverleners Passportal onder hun eigen merknaam kunnen aanbieden.

Bron: James Arnott / Bay Area Labs

Het Centre for Cybersecurity Belgium (CCB) waarschuwt voor een kritieke kwetsbaarheid (CVE-2026-18963) in de Red Hat build of Keycloak, een veelgebruikt platform voor identiteits- en toegangsbeheer. Deze kwetsbaarheid, met een CVSSv3.1-score van 9.1, maakt het mogelijk voor aanvallers om op afstand en zonder voorafgaande authenticatie of gebruikersinteractie, accounts over te nemen via het wachtwoordherstelproces.

Red Hat build of Keycloak is de ondersteunde distributie van Keycloak door Red Hat, essentieel voor authenticatie, autorisatie, single sign-on (SSO) en identiteitsfederatie. Gezien de centrale rol van Keycloak in de authenticatiestromen en toegangscontrole tot applicaties en diensten, kunnen kwetsbaarheden in de functionaliteit voor accountbeheer aanzienlijke beveiligingsrisico's met zich meebrengen.

De kwetsbaarheid, geclassificeerd als CWE-640 (zwak mechanisme voor wachtwoordherstel), bevindt zich specifiek in de `reset-credentials`-flow van de component `keycloack-services`. Een succesvolle exploitatie stelt een aanvaller in staat om het wachtwoordherstelproces voor elke gebruiker af te dwingen zonder dat de vereiste e-mailverificatielink hoeft te worden aangeklikt. Dit kan ertoe leiden dat de aanvaller volledige controle krijgt over de accounts van doelgebruikers door direct nieuwe inloggegevens in te stellen.

De getroffen softwareversies zijn Red Hat build of Keycloak 26.4 en Red Hat build of Keycloak 26.6. Red Hat JBoss Enterprise Application Platform Expansion Pack en Red Hat Single Sign-On 7 zijn niet getroffen door deze specifieke kwetsbaarheid.

Het CCB adviseert dringend om updates voor kwetsbare systemen met de hoogste prioriteit te installeren, na grondige tests. Daarnaast wordt organisaties aanbevolen om hun monitoring- en detectiemogelijkheden op te schalen om verdachte activiteiten te identificeren en een snelle respons te garanderen in geval van een inbraak. Hoewel het patchen van applicaties of software naar de nieuwste versie bescherming biedt tegen toekomstige exploits, herstelt het geen historische compromittering. Bij een inbraak kan een incident worden gemeld via de website van het CCB.

Bron: Centre for Cybersecurity Belgium (CCB)

Onderzoekers op het gebied van cybersecurity hebben een kritieke kwetsbaarheid ontdekt in `isolated-vm`, een populaire open-source sandbox voor Node.js. Deze kwetsbaarheid, geïdentificeerd als GHSA-864f-rcv7-6rh4 en nog zonder officieel CVE-identificatienummer, kan aanvallers in staat stellen om te ontsnappen uit de geïsoleerde omgeving en mogelijk remote code execution (RCE) uit te voeren op het hostsysteem. De kwetsbaarheid treft alle versies van de bibliotheek tot en met 7.0.0, en is verholpen in versies 6.2.0 en 7.0.1, die eerder deze maand zijn uitgebracht.

`isolated-vm` is een Node.js bibliotheek die is ontworpen om onbetrouwbare JavaScript-code veilig uit te voeren binnen een V8 Isolate. Een V8 Isolate is een onafhankelijke instantie van de Google V8 JavaScript engine, waardoor meerdere gesandboxte JavaScript-omgevingen gelijktijdig kunnen draaien zonder data te delen of elkaar te verstoren. Het npm-pakket van `isolated-vm` is de afgelopen week bijna een miljoen keer gedownload, wat de wijdverspreide adoptie ervan aantoont.

Omdat elke V8 Isolate een afzonderlijke staat en een eigen heap heeft, is het niet direct mogelijk om JavaScript objecten van de hoofd Node.js thread naar een worker isolate te sturen. Om dit proces veilig te maken, maakt `isolated-vm` gebruik van een klasse genaamd `ExternalCopy`. Deze klasse serialiseert JavaScript objecten vanuit de host isolate en deserialiseert ze in de guest isolate.

De kwetsbaarheid, ontdekt door Endor Labs onderzoeker Cristian-Alexandru Staicu, bevindt zich specifiek in de `ExternalCopy`-component. Het betreft een type confusion bij de afhandeling van de `transferList`-optie, waardoor code die binnen de sandbox draait, geheugen in de host applicatie kan corrumperen. Staicu lichtte toe dat, beginnend met slechts een `ivm.Reference` (de standaardmanier waarop hosts een sandbox functionaliteit geven), de bug kon worden geëscaleerd van een gecontroleerde crash naar het kapen van de control flow van de host, wat een volledige guest-to-host sandbox escape demonstreert.

Succesvolle exploitatie van de kwetsbaarheid kan leiden tot geheugenbeschadiging in het hostproces, wat een crash van het hostproces met een segmentation fault (SIGSEGV) kan veroorzaken, resulterend in een denial-of-service. De meest ernstige impact is een guest-to-host sandbox escape, waarbij de vertrouwensgrens wordt doorbroken die het primaire doel van `isolated-vm` is. Projectbeheerder Marcel Laverdet bevestigde in een advies dat de maximale aangetoonde impact een control-flow hijack van het hostproces is, oftewel potentiële remote code execution op de host.

Gebruikers die `isolated-vm` in hun ontwikkelomgevingen hebben geïnstalleerd, wordt dringend geadviseerd om direct te updaten naar de nieuwste versies (6.2.0 of 7.0.1) voor optimale bescherming. Aanvullende details over de volledige exploit zijn achtergehouden om misbruik door kwaadwillende actoren te voorkomen. Staicu benadrukte dat de isolatie van V8 Isolate zelf intact bleef; het falen lag in de C++ glue code die waarden over die grens transporteert.

Bron: Endor Labs

Zyxel heeft firmware-updates uitgebracht voor een kwetsbaarheid met hoge ernst, aangeduid als CVE-2026-6837, die is ontdekt in achttien modellen van draadloze access points. De kwetsbaarheid betreft een command-injectie in de `export-cgi`-component en zou een geauthenticeerde beheerder in staat kunnen stellen om opdrachten voor het besturingssysteem uit te voeren op de kwetsbare apparaten.

Het probleem bevindt zich in de PKCS#12 certificaat-exportworkflow. Beveiligingsonderzoeker Mina Nageh Salama rapporteerde dat de wachtwoordparameter voor de certificaat-export zonder veilige argumentafhandeling in een shell-commando kon worden ingevoegd. Een aanvaller met een geldige beheerderssessie zou via speciaal geconstrueerde invoer het verwachte commando-context kunnen omzeilen en aanvullende opdrachten uitvoeren.

Een technische analyse van de Zyxel WAX650S firmwareversie 7.10(ABRM.4)C0 toonde aan dat `export-cgi` een commando-string construeerde die certificaat-exportwaarden bevatte voordat deze naar de systeem-shell werd gestuurd. Dit onveilige ontwerp maakte het mogelijk dat shell-metatekens, waaronder aanhalingstekens, de beoogde commando-structuur konden wijzigen. Aangezien het CGI-proces werd uitgevoerd in een apparaatcontext met hoge privileges, kon succesvolle exploitatie leiden tot uitvoering van besturingssysteemopdrachten met rootrechten.

De kwetsbaarheid is geclassificeerd als CWE-78, ofwel onjuiste neutralisatie van speciale elementen die worden gebruikt in een besturingssysteemopdracht. De National Vulnerability Database (NVD) beschrijft het probleem als 'post-authenticatie', wat betekent dat een aanvaller eerst beheerdersrechten tot het access point moet verkrijgen. Desondanks is de impact aanzienlijk, omdat een gecompromitteerd beheerdersaccount, hergebruikte inloggegevens, een blootgestelde beheerinterface of een kwaadwillende insider de bug kan omzetten in een volledige overname van het apparaat.

Volgens onderzoeker Mina Nageh Salama is de proof of concept gereproduceerd in een volledig geëmuleerde WAX650S user-space omgeving in plaats van op fysieke hardware. Het onderzoek maakte gebruik van geëxtraheerde AArch64 firmware, `qemu-aarch64-static`, Bubblewrap, Python, Bash en een nagebouwde web-handler omgeving. Dit stelde de analist in staat om het Lighttpd- en `export-cgi`-aanvraagpad te bereiken, benodigde IPC-diensten te initiëren en de commando-output te observeren die via de HTTP-respons werd teruggestuurd.

Zyxel heeft bevestigd dat achttien access point modellen zijn getroffen, waaronder NWA50AX, NWA50AX PRO, NWA55AXE, NWA55AX PRO, NWA55AX PTP, NWA90AX, NWA90AX PRO, NWA110AX, NWA210AX, NWA220AX-6E, WAX300H, WAX510D, WAX610D, WAX620D-6E, WAX630S, WAX640S-6E, WAX650S en WAX655E. Het advies van de leverancier van 4 augustus 2026 noemt firmware 7.12-builds als de herstelde releasereeks voor deze modellen. Voor de WAX650S moeten beheerders updaten naar versie 7.12(ABRM.0)C0.

Organisaties dienen zo snel mogelijk getroffen Zyxel access points te identificeren, de bijbehorende firmware-update toe te passen en ervoor te zorgen dat webgebaseerde beheerinterfaces niet worden blootgesteld aan onvertrouwde netwerken. Beheerders moeten ook bevoorrechte inloggegevens wijzigen waar blootstelling wordt vermoed, beheer-toegang beperken met netwerksegmentatie en apparaatlogboeken controleren op verdachte certificaat-exportactiviteiten. De onderliggende les is duidelijk, want appliance firmware zou het construeren van shell-opdrachten uit gebruikersgestuurde data moeten vermijden. Ontwikkelaars moeten niet-shell uitvoeringsinterfaces met gescheiden argumenten en strikte invoervalidatie gebruiken, in plaats van te vertrouwen op aanhalingstekens binnen een dynamisch samengestelde opdrachtstring.

Bron: Mina Nageh Salama

Homey heeft een noodzakelijke update uitgebracht om een kritieke kwetsbaarheid in de firmware van zijn smarthome-apparaten te verhelpen. Het bedrijf heeft gebruikers via e-mail op de hoogte gesteld van de kwetsbaarheid en de beschikbaarheid van de patch. De kwetsbaarheid werd ontdekt door een externe beveiligingsonderzoeker, die het meldingsproces van Homey voor gecoördineerde openbaarmaking van kwetsbaarheden heeft gevolgd.

De precieze impact van de kritieke kwetsbaarheid is niet publiekelijk bekendgemaakt. Homey heeft echter aangegeven geen bewijs te hebben gevonden dat aanvallers de kwetsbaarheid al hebben misbruikt. De update, die versie 13.4.1 betreft, dicht het beveiligingsgat volgens de changelog van het bedrijf "volledig".

Deze update is beschikbaar voor zowel de Homey Pro als de Homey Pro mini. Daarnaast is de patch ook uitgebracht voor de serversoftware die gebruikers desgewenst zelf op eigen hardware kunnen draaien. Gebruikers die op 20 augustus nog een oudere firmwareversie draaiden, hebben van Homey een e-mail ontvangen met het dringende advies om de update te installeren.

Het bijwerken van de firmware naar de nieuwste, veilige versie kan eenvoudig worden uitgevoerd via de mobiele app van Homey. Gebruikers kunnen in de app navigeren naar 'Meer', vervolgens 'Instellingen' en onder 'Updates' kiezen voor 'Controleer op Updates'. Naast de fix voor de kritieke kwetsbaarheid, brengt update 13.4.1 ook andere verbeteringen met zich mee. Zo worden problemen met directe, meerkanaalsverbindingen via Z-Wave met oudere apparaten verholpen en zijn er bugs in het smarthomeprotocol Matter opgelost.

Bron: Homey

De Cybersecurity en Infrastructuur Beveiligingsagentschap (CISA) heeft op 20 augustus 2026 twee nieuwe kwetsbaarheden toegevoegd aan haar catalogus van bekende misbruikte kwetsbaarheden (KEV-catalogus). Deze toevoeging volgt op de ontdekking van actief misbruik van de kwetsbaarheden. De twee specifieke kwetsbaarheden betreffen TrueConf Server, een platform voor videovergaderingen en samenwerking.

Het gaat om CVE-2026-72529, een kwetsbaarheid voor ontbrekende authenticatie bij een kritieke functie in TrueConf Server, en CVE-2026-72530, een kwetsbaarheid voor code-injectie eveneens in TrueConf Server. Deze typen kwetsbaarheden worden door kwaadwillende cyberactoren frequent misbruikt als aanvalsvector en vormen aanzienlijke risico's voor zowel federale instanties als andere organisaties.

CISA benadrukt de urgentie van het aanpakken van dergelijke kwetsbaarheden. De Binding Operational Directive (BOD) 26-04, getiteld "Prioritizing Security Updates Based on Risk", stelt vereisten voor kwetsbaarhedenbeheer voor federale civiele uitvoerende tak (FCEB) agentschappen. Deze richtlijn onderstreept het belang van de KEV-catalogus en verplicht federale instanties om de snelle remediëring van kwetsbaarheden met een hoog risico te prioriteren. Dit geldt specifiek voor Common Vulnerabilities and Exposures (CVE's) die zijn opgenomen in de KEV-catalogus en die zich bevinden op publiek toegankelijke activa, en die na misbruik volledige controle over het systeem kunnen verlenen. Acties voor kwetsbaarheden met een lager risico kunnen worden uitgesteld.

BOD 26-04 stelt ook basisverwachtingen vast voor wanneer agentschappen moeten controleren of dreigingsactoren het systeem al hebben gecompromitteerd voordat de patch werd toegepast. Hoewel BOD 26-04 primair van toepassing is op FCEB-agentschappen, moedigt CISA alle organisaties aan om risicogebaseerd kwetsbaarhedenbeheer toe te passen en de remediëring van kwetsbaarheden in de KEV-catalogus te prioriteren.

CISA zal de catalogus blijven aanvullen met kwetsbaarheden die voldoen aan de gespecificeerde criteria. Organisaties die op de hoogte zijn van een misbruikte kwetsbaarheid die nog niet in de KEV-catalogus staat, worden aangemoedigd deze in te dienen via het KEV Nomination Form van CISA. Potentiële toevoegingen aan de KEV-catalogus moeten een CVE-identificatie hebben, bewijs van misbruik, en duidelijke mitigatierichtlijnen.

Bron: CISA

CISA heeft een waarschuwing uitgegeven voor een beveiligingslek in de Johnson Controls Simplex Incident Manager software, die wereldwijd wordt ingezet in cruciale infrastructuursectoren zoals kritieke productie, commerciële faciliteiten, overheidsdiensten en faciliteiten, transportsystemen en energie. De kwetsbaarheid, aangeduid als CVE-2026-27875, maakt het mogelijk voor een lokale aanvaller met lage privileges om gebruikersgegevens, zoals wachtwoorden en authenticatietokens, uit het systeemgeheugen te extraheren. Dit kan leiden tot ongeautoriseerde toegang tot de applicatie en gekoppelde systemen.

De Simplex Incident Manager applicatie, in versies tot en met V2.01, slaat gebruikersgegevens onversleuteld op in het systeemgeheugen terwijl de software actief is. Hierdoor wordt gevoelige informatie blootgesteld aan potentiële extractie door iedereen met lokale toegang tot het systeem. Aanvallers kunnen hiervoor geheugen-dumping tools gebruiken, of insiders met verhoogde privileges kunnen misbruik maken van dit lek. De Common Weakness Enumeration (CWE) voor dit probleem is CWE-316, wat staat voor het opslaan van gevoelige informatie in platte tekst in het geheugen.

De kwetsbaarheid heeft een CVSSv3.1 basisscore van 5.8 (MEDIUM) met de vectorstring AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:L, en een CVSSv4.0 basisscore van 5.8 (MEDIUM) met de vectorstring AV:L/AC:H/AT:P/PR:L/UI:N/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N. Hoewel de aanvalscomplexiteit hoog is en de kwetsbaarheid niet op afstand exploiteerbaar is, blijft het risico aanzienlijk voor systemen die lokaal gecompromitteerd kunnen worden. Er zijn op dit moment geen meldingen van publieke exploitatie van deze specifieke kwetsbaarheid bekend bij CISA.

Johnson Controls heeft een gepatchte versie (v2.01.01) uitgebracht om dit beveiligingslek te dichten. Gebruikers wordt geadviseerd om de Simplex Incident Manager te upgraden naar versie v1.01.05 of later. Daarnaast worden diverse defensieve maatregelen aanbevolen om het risico op exploitatie te verminderen. Deze omvatten het beperken van lokale toegang tot systemen waarop de software draait tot alleen geautoriseerd personeel, het implementeren van endpoint bescherming en monitoring om geheugen-dumping tools of verdachte processen te detecteren, en het afdwingen van strikte toegangscontrole beleidsregels volgens het principe van minimale privileges op hosts. Verdere aanbevelingen zijn het gebruik van volledige schijfversleuteling en secure boot om het risico van offline geheugenanalyse te minimaliseren, en het monitoren van ongeautoriseerde lokale toegangspogingen met audit logging.

Johnson Controls heeft de kwetsbaarheid zelf aan CISA gerapporteerd en verwijst voor meer gedetailleerde mitigatie-instructies naar hun Product Security Advisory JCI-PSA-2026-28. CISA herinnert organisaties eraan om een grondige impactanalyse en risicobeoordeling uit te voeren voordat defensieve maatregelen worden geïmplementeerd en moedigt aan om algemene best practices voor cyberverdediging van industriële controlesystemen te volgen.

Bron: Johnson Controls

Cisco heeft beveiligingsupdates uitgebracht voor een kwetsbaarheid met hoge ernst in Cisco BroadWorks. Deze XML External Entity (XXE) injectiekwetsbaarheid (CVE-2026-20320) heeft een CVSS-score van 7.5 en kan ongeauthenticeerde externe aanvallers in staat stellen gevoelige configuratiedata en bestanden van getroffen systemen uit te lezen.

De kwetsbaarheid, geïdentificeerd in de Open Client Interface XML-parser, is geclassificeerd als CWE-611, wat staat voor onjuiste beperking van XML externe entiteitsreferenties. Cisco publiceerde het beveiligingsadvies, cisco-sa-bworks-xxe-uwUd7CEt, op 19 augustus 2026. Het probleem ontstaat doordat de betreffende XML-parser standaard externe entiteitsresolutie toestaat. Wanneer XML-input wordt verwerkt, kunnen externe entiteiten de parser instrueren om lokale bronnen op te halen of andere beschikbare locaties te benaderen. Dit gedrag kan informatie blootstellen die via de XML-interface niet toegankelijk zou moeten zijn.

Een aanvaller kan de kwetsbaarheid misbruiken door een speciaal geconstrueerd XML-bericht te sturen naar de Open Client Interface Provisioning-dienst, ook bekend als OCI-P. Succesvolle exploitatie vereist geen authenticatie of gebruikersinteractie, wat het risico verhoogt voor blootgestelde of bereikbare BroadWorks-implementaties.

Cisco waarschuwt dat een succesvolle aanval de dreigingsactor in staat zou stellen gevoelige bestanden uit het bestandssysteem te bekijken, met de permissies die zijn toegewezen aan de Cisco BroadWorks-gebruiker. Het advies beschrijft het probleem specifiek als een out-of-band blinde XML External Entity injectiekwetsbaarheid. Bij een blinde XXE-aanval ontvangt de aanvaller de inhoud van het doelbestand mogelijk niet direct in de applicatierespons. In plaats daarvan kan de kwetsbare server worden aangezet om data of interactieresultaten naar een door de aanvaller beheerd extern systeem te sturen.

De getroffen producten omvatten Cisco BroadWorks Application Delivery Platform, BroadWorks Application Server, BroadWorks Profile Server en BroadWorks Xtended Services Platform. Systemen met releases die ouder zijn dan RI.2026.07 zijn getroffen binnen deze productfamilies. Cisco heeft de kwetsbaarheid aangepakt in BroadWorks RI.2026.07. Voor het BroadWorks Application Delivery Platform geldt de oplossing voor Open Client Server en OCIOverSoap-componenten.

Organisaties die gebruikmaken van de getroffen releases moeten systemen identificeren die OCI-P blootstellen of gebruiken, en zo snel mogelijk upgraden naar de juiste softwareversie met de oplossing. Er is geen tijdelijke oplossing beschikbaar. Cisco raadt aan om te upgraden in plaats van te vertrouwen op tijdelijke mitigaties, aangezien een opgeloste release vereist is om het probleem volledig te verhelpen. Beheerders moeten ook de netwerkblootstelling voor BroadWorks-beheer- en provisioninginterfaces beoordelen. OCI-P mag niet breed toegankelijk zijn vanuit onbetrouwbare netwerken. Organisaties moeten de toegang beperken door middel van netwerksegmentatie, firewallbeleid en strikt gecontroleerde beheerpaden.

Beveiligingsteams kunnen monitoren op ongebruikelijke XML-verzoeken, onverwachte uitgaande verbindingen vanuit de BroadWorks-infrastructuur en verdachte pogingen om lokale bestanden of interne netwerkdiensten te benaderen. Cisco PSIRT was ten tijde van publicatie niet op de hoogte van publieke aankondigingen of kwaadaardige exploitatie van CVE-2026-20320. Beveiligingsonderzoeker Sandesh M Gawai heeft de kwetsbaarheid gemeld.

Bron: Cisco

Red Hat heeft een belangrijke Server-Side Request Forgery (SSRF) kwetsbaarheid, aangeduid als CVE-2026-66794, openbaar gemaakt. Deze kwetsbaarheid treft de cluster-proxy-add-on component binnen Multicluster Engine voor Kubernetes en heeft een CVSS v3.1 score van 9.3, wat duidt op een hoge ernst. Ongeauthenticeerde externe aanvallers kunnen via dit lek interne diensten bereiken die normaliter ontoegankelijk zijn binnen beheerde Kubernetes-clusters.

Het probleem bevindt zich in een gebruikersgerichte route die wordt blootgesteld door de cluster proxy add-on. Volgens Red Hat handhaaft deze route de authenticatie en autorisatie niet correct voordat verzoeken worden doorgestuurd. Een aanvaller die toegang heeft tot dit eindpunt, kan URL-padsegmenten manipuleren om de proxy verzoeken te laten verzenden naar willekeurige diensten in beheerde clusters. Dit gedrag is geclassificeerd als CWE-918, ofwel SSRF, waarbij een aanvaller de kwetsbare proxy misbruikt als tussenpersoon in plaats van een interne dienst rechtstreeks vanaf het internet aan te vallen.

De proxy wordt blijkbaar vertrouwd door de interne infrastructuur, waardoor verzoeken grenzen kunnen overschrijden die normaal gesproken beschermd zouden zijn door netwerkcontroles, beperkingen op dienstblootstelling of clustersegmentatie. In een Kubernetes-implementatie met meerdere clusters kan dit bijzonder ernstig zijn, aangezien beheercomponenten vaak connectiviteit hebben met diensten die over verschillende beheerde clusters zijn verspreid.

Indien blootgesteld via een kwetsbare route, kunnen aanvallers toegang krijgen tot interne API's, gevoelige applicatiegegevens ophalen, bereikbare interne eindpunten identificeren of interactie hebben met diensten die nooit bedoeld waren om extern beschikbaar te zijn. Een aanvaller zou bijvoorbeeld een verzoekpad kunnen manipuleren, zodat de getroffen proxy contact opneemt met een interne dienst in een beheerd cluster. Als die dienst configuratiegegevens, tokens, foutopsporingsdetails of applicatieresponsen retourneert zonder afzonderlijke authenticatie te vereisen, kan de aanvaller informatie verkrijgen die nuttig is voor verdere inbraak.

De daadwerkelijke impact hangt af van welke diensten de proxy kan bereiken en welke beveiligingscontroles die diensten afdwingen. Red Hat heeft het probleem als 'Important' beoordeeld in plaats van 'Critical', ondanks de hoge CVSS-score van 9.3. De analyse van Red Hat stelt dat de bevestigde impact ongeauthenticeerde SSRF is, en geen remote code execution (RCE). De leverancier identificeerde een hoge impact op vertrouwelijkheid, een lage impact op integriteit en geen aangetoonde impact op beschikbaarheid.

De getroffen componenten zijn multicluster-engine/cluster-proxy-addon-rhel9 en multicluster-engine/cluster-proxy-rhel9 binnen Multicluster Engine voor Kubernetes. Ten tijde van de publicatie heeft Red Hat beide als getroffen vermeld en geen bijbehorende beveiligingserrata geïdentificeerd. Organisaties dienen onmiddellijk de netwerktoegang tot de gebruikersgerichte cluster-proxy-add-on route te beperken. Red Hat adviseert het toepassen van firewallregels of gelijkwaardige netwerkcontroles om ervoor te zorgen dat alleen vertrouwde netwerken en geautoriseerde bronnen verbinding kunnen maken met de blootgestelde poort. Beheerders moeten ook de blootstelling van routes controleren, proxy-toegangslogboeken inspecteren op ongebruikelijke padpatronen en gevoelige interne diensten identificeren die bereikbaar zijn vanuit de beheeromgeving.

Bron: Red Hat

CERT Polska, het Poolse Computer Emergency Response Team, heeft gewaarschuwd dat aanvallers actief misbruik maken van een kritieke kwetsbaarheid in de Zimbra Collaboration Suite (ZCS). ZCS is een veelgebruikte e-mail- en samenwerkingssoftware die wereldwijd door honderden miljoenen mensen en organisaties wordt ingezet, waaronder duizenden bedrijven en honderden overheidsinstanties.

De kwetsbaarheid, getraceerd als CVE-2026-73570, maakt het voor niet-geauthenticeerde aanvallers mogelijk om remote code execution (RCE) te verkrijgen. Dit gebeurt door het exploiteren van een command injection-zwakheid in de SNMP monitoring-component, mits SNMP-notificaties zijn ingeschakeld. De kwetsbaarheid stelt aanvallers in staat om speciaal geprepareerde SMTP-verzoeken te verzenden die leiden tot de uitvoering van willekeurige besturingssysteemcommando's als de Zimbra-gebruiker.

Het beveiligingsteam van Zimbra heeft op 20 juli versie 10.1.20 uitgebracht om deze kwetsbaarheid te patchen. Desondanks is de exploitatie recentelijk toegenomen. Internetbeveiligingswaakhond Shadowserver rapporteert dat meer dan 12.100 Zimbra-servers online zijn blootgesteld, waarvan de meeste zich in Europa (4.382) en Azië (4.492) bevinden. Het is echter onduidelijk hoeveel van deze servers al zijn gepatcht of als honeypot fungeren.

CERT Polska heeft beheerders opgeroepen hun logs te controleren op verdachte activiteiten. Specifiek wordt geadviseerd te zoeken naar onverwachte herstarts van de Zimbra-service en naar bestanden die in de afgelopen 30 dagen zijn aangemaakt door de gebruiker 'zimbra' in de mappen /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/, en /tmp/.

Kwetsbaarheden in Zimbra worden vaker doelwit van aanvallen. Zo maakten Russische Winter Vivern cyberspionnen in februari 2023 misbruik van een reflected XSS-exploit om e-mails te stelen van personen en organisaties die gelieerd zijn aan de NAVO. In oktober 2024 waarschuwden Amerikaanse en Britse cyberinstanties dat APT29-hackers (ook bekend als Midnight Blizzard en Cozy Bear, gelinkt aan de Russische Foreign Intelligence Service) kwetsbare Zimbra-servers aanvielen. Meer recentelijk, in maart, onthulden Seqrite Labs-onderzoekers dat APT28-hackers, een door de staat gesteunde dreigingsgroep gelinkt aan de Russische militaire inlichtingendienst, een stored cross-site scripting (XSS)-kwetsbaarheid exploiteerden bij aanvallen op ZCS-servers van de Oekraïense overheid.

Bron: CERT Polska

Uit recent onderzoek van beveiligingsbedrijf Barracuda blijkt dat een gemiddelde webapplicatie maar liefst twintig beveiligingslekken bevat. Deze zwakke plekken zijn vaak het resultaat van eenvoudige fouten die met de juiste aanpak vermeden kunnen worden. Barracuda voerde gedurende vijf maanden honderden scans uit om de kwetsbaarheid van webapplicaties in kaart te brengen.

Het onderzoek identificeert zeven hoofdcategorieën die samen ongeveer negentig procent van alle ontdekte kwetsbaarheden vertegenwoordigen. Informatielekken vormen met 25 procent de grootste boosdoener. Applicaties geven hierbij te veel informatie prijs over hun systemen, domeinen, verborgen pagina's of diensten. Aanvallers maken gebruik van deze gegevens om een omgeving in kaart te brengen, zwakke plekken te vinden en gerichte aanvallen voor te bereiden zonder daarbij argwaan te wekken.

Merkvervalsing en spoofing volgen met 24 procent op de voet. Hierbij misbruiken aanvallers kwetsbaarheden om zich voor te doen als een vertrouwd merk of domein. Dit stelt hen in staat om webpagina's te klonen, gebruikers naar schadelijke sites te leiden of overtuigende phishingmails te versturen die legitiem lijken. Client-side aanvallen, waarbij kwaadaardige scripts via de browser worden uitgevoerd, zijn verantwoordelijk voor 14 procent van de kwetsbaarheden. Voorbeelden hiervan zijn cross-site scripting, waarmee aanvallers sessiecookies stelen of gebruikers misleiden om op verborgen knoppen te klikken.

Verdere categorieën omvatten blootstelling van data (10 procent), waarbij gevoelige informatie lekt via webpagina's, API's, logbestanden of verkeerd geconfigureerde reacties. Dit kan leiden tot het verzamelen van persoonsgegevens, tokens en bedrijfsinformatie, of het ongemerkt volgen van gebruikers. Zwakke of ontbrekende versleuteling en verouderde software zijn elk goed voor 6 procent van de problemen, terwijl zwak sessiebeheer en onvoldoende bescherming van cookies en inloggegevens 5 procent uitmaken.

Jesus Cordero-Guzman, directeur Solution Architects AppSec, NetSec & XDR International bij Barracuda, benadrukt dat aanvallers vaak meerdere kleinere kwetsbaarheden combineren om alsnog gevoelige data of inloggegevens te bemachtigen. Volgens Barracuda kunnen veel van deze fouten eenvoudig worden vermeden door webapplicaties regelmatig te scannen op kwetsbaarheden en foutieve configuraties, en deze onmiddellijk te patchen. Daarnaast is het essentieel om de vrijgave van informatie tot een minimum te beperken en de beveiliging van encryptie, authenticatie en sessies te versterken. Continue monitoring van webapplicaties op verdachte activiteiten en nieuwe dreigingen blijft hierbij noodzakelijk.

Het onderzoek van Barracuda toont aan dat webapplicaties zelden het slachtoffer worden van geavanceerde aanvalstechnieken, maar vooral van basisfouten die met de juiste discipline te voorkomen zijn. Voor organisaties die webshops, klantportalen of partnerinterfaces beheren, is continue controle van hun applicaties dan ook geen overbodige luxe.

Bron: Barracuda

Zabbix SIA heeft recentelijk diverse kwetsbaarheden binnen zijn monitoringoplossing Zabbix gepatcht. Deze beveiligingslekken betroffen meerdere componenten, waaronder de API, de Frontend, script item en preprocessing functionaliteiten, en de installer van de Windows Agent. De ontdekte problemen variëren van omzeiling van beveiligingsmechanismen tot informatielekken en denial of service-mogelijkheden.

Een van de verholpen problemen betrof een tekortkoming in het login lockout mechanisme van Zabbix. Door een onjuiste telling van gelijktijdige mislukte inlogpogingen konden aanvallers dit mechanisme omzeilen en meer wachtwoordpogingen uitvoeren dan de bedoeling was, wat brute-force aanvallen vergemakkelijkte. Daarnaast was er een kwetsbaarheid in de OAuth-configuratie voor e-mailmedia, waarbij een Super Admin door aanpassingen aan het 'Token endpoint' het client secret kon onthullen en zelfs wijzigen.

Verder is er een prototype pollution kwetsbaarheid geïdentificeerd in de `searchParamsToObject()` functie. Dit leidde tot persistente cross-site scripting (XSS) aanvallen, mogelijk gemaakt door onveilige verwerking van URL-parameters en de manier waarop jQuery elementen creëerde. De Frontend webserver bevatte ook een actie, `popup.testtriggerexpr`, die door niet-geauthenticeerde gebruikers kon worden misbruikt. Speciaal geconstrueerde verzoeken aan deze actie konden een denial of service (DoS) veroorzaken door overmatige CPU-belasting op de server.

Voor geauthenticeerde gebruikers waren er eveneens risico's. De `validate.api.exists` actie maakte het mogelijk om plaintext user macro waarden uit te lezen, wat de blootstelling van gevoelige informatie tot gevolg had. Dezelfde actie kon ook leiden tot een DoS-aanval door excessief CPU-gebruik bij speciaal samengestelde verzoeken. In Zabbix versie 7.4 was er specifiek een probleem waarbij een cryptografische sleutel, essentieel voor het ondertekenen van Frontend sessies, onjuist werd opgeslagen in de database seed. Dit maakte het mogelijk voor aanvallers om sessiecookies te vervalsen bij gebruik van SAML-authenticatie en gastgebruikers.

Administratoren die gebruik maakten van de script item en preprocessing JavaScript HttpRequest logica, konden onbedoeld geheugen buiten de toegewezen grenzen uitlezen, wat kon resulteren in informatielekken. Een ander lek betrof de API `host.get` actie, die geauthenticeerde gebruikers in staat stelde de pre-shared key (PSK) van een host te achterhalen, wat de vertrouwelijkheid en integriteit van gegevens compromitteerde. Bovendien konden geauthenticeerde beheerders via speciaal samengestelde JavaScript-scripts in preprocessing of script items een DoS veroorzaken door server- of proxycrashes, met name in community packages voor Fedora en EPEL.

Tot slot heeft de Windows Agent installer een verbetering gekregen. Deze detecteert nu onveilige installatiepaden die kwetsbaar zijn voor DLL sideloading. Gebruikers krijgen een expliciete bevestiging gevraagd voordat de installatie in dergelijke paden wordt voortgezet, wat de beveiliging tijdens de installatie verhoogt.

Bron: NCSC

Beveiligingsonderzoekers hebben met behulp van Anthropic's Claude AI ernstige kwetsbaarheden gevonden in implementaties van Security Assertion Markup Language (SAML). Deze lekken kunnen aanvallers in staat stellen authenticatie te omzeilen en gebruikersaccounts over te nemen. De bevindingen onderstrepen de aanhoudende beveiligingsrisico's die voortvloeien uit de verwerking van XML-signaturen, inconsistent gedrag van parsers en aangepaste SAML-code.

Een onderzoeker van Oblique Security ontwikkelde een AI-ondersteund testplatform rond Claude Opus om SAML-bibliotheken en -applicaties te onderzoeken. In plaats van het model te instrueren om bekende bugs te reproduceren, kreeg Claude een dreigingsmodel en de vrijheid om te verkennen hoe elke implementatie ondertekende XML-gegevens verwerkte. Het proces scheidde de ontdekking van ongebruikelijk parsergedrag van de validatie, waarbij het model probeerde een werkende end-to-end exploit te creëren.

SAML wordt veel gebruikt voor single sign-on (SSO) binnen bedrijven, waarbij een identiteitsprovider ondertekende authenticatiebeweringen naar een serviceprovider stuurt. Een veilige implementatie vereist echter dat beide componenten hetzelfde XML-document op dezelfde manier interpreteren. Wanneer de handtekeningverificatie en de applicatielogica XML verschillend verwerken, kunnen aanvallers onondertekende identiteitsgegevens aanleveren die de applicatie ten onrechte vertrouwt.

Het onderzoek identificeerde volledige authenticatie-omzeilingen in vier projecten: Authentik, PHP litesaml/lightsaml, OneUptime en Java saml-client. In drie van deze gevallen betrof het SAML-signature wrapping, een al langer bekende aanvalsklasse waarbij een aanvaller XML-elementen verplaatst of injecteert, zodat een geldige handtekening op een ander object wordt geverifieerd terwijl de applicatie identiteitsinformatie uit een ander deel leest.

Het meest opmerkelijke probleem trof Authentik, een open-source identiteitsprovider. Deze kwetsbaarheid, getraceerd als CVE-2026-57580, stelde een aanvaller in staat een XML-commentaar te gebruiken binnen een SAML NameID-waarde. Onder bepaalde niet-standaard modi voor accountmatching kon Authentik de waarde vóór het commentaar interpreteren als de gebruikersnaam of e-mail van een slachtoffer, zelfs terwijl de ondertekende bewering geldig bleef. Dit kon een door een aanvaller gecontroleerde externe identiteit koppelen aan het account van het slachtoffer, wat een persistent pad creëerde voor accountovername. Authentik heeft de kwetsbaarheid verholpen in versies 2026.2.6 en 2026.5.5. Organisaties die inkomende SAML-bronnen gebruiken met `USERNAME_LINK` of `EMAIL_LINK` matching, dienen te controleren of zij de update hebben toegepast. De leverancier merkte op dat de standaard unieke-identificatie matching en uitgaande SAML-provider implementaties niet werden beïnvloed.

Het onderzoek onthulde ook zwakke punten buiten de standaard SAML-loginreacties. Volgens het onderzoek van Oblique Security kunnen omzeilingen van handtekeningvalidatie in authenticatieverzoeken, attribuutqueries en uitlogoperaties leiden tot informatielekken of willekeurige gebruikersuitloggen. Ook denial-of-service risico's kwamen veel voor. Verschillende bibliotheken accepteerden door aanvallers gecontroleerde XML-documenten die overmatig geheugengebruik konden veroorzaken tijdens handtekeningvalidatie of XML-transformatie. Dergelijke zwakke punten zijn bijzonder gevaarlijk omdat ze vaak vóór authenticatie kunnen worden misbruikt.

De bevindingen bevestigen een bekende boodschap voor identiteitsteams. Vermijd indien mogelijk aangepaste SAML-implementaties. Ontwikkelaars moeten volwassen, actief onderhouden bibliotheken gebruiken, ondertekende elementen strikt valideren, gevaarlijke XML-transformaties uitschakelen, limieten instellen voor documentgrootte en resourcegebruik, en identiteitsstromen testen op parserverschillen en signature wrapping-aanvallen. AI kan de ontdekking van kwetsbaarheden versnellen, maar het kan ook blootleggen hoe kwetsbaar oudere XML-gebaseerde authenticatie-implementaties blijven.

Bron: Oblique Security

Een kritieke kwetsbaarheid in GitLab, de populaire online DevOps-tool voor softwareontwikkeling, wordt reeds twee dagen na het uitbrengen van een beveiligingsupdate actief misbruikt bij aanvallen. Dit is gemeld door cybersecuritybedrijf watchTowr. De kwetsbaarheid, aangeduid met CVE-2026-19478, heeft een CVSS-impactscore van 9.4 op een schaal van 10, wat de ernst ervan onderstreept.

Volgens het beveiligingsbulletin over het lek stelt de kwetsbaarheid een ongeauthenticeerde aanvaller in staat om via een GraphQL-directive publieke projecten en gebruikersdata aan te passen of te verwijderen. GitLab bracht op 17 augustus beveiligingsupdates uit om dit probleem te verhelpen. Echter, reeds op 20 augustus meldde het Computer Security Incident Response Team van de Italiaanse overheid (CSIRT Italia) via X dat proof-of-concept exploitcode voor het lek online was verschenen. Op dezelfde dag nam cybersecuritybedrijf watchTowr ook daadwerkelijk misbruik waar.

Onderzoeker Jake Knott van watchTowr legde tegenover SecurityWeek uit dat het recent onthulde code injection lek een ongeauthenticeerde aanvaller in staat stelt om publiek toegankelijke GitLab-projecten te verwijderen en de status ervan te herschrijven. Tevens kunnen repositories volledig worden verwijderd, merge records worden vervalst, of maintainers worden verbannen. Dit alles kan worden uitgevoerd via één enkel HTTP request, zonder dat hiervoor inloggegevens, interactie van gebruikers of ongebruikelijke configuraties vereist zijn.

Bron: GitLab

Een recente kritieke kwetsbaarheid (CVE-2026-32475) in de populaire WordPress-plug-in Elementor Pro stelt ongeauthenticeerde aanvallers in staat om websites die erop draaien volledig over te nemen. Het lek maakt het mogelijk om kwaadaardige PHP-bestanden naar de webserver te uploaden en deze vervolgens uit te voeren. Hierdoor kunnen aanvallers backdoors installeren of malafide administratoraccounts aanmaken. Cybersecuritybedrijf Patchstack waarschuwt dat actief misbruik van deze kwetsbaarheid wordt verwacht.

Elementor Pro, een betaalde "page builder" plug-in die uitgebreide mogelijkheden biedt voor het vormgeven van WordPress-sites, is naar schatting actief op ongeveer zes miljoen websites wereldwijd. De gratis versie van Elementor wordt op meer dan tien miljoen sites gebruikt. De kwetsbaarheid doet zich voor tijdens het uploadproces van bestanden. Volgens cybersecuritybedrijf Wordfence ontstaat het probleem wanneer een bestand met een lege bestandsnaam wordt geüpload. Dit omzeilt de bestandscontrole voor alle daaropvolgende bestanden in hetzelfde uploadveld, waardoor uitvoerbare bestanden ongehinderd naar een publiek toegankelijke directory kunnen worden verplaatst.

Voor een succesvolle exploitatie is vereist dat de betreffende WordPress-site een gepubliceerde Elementor-pagina bevat met een formulierwidget en een uploadveld. De ontwikkelaars van Elementor Pro werden op 16 juli 2026 op de hoogte gebracht van het lek. Een patch is uitgebracht in versie 4.2.2 op 19 augustus 2026. Het exacte aantal kwetsbare websites is onbekend, aangezien downloadcijfers voor betaalde plug-ins niet openbaar zijn. Eerdere beveiligingslekken in Elementor Pro zijn in het verleden reeds misbruikt bij cyberaanvallen.

Bron: Patchstack

Microsoft heeft een dringende waarschuwing uitgegeven aan organisaties wereldwijd over het actieve misbruik van een uiterst kritieke kwetsbaarheid binnen zijn Entra ID-dienst. Dit beveiligingslek, officieel geregistreerd onder het nummer CVE-2026-69836, is door Microsoft beoordeeld met een CVSS-impactscore van 10.0, de hoogst mogelijke score, wat de extreme ernst van het probleem onderstreept. Het technologiebedrijf heeft inmiddels een noodzakelijke beveiligingsupdate uitgebracht om deze kwetsbaarheid te dichten.

Entra ID, dat voorheen bekend stond als Azure Active Directory, functioneert als een essentiële cloud-gebaseerde oplossing voor identiteits- en toegangsbeheer. Deze dienst stelt organisaties in staat om de toegang van hun medewerkers tot diverse applicaties en andere digitale 'resources' effectief te beheren en te beveiligen. De kern van de kwetsbaarheid lag in een 'deserialization of untrusted data'-fout binnen de Entra ID-service, welke een ongeauthenticeerde aanvaller de mogelijkheid bood om op afstand willekeurige code uit te voeren (remote code execution). Dit type kwetsbaarheid kan leiden tot volledige compromittering van systemen als het succesvol wordt uitgebuit.

Microsoft, dat de kwetsbaarheid zelfstandig heeft ontdekt, heeft bevestigd dat kwaadwillende actoren actief misbruik hebben gemaakt van dit lek. Het misbruik vond plaats in de periode vóórdat de beveiligingsupdate beschikbaar was gesteld. Hoewel het bedrijf heeft gemeld dat er daadwerkelijk aanvallen zijn geweest, heeft het geen verdere details verstrekt over de aard, omvang of specifieke methoden die bij deze aanvallen zijn gebruikt. Ook zijn er geen gegevens vrijgegeven over de getroffen organisaties of de impact van de incidenten.

Het goede nieuws voor klanten is dat Microsoft aangeeft dat zij geen verdere actie hoeven te ondernemen. Het probleem is inmiddels door Microsoft zelf verholpen door middel van de eerder genoemde beveiligingsupdate, die automatisch is uitgerold. Dit betekent dat systemen die correct zijn bijgewerkt, niet langer kwetsbaar zijn voor deze specifieke aanval. Desondanks dient de waarschuwing als een herinnering aan het voortdurende belang van robuust identiteits- en toegangsbeheer en de noodzaak om alert te blijven op nieuwe dreigingen in cloudomgevingen. De hoge CVSS-score benadrukt eens te meer hoe cruciaal het is dat dergelijke kritieke kwetsbaarheden snel worden geïdentificeerd en gepatcht om grootschalige schade te voorkomen.

Bron: Microsoft

Cisco heeft recentelijk negen kritieke kwetsbaarheden gepatcht in zijn Crosswork-platforms en Secure Workload-software. Van deze negen hebben maar liefst zes de maximale CVSS-score van 10.0 gekregen. De kwetsbaarheden werden ontdekt tijdens een interne beveiligingsreview door het engineeringteam van Cisco Crosswork en zijn, voor zover bekend, nog niet actief misbruikt in het wild.

Volgens Cisco zijn deze kwetsbaarheden gegroepeerd per onderliggende Common Weakness Enumeration (CWE) en is aan elke CWE-groepering een afzonderlijke Common Vulnerabilities and Exposures (CVE) ID toegekend om het patchproces te stroomlijnen.

Vier van de kwetsbaarheden betreffen Cisco Crosswork Data Gateway, Crosswork Network Controller en Crosswork Planning, ongeacht hun configuratie:

*   **CVE-2026-20030** (CVSS-score: 10.0) is een SQL-injectiekwetsbaarheid die een aanvaller in staat stelt databasequery's direct te manipuleren.

*   **CVE-2026-20357** (CVSS-score: 10.0) betreft een ontbrekende authenticatie voor een kritieke functie, waardoor gevoelige bewerkingen kunnen worden uitgevoerd zonder authenticatie.

*   **CVE-2026-20358** (CVSS-score: 10.0) is een externe controle van het bestandssysteem, waardoor een externe actor kan beïnvloeden welke bestanden het systeem leest of schrijft.

*   **CVE-2026-20359** (CVSS-score: 9.9) duidt op onvoldoende beschermde inloggegevens, waarbij opgeslagen inlogmateriaal niet correct is beveiligd.

Deze vier kwetsbaarheden beïnvloeden Crosswork versie 7.2.1 en eerder en zijn verholpen in versie 7.2.1-SP.

Daarnaast zijn er vijf kwetsbaarheden gepatcht in Cisco Secure Workload, zowel voor cloud SaaS als on-premises implementaties:

*   **CVE-2026-20231** (CVSS-score: 9.9) omvat een reeks kwetsbaarheden met betrekking tot onjuiste neutralisatie van speciale elementen, inclusief command-, besturingssysteem- en argumentinjectie.

*   **CVE-2026-20315** (CVSS-score: 10.0) betreft een reeks kwetsbaarheden voor onjuiste toegangscontrole, waaronder autorisatie-, authenticatie-, privilege- en bypassproblemen.

*   **CVE-2026-20317** (CVSS-score: 10.0) is een cluster van kwetsbaarheden voor onjuiste authenticatie, zoals ontbrekende authenticatie, authenticatie-bypass en afhankelijkheid van onvertrouwde invoer.

*   **CVE-2026-20318** (CVSS-score: 9.6) omvat kwetsbaarheden voor onjuiste invoervalidatie, zoals path traversal en externe path control.

*   **CVE-2026-20319** (CVSS-score: 7.5) betreft een reeks kwetsbaarheden voor onjuiste beperking van bewerkingen binnen de grenzen van een geheugenbuffer, zoals buffer overflows en out-of-bounds writes.

Deze kwetsbaarheden in Secure Workload zijn aangepakt in Release 3.10.9.1 voor de 3.10-branch en eerder, en in 4.0.4.16 voor de 4.0-branch.

Cisco heeft benadrukt dat deze kwetsbaarheden zijn ontdekt door interne beveiligingstests, waarbij ook geavanceerde AI-modellen zijn ingezet. Er zijn geen meldingen van actieve aanvallen die gebruikmaken van deze negen kwetsbaarheden. Organisaties die Cisco Crosswork of Secure Workload gebruiken, worden dringend geadviseerd de patches zo snel mogelijk te implementeren, gezien de hoge CVSS-scores en de potentiële aantrekkingskracht van deze kwetsbaarheden voor kwaadwillenden zodra technische details breder bekend worden.

Bron: Cisco

Het Nationaal Cyber Security Centrum (NCSC) heeft een waarschuwing uitgegeven betreffende diverse kwetsbaarheden die zijn verholpen in Splunk Enterprise. Specifieke versies die getroffen waren, zijn die vóór 10.4.2, 10.2.6, 10.0.9 en 9.4.14. De kwetsbaarheden stellen aanvallers in staat om ongeautoriseerde toegang te verkrijgen tot gevoelige gegevens, systeemconfiguraties te manipuleren en code met verhoogde rechten uit te voeren.

Een van de meest kritieke problemen betreft onvoldoende handhaving van authenticatie- en autorisatiecontroles binnen de REST API's van Splunk Enterprise. Dit gebrek aan controle kan niet-bevoegde gebruikers de mogelijkheid geven om toegang te krijgen tot gevoelige informatie en configuraties. Bovendien zouden zij willekeurige SPL-commando's kunnen uitvoeren met verhoogde privileges, wat een aanzienlijk risico vormt voor de integriteit en vertrouwelijkheid van de data.

Daarnaast zijn er meerdere kwetsbaarheden ontdekt die Cross-Site Scripting (XSS) aanvallen mogelijk maken. Kwaadwillenden kunnen hierdoor via speciaal vervaardigde links of specifieke content JavaScript-code injecteren en uitvoeren in de context van andere gebruikers. Dit kan leiden tot het stelen van sessiecookies, het omleiden van gebruikers naar malafide websites of het uitvoeren van acties namens de legitieme gebruiker.

Verder is gebleken dat zowel niet-geauthenticeerde als laaggeprivilegieerde gebruikers via diverse componenten van Splunk Enterprise, zoals de Dataset Explorer, Dashboard Studio, Search Head Cluster en andere interfaces, commando's kunnen uitvoeren, bestanden kunnen manipuleren of configuraties kunnen wijzigen. Deze brede reeks van kwetsbaarheden onderstreept de noodzaak van tijdige patching.

De kwetsbaarheden kunnen ook leiden tot het benaderen van sessiegegevens, het onderscheppen van authenticatietokens of het forceren van administratieve sessies. Exploitatie van deze zwakke punten kan plaatsvinden via methoden als phishing, het openen van kwaadaardige links of misbruik van onvoldoende beveiligde API-eindpunten. De impact van succesvolle aanvallen omvat ongeautoriseerde toegang tot data, manipulatie van systeemconfiguraties, uitvoering van code met verhoogde rechten en mogelijke verstoring van de beschikbaarheid van de dienst.

De getroffen onderdelen van Splunk Enterprise omvatten de REST API, Splunk Web Manager, Dashboard Studio, federated search en de Edge Processor component. Beheerders van Splunk Enterprise worden dringend geadviseerd om hun installaties te updaten naar de gepatchte versies 10.4.2, 10.2.6, 10.0.9 of 9.4.14, afhankelijk van hun huidige versie. Splunk heeft tevens updates uitgebracht om kwetsbaarheden in producten van derde partijen, waarvan Splunk gebruikmaakt, te verhelpen.

Bron: NCSC

Een recente ontdekking heeft een kritieke kwetsbaarheid aan het licht gebracht in de ingebedde UnboundID LDAP-server van Spring Security. Deze kwetsbaarheid, aangeduid als CVE-2026-59270, kan externe aanvallers in staat stellen om administratieve toegang te verkrijgen tot blootgestelde in-memory LDAP-mappen.

Het probleem treft applicaties die gebruikmaken van Spring Security's `UnboundIdContainer`, zowel direct als via de automatische configuratie van ingebedde LDAP in Spring Boot. De kwetsbaarheid werd op 20 augustus 2026 gepubliceerd en heeft een kritieke ernstbeoordeling. Exploitatie is op afstand mogelijk zonder voorafgaande authenticatie of gebruikersinteractie, mits de ingebedde LDAP-luisteraar bereikbaar is vanaf een door een aanvaller gecontroleerde netwerklocatie.

De kwetsbaarheid ontstaat doordat `UnboundIdContainer` onvoorwaardelijk een administratieve LDAP-referentie aanmaakt en de LDAP-luisteraar bindt aan alle beschikbare netwerkinterfaces. Dit gedrag kan de LDAP-dienst blootstellen buiten localhost, afhankelijk van firewallregels, containernetwerken, cloudbeveiligingsgroepen en netwerkbeleid. Een aanvaller die verbinding kan maken met de blootgestelde LDAP-poort, kan authenticeren met de bekende administratieve bind distinguished name.

Succesvolle authenticatie verleent administratieve toegang tot de ingebedde map, waardoor de aanvaller LDAP-vermeldingen die in het geheugen zijn opgeslagen, kan lezen, wijzigen of potentieel verwijderen. Dit is vooral zorgwekkend in ontwikkel-, test-, CI/CD- en interne applicatieomgevingen waar ingebedde LDAP-diensten mogelijk zijn ingeschakeld voor authenticatietests of voor applicatiefuncties die afhankelijk zijn van een directory. Hoewel de directory zich in het geheugen bevindt, kunnen de gegevens testaccounts, authenticatieattributen, roltoewijzingen, applicatieconfiguratiewaarden of andere gevoelige records bevatten die tijdens het opstarten zijn geladen.

Aanvallers kunnen de kwetsbaarheid misbruiken om LDAP-gebruikers en -groepen te enumereren, autorisatiegerelateerde vermeldingen te wijzigen, kwaadaardige directory-objecten te injecteren of applicaties te verstoren die afhankelijk zijn van de ingebedde LDAP-instantie. In sommige implementaties kunnen gewijzigde directory-records de autorisatiebeslissingen van applicaties beïnvloeden en vervolgaanvallen tegen verbonden diensten mogelijk maken.

CVE-2026-59270 treft Spring Security versies 7.1.0, 7.0.0 tot en met 7.0.6, 6.5.0 tot en met 6.5.11, 6.4.0 tot en met 6.4.18, 5.8.0 tot en met 5.8.27, en 5.7.0 tot en met 5.7.25. Gebruikers van Spring Security wordt geadviseerd onmiddellijk te upgraden naar een vaste release. Beschikbare open-source fixes omvatten Spring Security 7.1.1 en 7.0.7. Voor bedrijfsondersteunde onderhoudsbranches zijn ook fixes beschikbaar, waaronder versies 6.5.12, 6.4.19, 5.8.28 en 5.7.26.

Organisaties dienen applicaties te identificeren door te controleren op de aanwezigheid van `UnboundIdContainer` of Spring Boot-eigenschappen die beginnen met `spring.ldap.embedded.*`. Beveiligingsteams moeten ook controleren of LDAP-luisterpoorten worden blootgesteld via hostnetwerken, Kubernetes-diensten, ingress-regels, Docker-poorttoewijzingen, firewallconfiguraties of cloudnetwerkcontroles. Hoewel Spring heeft aangegeven dat na een upgrade geen verdere mitigatiestappen nodig zijn, wordt organisaties toch aangeraden de toegang tot ingebedde LDAP-diensten waar mogelijk te beperken, vooral in niet-productieomgevingen. Netwerksegmentatie en localhost-only blootstelling kunnen het risico op externe exploitatie verminderen terwijl patches worden geïmplementeerd.

Bron: Spring

Google heeft een beveiligingsupdate voor Chrome uitgebracht die meerdere kwetsbaarheden verhelpt. De ernstigste daarvan zit in Chromoting, de functie waarmee gebruikers via de browser een andere computer op afstand kunnen overnemen. Het lek is als kritiek beoordeeld.

Het gaat om een zogeheten use after free, een fout waarbij een programma geheugen blijft gebruiken dat het al had vrijgegeven. Volgens Google is het bezoeken van een besmette of kwaadaardige website genoeg om de fout te misbruiken, en ook een kwaadaardige advertentie kan volstaan. Verdere handelingen van de gebruiker zijn niet nodig, wat de drempel voor misbruik laag maakt.

Google ontdekte de kwetsbaarheid zelf en meldt niets over misbruik in de praktijk. In dezelfde update zijn daarnaast meerdere problemen verholpen die als hoog zijn beoordeeld.

Voor organisaties in Nederland en België is de praktische stap dezelfde als altijd bij een browserupdate. Controleer of de update daadwerkelijk is uitgerold en of de browser opnieuw is gestart, want zonder herstart blijft de oude versie actief.

Bron: Google Chrome Releases

Onderzoekers van Cycode hebben een kritieke kwetsbaarheid gevonden in AIT-GUI, de browserconsole van de open source AMMOS Instrument Toolkit van NASA/JPL. De fout kreeg identificatie GHSA-p9r8-2q67-fp86 en een CVSS score van 9,4. Een oplossing is beschikbaar in AIT-GUI versie 2.5.2.

De onderzochte server luisterde op alle netwerkinterfaces terwijl routes voor commando's, scripts en sequenties geen authenticatie vereisten. Daardoor kon iemand die de poort bereikte opdrachten aan de commandobus doorgeven. Ook kon een kwaadaardige webpagina verzoeken laten uitvoeren via de browser van een operator, omdat bescherming tegen vervalste webverzoeken ontbrak.

Cycode beschrijft daarnaast onvoldoende begrenzing van bestandspaden bij het starten van scripts en sequenties. De onderzoekers bevestigden de bevindingen met handmatige tests nadat codeanalyse de patronen had aangewezen. Er is geen bewijs genoemd dat de kwetsbaarheid daadwerkelijk is misbruikt.

Beheerders moeten upgraden naar versie 2.5.2, de console niet vanaf onvertrouwde netwerken bereikbaar maken en de geschiedenis van commando's en sequenties controleren wanneer een oudere versie blootgesteld is geweest. De bevinding gaat over kwetsbare software en betekent niet dat een ruimtevaartuig aantoonbaar is overgenomen.

Bron: Cycode

Onderzoekers van Endor Labs beschrijven een fout in een Node.js bibliotheek voor het afgescheiden uitvoeren van JavaScript. Kwaadaardige JavaScriptcode kan bij kwetsbare toepassingen een controle omzeilen tijdens het overdragen van geheugen tussen gescheiden V8 omgevingen. De fout staat geregistreerd als GHSA-864f-rcv7-6rh4 en raakt versies ouder dan 6.2.0 en 7.0.1.

De kwetsbaarheid zit in de verwerking van een overdrachtslijst door ExternalCopy. Een getter kan bij de eerste controle een geldig geheugenobject teruggeven en bij het latere gebruik een ander type leveren. Daardoor ontstaat typeverwarring in de oorspronkelijke code. Endor Labs demonstreerde dat dit ten minste een crash kan veroorzaken en dat verdere beïnvloeding van het hostproces mogelijk is. Organisaties die onbetrouwbare scripts met deze bibliotheek uitvoeren, moeten controleren welke versie zij gebruiken en bijwerken naar 6.2.0 of 7.0.1.

Bron: Endor Labs

Op 24 augustus 2026 heeft CISA (Cybersecurity and Infrastructure Security Agency) een nieuwe kwetsbaarheid toegevoegd aan haar Known Exploited Vulnerabilities (KEV) Catalogus. Deze toevoeging, geïdentificeerd als CVE-2026-21962, betreft een kwetsbaarheid voor onjuiste toegangscontrole in de Oracle HTTP Server en de Oracle Weblogic Server Proxy Plug-in. CISA heeft bewijs van actieve exploitatie van deze kwetsbaarheid vastgesteld, wat de urgentie van remediëring onderstreept.

Kwetsbaarheden van dit type worden vaak gebruikt door kwaadwillende cyberactoren als aanvalsvector en vormen een aanzienlijk risico, met name voor federale overheidsinstanties. De CISA Binding Operational Directive (BOD) 26-04, getiteld "Prioritizing Security Updates Based on Risk", legt specifieke vereisten voor kwetsbaarheidsbeheer op aan Federal Civilian Executive Branch (FCEB) agentschappen. Deze richtlijn benadrukt het cruciale belang van de KEV Catalogus.

BOD 26-04 verplicht federale instanties om met hoge prioriteit kwetsbaarheden te herstellen die een aanzienlijk risico vormen. Dit omvat specifiek de Common Vulnerabilities and Exposures (CVE's) die in de KEV Catalogus zijn opgenomen, vooral wanneer deze betrekking hebben op publiek toegankelijke assets die na exploitatie volledige controle over het systeem kunnen verlenen. De richtlijn stelt ook duidelijke verwachtingen vast voor wanneer instanties moeten controleren of dreigingsactoren het systeem al hebben gecompromitteerd voordat een patch werd toegepast.

Hoewel BOD 26-04 formeel alleen van toepassing is op FCEB-agentschappen, moedigt CISA alle organisaties aan om een risicogebaseerde benadering van kwetsbaarheidsbeheer te hanteren. Dit betekent dat zij de remediëring van kwetsbaarheden die in de KEV Catalogus zijn opgenomen, moeten prioriteren. Organisaties die de Oracle HTTP Server of Oracle Weblogic Server Proxy Plug-in gebruiken, dienen de kwetsbaarheid CVE-2026-21962 met prioriteit aan te pakken. CISA zal doorgaan met het uitbreiden van de catalogus met kwetsbaarheden die voldoen aan de gestelde criteria, waaronder een CVE ID, aantoonbaar bewijs van exploitatie en duidelijke mitigatierichtlijnen. Organisaties die een geëxploiteerde kwetsbaarheid kennen die nog niet in de catalogus staat, kunnen deze indienen via het KEV Nomination Form van CISA.

Bron: CISA

TP-Link heeft recentelijk drie kritieke kwetsbaarheden voor command injection onthuld die van invloed zijn op de Archer BE800 V1, Archer BE3600 V1 en Archer AX75 V1 routers. Deze kwetsbaarheden, met een hoge ernst, kunnen aanvallers in de nabijheid in staat stellen om willekeurige commando's met root-privileges uit te voeren. Dit kan leiden tot een volledige compromittering van het apparaat en verdere aanvallen op andere apparaten die verbonden zijn met het lokale netwerk. TP-Link heeft firmware-updates uitgebracht voor alle getroffen producten en roept klanten op deze zo spoedig mogelijk te installeren.

De beveiligingswaarschuwing, voor het laatst bijgewerkt op 24 augustus 2026, identificeert de problemen als CVE-2026-9254, CVE-2026-16348 en CVE-2026-78541.

CVE-2026-9254 betreft een niet-geauthenticeerde kwetsbaarheid voor command injection in het besturingssysteem, specifiek in de functionaliteit voor ouderlijk toezicht van de Archer BE800 V1, Archer BE3600 V1 en Archer AX75 V1 apparaten. De kwetsbaarheid wordt veroorzaakt door onvoldoende filtering en neutralisatie van speciale tekens in bepaalde parameters. Een aanvaller op het lokale netwerk kan dit lek misbruiken zonder in te loggen op de router. Succesvolle exploitatie maakt het injecteren en uitvoeren van willekeurige systeemcommando's als de root-gebruiker mogelijk, wat de aanvaller het hoogste privilege-niveau op het apparaat geeft. Dit probleem heeft een CVSS v4.0-score van 8.7 en is geclassificeerd als 'Hoog'. TP-Link waarschuwt dat exploitatie de vertrouwelijkheid, integriteit en beschikbaarheid van zowel de router als het netwerkverkeer kan aantasten.

Het tweede probleem, CVE-2026-16348, treft de functionaliteit voor VPN-verbindingen van de Archer BE800 V1 routers. Dit is een geauthenticeerde kwetsbaarheid voor command injection die administratieve toegang vereist. Een aanvaller kan shell-metatekens injecteren via een VPN-verbinding en commando's uitvoeren met root-privileges. Hoewel de kwetsbaarheid geldige beheerdersrechten vereist, blijft de impact ernstig. Een succesvolle aanval kan cybercriminelen in staat stellen persistente backdoors te installeren, inloggegevens te stelen, het lokale netwerk te verkennen en de gecompromitteerde router te gebruiken om andere verbonden systemen aan te vallen. CVE-2026-16348 heeft een CVSS v4.0-score van 8.5 en een 'Hoog' ernstniveau.

De derde kwetsbaarheid, CVE-2026-78541, is een opgeslagen kwetsbaarheid voor command injection in de module voor ouderlijk toezicht van de Archer BE3600 V1 routers. Een geauthenticeerde aanvaller met administratieve toegang kan een speciaal geformuleerde profielnaam creëren die shell-metatekens bevat. Deze kwaadaardige invoer wordt op het apparaat opgeslagen en kan later onveilig worden verwerkt wanneer de router zijn dagelijkse cloudrapport genereert. Dit vertraagde uitvoeringspad kan resulteren in het uitvoeren van willekeurige commando's op de router. TP-Link heeft deze kwetsbaarheid een CVSS v4.0-score van 8.5 toegekend.

Gebruikers wordt geadviseerd de nieuwste firmware te downloaden van de regionale ondersteuningspagina's van TP-Link, de geïnstalleerde hardware-revisie te controleren voordat ze updaten, en standaard beheerderswachtwoorden te wijzigen. Organisaties dienen ook het beheer van routers te beperken tot vertrouwde apparaten, onnodige beheerdiensten op afstand uit te schakelen en netwerklogboeken te controleren op onverwachte configuratiewijzigingen of uitgaand verkeer.

Bron: TP-Link

Een ongepatchte kwetsbaarheid in residentiële routers van Calix GS7 XGS (GS5239XG), die door verschillende Amerikaanse breedbandproviders worden gebruikt, stelt externe, ongeauthenticeerde aanvallers in staat om regels voor poort-forwarding aan te maken. Dit kan leiden tot het blootstellen van lokale netwerkapparaten aan het openbare internet. De kwetsbaarheid, aangeduid als CVE-2026-75501, wordt beschreven als een ontbrekende authenticatiekwestie die apparaten met EXOS/6.6.47 firmware treft.

Beveiligingsonderzoeker Brian Khan Quintana ontdekte de kwetsbaarheid en rapporteerde deze op 7 juni aan het Carnegie Mellon CERT Coordination Center, nadat pogingen om de leverancier te informeren zonder succes bleven. Na herhaalde pogingen om contact op te nemen met de leverancier en uitblijvende reactie, coördineerde CERT/CC een openbare bekendmaking, waarna Quintana de technische details publiceerde.

Calix is een belangrijke leverancier op de Amerikaanse breedbandmarkt en werkt samen met grote entiteiten zoals Cox Communications, Brightspeed, ALLO, CityFibre en Conexon. Het getroffen model, de GS5239XG, wordt ook verkocht als de GigaSpire 7u10txg en is een nieuw, premium gateway-apparaat dat Wi-Fi 7-mogelijkheden combineert met een geïntegreerde XGS-PON glasvezelterminal.

De CVE-2026-75501-kwetsbaarheid wordt veroorzaakt doordat het apparaat het "MiniUPnPd control endpoint op de WAN-interface op TCP-poort 5000 zonder toegangscontroles" blootstelt. CERT/CC waarschuwt dat in de getroffen firmwareversies de router zijn UPnP WANIPConnection SOAP-dienst bindt aan de openbare WAN-interface op TCP-poort 5000. Dit stelt een aanvaller op het openbare web in staat om ongeauthenticeerde SOAP-verzoeken naar het apparaat te sturen om poorttoewijzingen toe te voegen, te verwijderen of op te sommen, of om het externe IP-adres op te vragen.

Op deze manier kunnen hackers de Network Address Translation (NAT) en firewallbescherming van de router omzeilen en interne camera's, netwerk-attached storage (NAS) apparaten, beheerinterfaces en IoT-apparatuur blootleggen. Quintana stelt: "Eén ongeauthenticeerde aanvraag van overal ter wereld is genoeg om een permanent gat te openen door de firewall van de router naar elk apparaat in huis. Geen wachtwoord. Geen prompt. Niets op het scherm. De regel overleeft een herstart."

Een aanvaller die misbruik maakt van dit beveiligingsprobleem kan willekeurige regels voor poort-forwarding aanmaken, bestaande toewijzingen verwijderen, de huidige toewijzingen van de router opsommen en het openbare IP-adres ophalen. Quintana testte de bevinding door verzoeken buiten zijn thuisnetwerk te verzenden om een poorttoewijzing te creëren die een intern adres blootstelde. Een toewijzing die zonder vervaldatum was geconfigureerd, bleef actief na het opnieuw opstarten van de router.

Aangezien er geen fix beschikbaar is voor CVE-2026-75501, adviseert Quintana gebruikers van het kwetsbare apparaat om UPnP uit te schakelen via de beheerinterface (Geavanceerd → Beveiliging → UPnP). De onderzoeker merkt op dat deze workaround het automatisch openen van poorten uitschakelt, waar sommige games van afhankelijk zijn, maar dat het altijd mogelijk is om specifieke poorten handmatig te openen. CERT/CC merkt ook op dat de instelling in sommige gevallen vergrendeld kan zijn, en gebruikers die deze niet kunnen wijzigen, wordt aangeraden contact op te nemen met hun internetprovider om de deactivering aan te vragen.

Bron: CERT Coordination Center

Hackers proberen actief twee kritieke authenticatie bypass kwetsbaarheden in de miniOrange SAML 2.0 Single Sign On plugin voor WordPress te misbruiken. Deze kwetsbaarheden stellen aanvallers in staat om SAML-responsen te vervalsen en in te loggen als beheerder op getroffen WordPress-sites. De miniOrange SAML SSO plugin transformeert een WordPress-site in een SAML-serviceprovider, waardoor gebruikers kunnen inloggen via bedrijfsidentiteitsplatformen zoals Microsoft Entra ID, Okta, Google Workspace of OneLogin, in plaats van met afzonderlijke WordPress-inloggegevens. Het product, gecreëerd door Xecurify, omvat zeven plugins, waarvan de gratis versie meer dan 10.000 keer is gedownload en de betaalde versies 30.000 klanten bedienen.

De twee kwetsbaarheden die worden uitgebuit, zijn geïdentificeerd als CVE-2026-61979 en CVE-2026-15981. Deze kunnen aan elkaar worden gekoppeld om authenticatie te omzeilen. CVE-2026-61979 ontstaat doordat de miniOrange SAML SSO plugin het handtekeningalgoritme accepteert van inkomende SAML-responsen, in plaats van het geconfigureerde algoritme af te dwingen. Dit stelt een aanvaller in staat om HMAC-SHA1 te selecteren, waardoor de plugin de RSA publieke sleutel van de identiteitsprovider (IdP) als het gedeelde geheim behandelt. Aangezien de publieke sleutel bekend is, kan de aanvaller een handtekening vervalsen die de plugin als authentiek accepteert. De tweede kwetsbaarheid, CVE-2026-15981, zorgt ervoor dat de plugin een OpenSSL verificatiefout (-1) als een succesvol resultaat interpreteert, waardoor misvormde handtekeningen de validatie passeren.

Volgens beveiligingsbedrijf Patchstack werden de twee kwetsbaarheden in juli openbaar gemaakt en gepatcht. Echter, het advies van de leverancier betrof alleen de gratis editie, waardoor de zes betaalde edities zonder waarschuwing bleven, ondanks dat er ook voor deze versies fixes beschikbaar waren. De volgende versies bevatten de oplossingen voor de kwetsbaarheden:

*   Free, single site, versie 5.4.5

*   Premium, single site, versie 13.0.4

*   Standard, single site, versie 17.06

*   Premium/Enterprise/All-Inclusive, multisite, versie 20.2.8

*   Enterprise/All-Inclusive, single site, versie 26.0.3

*   VIP, single site, versie 32.0.8

*   VIP, multisite, versie 35.0.7

Het niet volledig openbaar maken van het risico voor alle versies van de plugin heeft ertoe geleid dat veel sites met de betaalde edities geen actie hebben ondernomen, wat aanvallers de kans gaf de kwetsbaarheden uit te buiten. Patchstack meldt dat DigitalOcean op 16 augustus een afwijkende WordPress beheerderssessie blokkeerde die afkomstig was van buiten het vertrouwde netwerk. Uit het onderzoek bleek dat aanvallers de twee kwetsbaarheden hadden gekoppeld om een admin sessiecookie te verkrijgen via de Standard editie plugin in versie 16.1.9. Patchstack-gegevens tonen aan dat exploitatiepogingen en opportunistisch scannen plaatsvinden, gelanceerd vanaf zes IP-adressen verspreid over Europa, Afrika en de Verenigde Staten. Een proof-of-concept (PoC) exploit gericht op de gratis editie is ook openbaar beschikbaar, wat de snelheid van aanvallen op elk moment kan verhogen. Patchstack waarschuwt dat het beheerdersdashboard van WordPress geen updatewaarschuwingen zal tonen voor de betaalde versies van de plugin, waardoor website-eigenaren handmatig moeten upgraden naar een gepatchte release.

Bron: Patchstack

Microsoft onderzoekt een bekend probleem na de cumulatieve updates voor .NET Framework van augustus 2026. Sommige toepassingen die Windows Presentation Foundation gebruiken, kunnen vastlopen met een System.IO.FileFormatException wanneer zij documenten printen of inhoud voor PDF en XPS maken met bepaalde lettertypen, waaronder Calibri.

Microsoft beschrijft een tijdelijke AppContext instelling waarmee ontwikkelaars het probleem kunnen omzeilen. Die instelling schakelt echter een beveiligingsbescherming uit die met de update van augustus is toegevoegd. Daardoor kan de blootstelling aan de kwetsbaarheden uit die update toenemen. Microsoft adviseert deze route alleen tijdelijk en uitsluitend wanneer de storing anders niet kan worden opgelost.

Het verwijderen van de beveiligingsupdate is geen veilige standaardoplossing. Beheerders kunnen getroffen toepassingen testen, de tijdelijke instelling zo beperkt mogelijk inzetten en de onderzoekstatus van Microsoft volgen.

Bron: Microsoft

WordPress.org heeft een beveiligingsupdate geforceerd geïnstalleerd op meer dan 100.000 websites. Deze ingrijpende maatregel is genomen vanwege een kritieke kwetsbaarheid die is ontdekt in de populaire plug-in Pods. De Pods-plug-in stelt WordPress-beheerders in staat om nieuwe soorten content-onderdelen te creëren en aan te passen, waarmee extra functionaliteit aan hun websites wordt toegevoegd. Gezien het feit dat meer dan 100.000 WordPress-sites wereldwijd van deze plug-in gebruikmaken, was de potentiële impact van het lek aanzienlijk.

De specifieke kwetsbaarheid bevindt zich in een functie van de Pods-plug-in en stelt een ongeauthenticeerde aanvaller in staat om het wachtwoord van een willekeurige gebruiker te overschrijven. Dit omvat ook de admin gebruiker, wat kan leiden tot volledige controle over de getroffen website. Naast het overschrijven van wachtwoorden, biedt de kwetsbare functie ook de mogelijkheid om willekeurige bestanden te verwijderen, kwaadaardige PHP-code naar een bestand te schrijven of andere beheerdersacties uit te voeren, wat een ernstig risico vormt voor de integriteit en veiligheid van de website.

De ontwikkelaar van de Pods-plug-in werd op 12 augustus op de hoogte gebracht van het beveiligingslek. Twee dagen later, op 14 augustus, werd versie 3.3.9.1 uitgebracht, waarin het probleem is verholpen. Het cybersecuritybedrijf Wordfence heeft de details van de kwetsbaarheid inmiddels openbaar gemaakt. Hoewel veel WordPress-sites zijn geconfigureerd om plug-in-updates automatisch te installeren, zijn er ook talloze websites waar deze functie is uitgeschakeld.

WordPress.org beschikt echter over de bevoegdheid om updates geforceerd te installeren in gevallen van zeer kritieke of actief misbruikte kwetsbaarheden. Deze mogelijkheid is in het verleden al een aantal keer ingezet bij ernstige beveiligingsproblemen. Vanwege de hoge impact en de ernst van de kwetsbaarheid in Pods, is nu opnieuw besloten om een 'forced update' uit te voeren op alle websites die de plug-in gebruiken, ongeacht hun instellingen voor automatische updates. Deze actie onderstreept de urgentie en de potentiële gevaren die het lek met zich meebracht voor een groot aantal WordPress-gebruikers wereldwijd.

Bron: Wordfence

Het Nationaal Cyber Security Centrum (NCSC) heeft recentelijk een advies uitgebracht betreffende updates voor diverse producten van Atlassian. Atlassian heeft kwetsbaarheden verholpen in een reeks veelgebruikte applicaties, waaronder Bamboo, Bitbucket, Confluence, Jira, Crowd en Fisheye. Deze kwetsbaarheden vonden hun oorsprong in externe producten en modules van derden, waarvoor eerder al beveiligingsupdates beschikbaar kwamen. Atlassian heeft deze cruciale updates nu geïntegreerd in haar eigen softwareoplossingen.

De aard van de verholpen kwetsbaarheden omvat diverse risico's. Aanvallers zouden deze kunnen misbruiken om een Denial of Service (DoS) aanval uit te voeren, waarbij systemen onbereikbaar worden gemaakt. Daarnaast bestaat de mogelijkheid tot het uitvoeren van willekeurige code, wat bereikt kan worden door middel van scriptinjectie of het inbrengen van kwaadaardige SQL-query's. Een succesvolle exploitatie kan leiden tot manipulatie van gegevens en ongeautoriseerde toegang tot gevoelige informatie binnen de omgevingen van Atlassian.

Hoewel enkele van de oorspronkelijke kwetsbaarheden in de gebruikte componenten een hoge CVSS-score van 9 of hoger hadden en door de betreffende ontwikkelaars als 'kritiek' werden beoordeeld, heeft Atlassian een eigen risico-inschatting gemaakt. Vanwege de specifieke implementatie van deze externe modules in de producten van Atlassian, acht de softwareontwikkelaar direct misbruik van deze specifieke kwetsbaarheden minder waarschijnlijk. Hierdoor schat Atlassian de risico's van misbruik voor hun eigen producten lager in dan de initiële beoordeling van de externe componenten.

Desondanks benadrukt het NCSC het belang van snelle actie. Gezien de grote hoeveelheid verholpen kwetsbaarheden en de potentiële impact, adviseert het Nationaal Cyber Security Centrum om deze updates met hoge prioriteit door te voeren. Dit geldt in het bijzonder voor systemen die toegankelijk zijn vanaf publieke infrastructuur, aangezien deze een verhoogd risico vormen voor externe aanvallers. Organisaties die gebruik maken van producten van Atlassian worden daarom aangespoord om de aanbevolen patches zo spoedig mogelijk te installeren om potentiële beveiligingsincidenten te voorkomen.

Bron: NCSC

Notepad++ heeft versie 8.9.8 uitgebracht met oplossingen voor veertien beveiligingsproblemen. De lijst van de ontwikkelaar noemt onder meer fouten bij het laden van bestanden, een schrijfactie buiten de grenzen van een array, omzeiling van Authenticode controle, een timingfout in de updater en padmanipulatie in reservekopieën van sessies.

Ook zijn problemen verholpen rond mogelijke blootstelling van Windows aanmeldgegevens via een netwerkpad, omzeiling van de controle op shortcuts.xml, een bufferfout bij lange sessiepaden, injectie via het installatiepad en het doorgeven van opdrachten tussen processen met verschillende integriteitsniveaus. Voor de veertien kwetsbaarheden waren bij publicatie nog geen CVE nummers toegewezen.

Gebruikers en beheerders kunnen naar versie 8.9.8 bijwerken. De officiële releasepagina is de primaire bron voor de exacte lijst van oplossingen en toekomstige wijzigingen.

Bron: Notepad++

De Cybersecurity and Infrastructure Security Agency (CISA) heeft recentelijk een nieuwe, actief misbruikte kwetsbaarheid toegevoegd aan haar Known Exploited Vulnerabilities (KEV) Catalogus. Deze kwetsbaarheid, aangeduid als CVE-2026-60004, betreft een code-injectiekwetsbaarheid in Gitea, een populaire open-source service voor Git-hosting. Het bewijs van actieve exploitatie heeft geleid tot de opname in de catalogus, wat de urgentie van patching onderstreept.

Code-injectiekwetsbaarheden vormen een veelvoorkomende aanvalsvector voor kwaadwillende cyberactoren en brengen aanzienlijke risico's met zich mee voor de federale onderneming. De CISA benadrukt dat deze kwetsbaarheid een ernstige bedreiging vormt en dat snelle actie geboden is om potentiële inbreuken te voorkomen.

De toevoeging aan de KEV Catalogus heeft directe implicaties voor Federal Civilian Executive Branch (FCEB) agencies. De Binding Operational Directive (BOD) 26-04, die gericht is op het prioriteren van beveiligingsupdates op basis van risico, stelt specifieke eisen voor het beheer van kwetsbaarheden voor deze instanties. BOD 26-04 benadrukt het belang van de KEV Catalogus en vereist van federale instanties dat zij met hoge prioriteit kwetsbaarheden met een hoog risico herstellen. Dit geldt specifiek voor Common Vulnerabilities and Exposures (CVE's) die zijn opgenomen in CISA's KEV Catalogus op publiekelijk toegankelijke systemen die na exploitatie volledige controle over het systeem verschaffen. De richtlijn stelt ook basisverwachtingen vast voor wanneer instanties moeten controleren of dreigingsactoren het systeem al hebben gecompromitteerd voordat een patch wordt toegepast.

Hoewel BOD 26-04 specifiek van toepassing is op FCEB agencies, moedigt CISA alle organisaties aan om een risicogebaseerd beheer van kwetsbaarheden te hanteren. Dit betekent dat zij prioriteit moeten geven aan het herstellen van kwetsbaarheden die zijn opgenomen in de KEV Catalogus. De catalogus dient als een cruciaal hulpmiddel om organisaties te helpen focussen op de kwetsbaarheden die het meest waarschijnlijk door aanvallers worden misbruikt.

CISA blijft kwetsbaarheden toevoegen aan de catalogus die voldoen aan de vastgestelde criteria, waaronder een CVE-ID, bewijs van actieve exploitatie en duidelijke mitigatierichtlijnen. Organisaties die op de hoogte zijn van een actief misbruikte kwetsbaarheid die nog niet in de KEV Catalogus staat, worden aangemoedigd deze aan te melden via het KEV Nomination Form van CISA voor mogelijke opname.

Bron: CISA

Het Centre for Cybersecurity Belgium (CCB) waarschuwt voor een kritieke authenticatiebypass-kwetsbaarheid in `oauth2-proxy`, met het CVE-nummer CVE-2026-76835. Deze kwetsbaarheid, die een CVSS-score van 9.3 (CVSS 4.0) heeft gekregen, stelt een niet-geauthenticeerde externe aanvaller in staat om eenvoudig authenticatie te omzeilen en toegang te krijgen tot beperkte pagina's. Het risico op misbruik is aanzienlijk vanwege de eenvoudige exploitatiemogelijkheden, wat de noodzaak voor onmiddellijke patching verhoogt. De kwetsbaarheid heeft een hoge impact op de integriteit en vertrouwelijkheid van systemen.

De kwetsbaarheid is van het type CWE-290: Authentication Bypass by Spoofing en treft `oauth2-proxy` versie 7.15.2. Systemen zijn alleen kwetsbaar wanneer de `--reverse-proxy` modus is ingeschakeld en `--skip-auth-route` of `--skip-auth-regex` is geconfigureerd. Deze configuratie is de gedocumenteerde standaard voor het draaien van de software als een reverse proxy.

Technisch gezien werkt de aanval doordat het mechanisme dat controleert of authenticatie nodig is voor een bepaald pad, gebruikmaakt van de door de client beheerde `X-Forwarded-Uri` header. Hoewel de toegangscontrole plaatsvindt op basis van deze header, wordt de daadwerkelijke doorsturing van de client naar een pagina gedaan op basis van de pagina die de client probeert te benaderen. Dit betekent dat een aanvaller de `X-Forwarded-Uri` header kan instellen op een toegestane, openbare pagina en zo toch toegang kan krijgen tot elke andere, privé-pagina.

Het CCB adviseert met klem om updates voor kwetsbare apparaten met de hoogste prioriteit te installeren, na grondige tests. Indien onmiddellijke patching niet mogelijk is, bevat het advies van de leverancier ook mitigatiemaatregelen. Organisaties wordt aanbevolen om hun monitoring- en detectiemogelijkheden op te schalen om gerelateerde verdachte activiteiten te identificeren en een snelle reactie bij een mogelijke inbraak te waarborgen. Bij een inbraak kan een incident worden gemeld via de website van het CCB. Het patchen van applicaties of software naar de nieuwste versie beschermt weliswaar tegen toekomstige exploits, maar herstelt geen historische compromittering.

Bron: OAuth2 Proxy

Gameontwikkelaar Konami heeft een kritieke kwetsbaarheid in het online spel Metal Gear Online 3 verholpen. Dit beveiligingslek stelde aanvallers in staat om willekeurige code uit te voeren op het systeem van andere spelers, mits die spelers de lobby van de aanvaller betraden. De kwetsbaarheid, aangeduid als CVE-2026-19874, werd ontdekt bij het verwerken van Steam lobby metadata, specifiek gegevens over verwijderde spelers.

Metal Gear Online 3 is een spel waarin spelers online tegen elkaar kunnen strijden. Voordat een match begint, verzamelen de spelers zich in een lobby die door een van de gamers wordt gehost. Het spel houdt daarbij informatie bij over spelers die door de host uit de lobby zijn verwijderd. Wanneer een nieuwe speler de lobby binnenkomt, controleert de client of het Steam ID van die speler op de lijst van verwijderde spelers staat, om te voorkomen dat deze speler aan de match deelneemt.

Het probleem ontstond doordat een vaste bufferlengte werd gebruikt voor het verwerken van deze lobbygegevens. Wanneer een waarde met lobbygegevens werd doorgegeven die groter was dan deze vooraf gedefinieerde buffer, kon dit leiden tot een out-of-bounds write. Deze fout maakte remote code execution (RCE) op het systeem van de spelers mogelijk. De enige vereiste voor een succesvolle aanval was dat een speler de kwaadaardige lobby van een aanvaller binnenstapte.

Volgens het CERT Coordination Center (CERT/CC) van de Carnegie Mellon Universiteit heeft Konami geen officieel beveiligingsbulletin uitgegeven voor deze kwetsbaarheid. De patch is echter doorgevoerd in versie 1.1.2.9 van de Metal Gear Online 3 executable, bekend als `mgsvmgo.exe`. Bovendien zorgt de update ervoor dat spelers die nog gebruikmaken van oudere versies van het spel geen toegang meer hebben tot online matches, wat verdere exploitatie van het lek voorkomt.

Bron: CERT Coordination Center

Microsoft heeft bevestigd dat de cumulatieve updates van augustus 2026 voor het .NET Framework leiden tot printfouten en problemen bij het genereren van PDF- en XPS-inhoud in Windows Presentation Foundation (WPF)-applicaties. Dit veroorzaakt nieuwe complicaties voor bedrijven, slechts enkele dagen nadat een reeks beveiligingslekken was gepatcht.

Het probleem is ontstaan na de updates van augustus 2026, uitgebracht op 11 augustus 2026. Dit omvat KB5120710 voor Windows 11 versie 24H2, KB5120708 voor Windows 11 versie 25H2 en Microsoft server operating system 24H2, en KB5120705 voor Windows Server 2022. Getroffen systemen geven een System.IO.FileFormatException wanneer een applicatie probeert af te drukken of PDF- of XPS-inhoud te genereren met specifieke lettertypen, met name Calibri.

Volgens het officiële ondersteuningsadvies van Microsoft manifesteert het probleem zich specifiek in WPF-applicaties die afhankelijk zijn van TrueType-lettertype-subsetting tijdens print- of documentexportbewerkingen. Tests door de community hebben de bug teruggevoerd naar de ClearType-lettertypefamilie die wordt gedeeld met Microsoft Office. Dit betekent dat Calibri, Cambria, Constantia en Corbel de crash veroorzaken, terwijl lettertypen zoals Arial, Segoe UI, Times New Roman, Verdana, Tahoma, Consolas en zelfs Calibri Light normaal blijven werken.

Ontwikkelaars hebben de hoofdoorzaak verder beperkt tot de interne ComputeSubset-functie binnen MS.Internal.TrueTypeSubsetter. Deze functie past nu een striktere validatie toe op lettertype-glyph-tabellen als onderdeel van de beveiligingsverharding die in deze updatecyclus is doorgevoerd. Aangezien de lettertypen zelf niet beschadigd zijn en correct laden in andere contexten, zoals Word, is het probleem geïsoleerd tot de subsetting-logica die wordt gebruikt bij het serialiseren van XPS-inhoud of het verzenden van taken naar een printer.

De bug is niet beperkt tot één Windows-release. Microsoft's release health alerts bevestigen dat het Windows 10, Windows 11 en Windows Server-versies treft, variërend van Windows Server 2012 tot Windows Server 2025. Deze brede impact betekent dat het probleem dagelijkse bedrijfsprocessen kan verstoren, van het genereren van facturen en rapporten via line-of-business WPF-applicaties tot software van derden, zoals tools gebaseerd op Crystal Reports, die afhankelijk zijn van dezelfde onderliggende print-pijplijn. Organisaties die documentbeheer-, boekhoud- of rapportageplatforms gebruiken die zijn gebouwd op het .NET Framework, zijn bijzonder kwetsbaar, aangezien Calibri het standaardlettertype blijft in Microsoft Office en veel bedrijfssjablonen.

Deze regressie is een neveneffect van legitieme beveiligingsoplossingen die in dezelfde update zijn gebundeld. De .NET Framework-rollup van augustus 2026 patcht zes kwetsbaarheden, waaronder kwetsbaarheden voor remote code execution, bijgehouden als CVE-2026-62886, CVE-2026-62897 en CVE-2026-70354, samen met problemen met privilege-escalatie CVE-2026-65810 en CVE-2026-62872, en een lek voor informatieverspreiding, CVE-2026-62902. De aangescherpte lettertypevalidatie, geïntroduceerd om deze gaten te dichten, is wat de subsetter nu ertoe aanzet om anders legitieme Calibri-gebaseerde lettertypen te weigeren.

Hoewel een permanente oplossing nog in afwachting is, heeft Microsoft een tijdelijke oplossing gepubliceerd die ontwikkelaars direct kunnen toepassen op het configuratiebestand van een applicatie. Het toevoegen van de Switch.MS.Internal.TtfDelta.DisableCmapAndSbitOverflowProtection AppContext-switch onder de runtime-sectie herstelt de print- en PDF/XPS-generatiefunctie. Microsoft is echter expliciet dat deze switch de beveiligingsmaatregelen terugdraait die de augustus-update heeft geïntroduceerd, waardoor de blootstelling aan de kwetsbaarheden die het moest oplossen, toeneemt. Daarom raadt het bedrijf aan om de switch strikt als een tijdelijke oplossing te behandelen en deze te verwijderen zodra een officiële patch beschikbaar is.

Beheerders die hun beveiligingsstatus niet willen verzwakken, kunnen in plaats daarvan de getroffen lettertypen vervangen, bijvoorbeeld door documentsjablonen van Calibri naar Arial of Times New Roman te wijzigen, wat de subsetting-bug volledig omzeilt zonder de beveiligingsinstellingen aan te raken. De status van dit bekende probleem door Microsoft blijft vermeld als "Investigating" in alle drie de getroffen KB-artikelen, zonder een bevestigde tijdlijn voor een permanente oplossing. IT-teams die een patchbeheerstrategie voor bedrijven beheren, wordt geadviseerd de AppContext-tijdelijke oplossing in testomgevingen te testen voordat deze breed wordt geïmplementeerd, het statusdashboard van Microsoft voor releases te controleren op updates en prioriteit te geven aan lettertypevervanging waar documentbeveiliging het belangrijkst is totdat Redmond een gecorrigeerde build levert.

Bron: Microsoft

De Zscaler Client Connector (ZCC), een veelgebruikte endpointapplicatie voor het routeren van gebruikersverkeer via de cloudbeveiligingsdiensten van Zscaler, is getroffen door meerdere kwetsbaarheden. Deze lekken maken potentieel het uitvoeren van code op afstand (Remote Code Execution, RCE) mogelijk op kwetsbare systemen.

De kritieke kwetsbaarheidsketen, aangeduid als CVE-2026-59568, stelt een niet-geauthenticeerde en niet-bevoegde aanvaller in staat om willekeurige code uit te voeren binnen de beveiligingscontext van ZCC. Dit betekent dat aanvallers toegang kunnen krijgen zonder voorafgaande authenticatie op het doelsysteem of het verkrijgen van lokale gebruikersrechten. De kwestie werd op 24 augustus 2026 openbaar gemaakt en heeft een CVSS v3.1-score van 9.1 uit 10, wat de kwetsbaarheid in de categorie 'kritiek' plaatst. De score geeft aan dat de aanval via een netwerk kan worden uitgevoerd, weinig complexiteit vereist, geen privileges nodig heeft en niet afhankelijk is van interactie met het slachtoffer.

De Zscaler Client Connector wordt veelvuldig ingezet binnen bedrijfsomgevingen op Windows, macOS en mobiele platforms. De applicatie is cruciaal voor het handhaven van beleid voor internettoegang, zero trust access en gegevensbescherming. Een kwetsbaarheid in deze component kan daarom aanzienlijke risico's opleveren voor organisaties die erop vertrouwen als onderdeel van hun endpointbeveiligingsarchitectuur.

Remote Code Execution-kwetsbaarheden zijn bijzonder gevaarlijk, omdat ze aanvallers een toegangspunt op een apparaat kunnen verschaffen. Afhankelijk van de beschikbare machtigingen en services op het gecompromitteerde endpoint, kunnen aanvallers proberen malware te installeren, configuraties te wijzigen, inloggegevens te stelen, gevoelige bestanden te exfiltreren of lateraal te bewegen binnen een bedrijfsnetwerk. De kwetsbaarheid kan aanvallers toegang geven tot beschermde informatie en ongeautoriseerde wijzigingen aanbrengen in gegevens of systemen.

Beveiligingsteams moeten alle systemen identificeren die de Zscaler Client Connector draaien en vaststellen of ze de getroffen versies gebruiken. Organisaties worden geadviseerd om Zscaler's 2026 Client Connector applicatie release summary te raadplegen voor informatie over gepatchte versies en upgradegidsen. Beheerders dienen prioriteit te geven aan endpoints die zijn blootgesteld aan onvertrouwde netwerken, systemen van thuiswerkers, gebruikersgroepen met hoge waarde en apparaten met toegang tot gevoelige bedrijfsbronnen.

Totdat updates volledig zijn geïmplementeerd, dienen verdedigers endpointtelemetrie te monitoren op verdachte subprocessen die worden gestart door Zscaler Client Connector-componenten. Onverwachte command shells, scriptinterpreters, PowerShell-activiteit of niet-ondertekende uitvoerbare bestanden die geassocieerd zijn met ZCC-processen moeten worden onderzocht. Hulpmiddelen voor endpoint detectie en respons (EDR) kunnen helpen bij het identificeren van abnormale procesrelaties en gedrag na een exploitatie. Deze openbaarmaking onderstreept het risico van kwetsbaarheden in beveiligingssoftware zelf, aangezien endpointagenten vaak diep opereren binnen bedrijfsomgevingen en interactie hebben met netwerk-, identiteits- en beleidshandhavingssystemen.

Bron: Zscaler

Een kwetsbaarheid met hoge ernst is ontdekt en opgelost in de Marimo notebook software, waardoor een aanvaller Model Context Protocol (MCP) commando's kon uitvoeren. Dit kon gebeuren in een speciaal geprepareerde notebook. De kwetsbaarheid, geregistreerd als CVE-2026-75149, betreft een code injectie probleem en treft versies van Marimo ouder dan 0.23.15.

Volgens het CVE Numbering Authority (CNA) record van VulnCheck, dat een CVSS v4 score van 8.7 en een CVSS v3.1 score van 8.8 toekent, kon het commando als een lokaal subprocess draaien wanneer de notebook in edit mode werd geopend. Voor de exploitatie is gebruikersinteractie vereist, maar geen aanvaller-authenticatie. De CVE werd op 19 augustus gepubliceerd.

De aanval werkt doordat een geprepareerde notebook een aanvaller-gecontroleerd MCP server commando kan leveren via de notebook configuratie. Wanneer het slachtoffer de notebook in edit mode opent, wordt het gespecificeerde commando als een lokaal subprocess gestart, nog voordat enige cel in de notebook wordt uitgevoerd.

Marimo heeft de kwetsbaarheid aangepakt in versie 0.23.15. Gebruikers die een getroffen release gebruiken, wordt sterk aangeraden om te updaten naar een versie buiten het getroffen bereik. Marimo's PEP 723 hardening patch behandelt notebook metadata als aanvaller-gecontroleerd en filtert notebook-geleverde configuratie via een allowlist. Specifieke configuratiesecties worden verwijderd om misbruik te voorkomen.

De ontdekking van dit lek wordt toegeschreven aan Gregory Tan, bekend onder de gebruikersnaam Grg0rry. Dezelfde persoon staat ook als co-auteur vermeld op Marimo's hardening commit voor PEP 723.

Dit is niet de eerste keer dat Marimo geconfronteerd wordt met beveiligingsproblemen. Een vergelijkbare configuratiegrens werd eerder aangepakt in CVE-2026-67618 (CVSS score: 7.1), die op 4 augustus 2026 werd onthuld. Deze kwetsbaarheid trof Marimo versies voor 0.23.15 en maakte het mogelijk om een aanvaller-gecontroleerde artificial intelligence (AI) `base_url` via notebook metadata te leveren. Hierbij kon een operator, na het openen van een malafide notebook en het doen van een AI-verzoek, zijn API-sleutel laten exfiltreren zonder dat een notebookcel hoefde te worden uitgevoerd.

Daarnaast is CVE-2026-75149 afzonderlijk van een eerdere kwetsbaarheid, CVE-2026-39987. Marimo's advies voor die kwetsbaarheid stelde dat versies 0.20.4 en eerder werden getroffen door een ontbrekende authenticatievalidatie op het `/terminal/ws` endpoint. Verzoeken naar dat endpoint konden een volledige pseudo-terminal (PTY) shell verkrijgen, die vervolgens willekeurige commando's kon uitvoeren. Versie 0.23.0 loste dit eerdere lek op.

De huidige PyPI release van Marimo is versie 0.24.0, uitgebracht op 17 augustus. De 0.23.15 release, die het lek verhelpt, werd op 23 juli 2026 gepubliceerd. Marimo's beveiligingsbeleid stelt dat beveiligingspatches worden geleverd voor de nieuwste stabiele release en moedigt gebruikers aan om hun software up-to-date te houden.

Bron: VulnCheck

Aanvallers hebben reeds meer dan 270 Zimbra-instanties gecompromitteerd in aanvallen met remote code execution. Deze aanvallen maken misbruik van een ernstige kwetsbaarheid in Zimbra Collaboration Suite (ZCS), een e-mail- en samenwerkingspakket dat wereldwijd door honderden miljoenen mensen en organisaties wordt gebruikt, waaronder duizenden bedrijven en honderden overheidsinstanties.

De kwetsbaarheid, bijgehouden als CVE-2026-73570, stelt niet-geauthenticeerde aanvallers in staat om op afstand code uit te voeren. Dit gebeurt door misbruik te maken van een command injection-zwakte in de SNMP-monitoringcomponent, indien SNMP-meldingen zijn ingeschakeld. Synacor heeft deze beveiligingsfout verholpen met de release van ZCS versie 10.1.20 op 20 juli.

CERT Polska, het Poolse Computer Emergency Response Team, heeft de kwetsbaarheid vorige week maandag voor het eerst gemeld als actief misbruikt. Zij waarschuwden beveiligingsteams om hun logs te controleren op verdachte activiteiten, zoals een onverwachte herstart van de Zimbra-service. Ook werd geadviseerd te zoeken naar bestanden die in de afgelopen dertig dagen door de gebruiker 'zimbra' zijn aangemaakt in de mappen /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/, en /tmp/.

De Cybersecurity and Infrastructure Security Agency (CISA) heeft de kwetsbaarheid naar aanleiding van de waarschuwing van CERT Polska toegevoegd aan haar KEV-catalogus (Known Exploited Vulnerabilities). CISA heeft Amerikaanse federale overheidsinstanties bevolen hun systemen binnen drie dagen, uiterlijk 24 augustus, te patchen.

Op maandag rapporteerde cyberbeveiligingswaakhond Shadowserver dat het honderden via internet toegankelijke Zimbra-instanties had geïdentificeerd die al waren gecompromitteerd door aanvallen die misbruik maken van CVE-2026-73570. Shadowserver waarschuwde dat op 22 augustus 274 gecompromitteerde instanties waren waargenomen. Daarnaast werden minstens 8200 ongepatchte instanties gezien, hoewel dit niet noodzakelijkerwijs betekent dat deze allemaal kwetsbaar zijn, aangezien de kwetsbaarheid zich in een niet-standaard configuratie bevindt.

Zimbra-kwetsbaarheden zijn in de afgelopen jaren vaker het doelwit geweest van cybercriminelen en door de staat gesponsorde hackgroepen, en zijn veelvuldig misbruikt om e-mails met gevoelige gegevens van kwetsbare servers te stelen. Zo ontdekten onderzoekers van Seqrite Labs in maart dat hackers van de Russische militaire inlichtingendienst APT28 een opgeslagen cross-site scripting (XSS)-kwetsbaarheid in Zimbra misbruikten om servers van de Oekraïense overheid te compromitteren. In oktober 2024 waarschuwden Amerikaanse en Britse cyberinstanties dat hackers van de Russische buitenlandse inlichtingendienst (bekend als APT29, Midnight Blizzard en Cozy Bear) Zimbra-servers hadden gecompromitteerd via een ZCS-kwetsbaarheid die eerder was gebruikt om inloggegevens van e-mailaccounts te stelen. Ook Russische cyberspionnen van Winter Vivern hebben een reflected Cross-Site Scripting (XSS)-kwetsbaarheid misbruikt om e-mails te stelen van e-mailaccounts die gelieerd zijn aan de NAVO, in aanvallen gericht op Zimbra webmail-portals.

Bron: Zimbra

De Apache Software Foundation heeft een reeks van twaalf beveiligingslekken in Apache Tomcat gedicht, een veelgebruikte open-source Java servlet container. De noodzakelijke patches zijn opgenomen in versie 11.0.25, die op 25 augustus 2026 is uitgebracht. De kwetsbaarheden variëren van relatief kleine authenticatieproblemen tot ernstige fouten die aanvallers in staat stellen beveiligingscontroles te omzeilen of servers offline te halen via denial-of-service (DoS) aanvallen. Organisaties die Tomcat 11.0.0-M1 tot en met 11.0.24 gebruiken in bedrijfs-, cloud- of Linux-omgevingen, wordt geadviseerd deze updates met prioriteit te installeren.

Meerdere van de recent opgeloste problemen raken de kern van Tomcats autorisatielogica. CVE-2026-65182, geclassificeerd als 'important', is waarschijnlijk de meest zorgwekkende. Deze kwetsbaarheid ontstaat door de manier waarop Tomcat beveiligingsbeperkingen verwerkt. Als een regel voor een langer URL-pad vóór een strengere regel voor een korter subpad werd gedefinieerd, kon de restrictie stilletjes worden omzeild. Dit kan potentieel beschermde bronnen blootstellen aan ongeautoriseerde gebruikers.

Een gerelateerde kwetsbaarheid, CVE-2026-68569, eveneens als 'important' beoordeeld, beïnvloedde authenticatiemethoden zoals CLIENT-CERT en SPNEGO. Onder specifieke omstandigheden konden gebruikers die niet eens bestonden in de DataSourceRealm toch worden geauthenticeerd. Dit "fail-open" scenario ondermijnt het hele doel van identiteitsverificatie. Daarnaast onthulde CVE-2026-65927 een 'off-by-one' fout in de RewriteValve-component, waarbij de [N]-vlag ervoor zorgde dat de regelverwerking bij de tweede regel in plaats van de eerste opnieuw begon, wat een pad creëerde voor het omzeilen van toegangscontrole via speciaal gemaakte herschrijfregels.

Twee minder ernstige kwetsbaarheden completeren de cluster van toegangscontroleproblemen. CVE-2026-68525 toonde aan dat FORM-gebaseerde authenticatie redirects methode-specifieke beperkingen konden omzeilen, waardoor aanvallers bronnen konden bereiken die bedoeld waren voor POST-verzoeken, maar dan via GET-verzoeken. CVE-2026-66422 betrof het verkeerd toepassen van servlet rol-referentiedefinities als realm-level rol-aliassen, afwijkend van hun bedoelde gebruik met Request.isUserInRole().

Naast de authenticatieproblemen bevatten de HTTP/2- en WebSocket-implementaties van Tomcat bugs die servers direct konden laten crashen. CVE-2026-68763, beoordeeld als 'important', betrof een allocatielek in de HTTP/2-backlog-tracking, geactiveerd wanneer een stream werd gereset. Aanvallers konden deze techniek misbruiken om serverbronnen uit te putten en denial-of-service te veroorzaken. Op vergelijkbare wijze werd de gebundelde WebSocket-chatvoorbeeld beïnvloed door CVE-2026-66299, waarbij een onbegrensde berichtenbuffer betekende dat een opzettelijk trage client continue geheugengroei kon forceren totdat het Tomcat-proces crashte. Beheerders die eerder veiligheidsadviezen volgden om voorbeeldapplicaties te verwijderen, worden door deze specifieke bug niet getroffen.

Een afzonderlijke kwetsbaarheid van gemiddelde ernst, CVE-2026-65637, onthulde dat een eerdere fix voor CVE-2026-32990, die strikte SNI-validatie in HTTP/2 aanpakte, onvolledig was en een 'no-authority bypass' toestond. De reeks openbaarmakingen wordt afgerond met twee kwetsbaarheden van lage ernst: CVE-2026-73180, waarbij geauthenticeerde WebSocket-sessies hun ouder-HTTP-sessie konden overleven na een sessie-ID-wijziging, en CVE-2026-65183, een 'time-of-check-to-time-of-use' (TOCTOU) race condition die van invloed was op permissies op Unix Domain Sockets, waardoor ongeautoriseerde lokale gebruikers toegang konden krijgen. Een beperkte replay-aanvalsvector in DIGEST-authenticatie, CVE-2026-65905, is ook gedicht.

Apache heeft voor elke kwetsbaarheid patches uitgebracht en de aanbevolen oplossing is duidelijk. Upgrade onmiddellijk naar Apache Tomcat 11.0.25. Gezien de combinatie van toegangscontrole-omzeilingen en service-onderbrekende bugs, brengt het uitstellen van patches zowel het risico op data-blootstelling als op downtime met zich mee, vooral voor internetgerichte implementaties.

Bron: Apache Software Foundation

Een kritieke kwetsbaarheidsketen in het populaire Avada thema voor WordPress maakt het mogelijk voor een ongeauthenticeerde aanvaller om willekeurige PHP-code uit te voeren op de server. De exploit omvat een reeks van zes beveiligingsproblemen die samen een zero-click aanval vormen. Deze kwetsbaarheden worden gezamenlijk aangeduid als CVE-2026-18431 en hebben een kritieke CVSS-score van 9.8 gekregen.

De aanval maakt misbruik van zwakke punten op het gebied van autorisatie, inputvalidatie, vertrouwensgrenzen en bestandsverwerking. Deze moeten in een specifieke volgorde worden uitgevoerd om de uitvoering van willekeurige PHP-code op een doelsysteem mogelijk te maken. Hackers die deze kwetsbaarheden succesvol uitbuiten, kunnen websites volledig compromitteren. Dit kan leiden tot diverse kwaadaardige activiteiten, waaronder het plaatsen van malware, het verkrijgen van toegang tot databases, het omleiden van bezoekers naar malafide websites of het toevoegen van ongeautoriseerde beheerdersaccounts.

CVE-2026-18431 treft Avada versies tot en met 7.16 en Fusion Builder plugin versies tot en met 3.16. Onderzoekers van het Wordfence team van Defiant hebben deze kwetsbaarheidsketen gedetailleerd beschreven in een rapport. Hoewel ThemeFusion, de ontwikkelaar achter Avada en Fusion Builder, de kwetsbaarheid inmiddels heeft verholpen, deelt Wordfence geen volledige technische details. Dit om beheerders voldoende tijd te geven om de nieuwste updates te installeren. Wel is een overzicht van de aanvalsketen vrijgegeven, die de volgende stappen omvat:

1. Het blootstellen van door de aanvaller gecontroleerde invoer via een openbare aanvraag.

2. Het doorgeven van deze invoer aan functionaliteit die normaal gesproken beperkt is voor anonieme gebruikers.

3. Het aanroepen van een geprivilegieerd component buiten de beoogde context.

4. Het gebruiken van aanvraaggegevens om een vertrouwde status te beïnvloeden.

5. Toegang krijgen tot een onvoldoende beschermde administratieve bewerking.

6. Het omzeilen van beperkingen voor bestandsverwerking met betrekking tot wat en waar geschreven kan worden.

Exploitatie vereist dat zowel een kwetsbare versie van het Avada thema als de Fusion Builder plugin actief zijn op de doelwebsite. Het Avada thema is zeer populair, met meer dan 1 miljoen verkopen, wat betekent dat CVE-2026-18431 een aanzienlijke hoeveelheid websites bedreigt. Wordfence heeft bevestigd dat de Fusion Builder een verplichte plugin is voor het Avada thema. Dit betekent dat alle sites die het Avada thema draaien, ook de Fusion Builder plugin zullen gebruiken en dus potentieel kwetsbaar zijn. De vereisten voor exploitatie verkleinen de groep potentiële doelwitten niet; elke site met het Avada thema geïnstalleerd is exploiteerbaar.

Wordfence ontdekte de zesstaps kwetsbaarheidsketen met behulp van een intern agentgericht framework genaamd Argus, dat ook proof of concept exploitcode ontwikkelde, dit alles in ongeveer twee uur. Argus vond en reproduceerde de kwetsbaarheid succesvol op 30 juli. De onderzoekers deelden de volledige details op 5 augustus met de leverancier. ThemeFusion erkende het rapport op 10 augustus en bracht gisteren, 26 augustus, fixes uit in Avada 7.16.1 en Fusion Builder 3.16.1. Beheerders wordt dringend geadviseerd om deze updates zo snel mogelijk te installeren om hun websites te beschermen tegen mogelijke aanvallen.

Bron: Wordfence

Het Nationaal Cybersecurity Centrum (NCSC) heeft een waarschuwing uitgegeven voor meerdere ernstige kwetsbaarheden die zijn ontdekt in de DrayTek VigorAP productlijn. Deze kwetsbaarheden zijn door het NCSC beoordeeld als 'medium' wat betreft de kans op misbruik, en als 'high' met betrekking tot de potentiële schade die kan ontstaan. Organisaties en bedrijven die gebruikmaken van deze draadloze toegangspunten worden dringend geadviseerd de uitgebrachte beveiligingsupdates zo snel mogelijk te installeren.

De DrayTek VigorAP is een reeks van draadloze toegangspunten die essentieel zijn voor het leveren van wifi connectiviteit binnen diverse bedrijfs- en organisatienetwerken. Ze fungeren als een cruciale schakel tussen gebruikers, het interne netwerk en het internet. Door hun rol in de netwerkinfrastructuur kunnen kwetsbaarheden in deze apparaten aanzienlijke risico's met zich meebrengen.

Kwaadwillende aanvallers kunnen misbruik maken van de geïdentificeerde kwetsbaarheden om volledige controle over de VigorAP apparaten te verkrijgen. Dit vormt een directe bedreiging voor de algehele netwerkbeveiliging van de getroffen organisatie. De gevolgen van zo'n compromittering kunnen ernstig zijn. Een aanvaller kan het netwerk uitschakelen, onbevoegde toegang krijgen tot gevoelige gegevens, of de gecompromitteerde apparaten inzetten voor verdere aanvallen binnen de organisatie. Dit laatste kan leiden tot het verspreiden van malware, het opzetten van botnets of het uitvoeren van andere kwaadaardige activiteiten.

DrayTek heeft proactief beveiligingsupdates beschikbaar gesteld die deze kwetsbaarheden adresseren en verhelpen. Het NCSC benadrukt het belang van een snelle implementatie van deze updates. Gebruikers die twijfelen over de kwetsbaarheid van hun huidige VigorAP-versie, of die assistentie nodig hebben bij het updateproces, wordt aangeraden contact op te nemen met hun IT-dienstverlener. Voor organisaties die de updates zelf willen uitvoeren, is het essentieel om de instructies van DrayTek nauwkeurig te volgen om een correcte en veilige installatie te waarborgen.

Bron: NCSC

Het Nationaal Cyber Security Centrum (NCSC) heeft een dringende oproep gedaan aan organisaties en hun netwerkbeheerders in Nederland om met onmiddellijke ingang beveiligingsupdates uit te rollen voor kwetsbaarheden die zijn ontdekt in DrayTek VigorSwitches. De Nederlandse overheidsinstantie benadrukt dat het van cruciaal belang is om de door DrayTek uitgebrachte patches zo snel mogelijk te installeren om de potentiële risico's effectief te beperken.

DrayTek, de fabrikant van deze netwerkapparatuur, heeft afgelopen dinsdag een uitgebreide reeks beveiligingsupdates beschikbaar gesteld. Deze updates zijn bedoeld om maar liefst dertig verschillende kwetsbaarheden aan te pakken die zijn geïdentificeerd in diverse modellen van de VigorSwitch-serie. De DrayTek VigorSwitch is een cruciaal onderdeel van veel bedrijfsnetwerken; het is een netwerkapparaat dat verantwoordelijk is voor het beheer en de beveiliging van het interne dataverkeer, en faciliteert de communicatie tussen diverse aangesloten apparaten binnen een organisatie.

Onder de dertig kwetsbaarheden bevinden zich enkele zeer gevaarlijke lekken. Deze stellen een remote ongeauthenticeerde aanvaller in staat om op afstand commando's op het besturingssysteem (OS) van de switch uit te voeren, en dit zelfs met rootrechten. Dit niveau van toegang is uiterst kritiek, aangezien het de aanvaller ook de mogelijkheid geeft om de volledige configuratie van de switch naar eigen inzicht aan te passen. Het directe gevolg hiervan is dat een kwaadwillende entiteit volledige en onbeperkte controle over het netwerkapparaat kan verkrijgen.

Het NCSC waarschuwt expliciet voor de ernstige consequenties als deze beveiligingslekken niet tijdig worden gedicht. Een succesvolle exploitatie kan leiden tot de overname van het netwerkapparaat, het uitschakelen van essentiële netwerkfuncties en het onbevoegd inzien van vertrouwelijke bedrijfsinformatie. Dit soort incidenten kan resulteren in een ingrijpende verstoring van de bedrijfsvoering en ernstige datalekken veroorzaken. De urgentie van deze waarschuwing wordt verder onderstreept door het feit dat het Amerikaanse cyberagentschap CISA in het verleden al meerdere malen heeft gerapporteerd over het misbruik van kwetsbaarheden in DrayTek-producten bij daadwerkelijke cyberaanvallen. Daarom is het van essentieel belang dat organisaties en beheerders de aanbevolen updates zonder uitstel implementeren om hun netwerkinfrastructuur te beschermen tegen potentiële bedreigingen.

Bron: NCSC

CISA (Cybersecurity and Infrastructure Security Agency) heeft recentelijk zes nieuwe kwetsbaarheden toegevoegd aan haar Known Exploited Vulnerabilities (KEV) Catalogus. Deze toevoeging is gebaseerd op concreet bewijs dat de kwetsbaarheden actief worden uitgebuit door kwaadwillende cyberactoren. De catalogus dient als een cruciale bron voor organisaties om de meest urgente bedreigingen te identificeren en aan te pakken.

De zes specifieke kwetsbaarheden die zijn toegevoegd, zijn:

*   **CVE-2015-3246**: Een race condition-kwetsbaarheid in Red Hat Libuser.

*   **CVE-2015-5287**: Een privilege-escalatiekwetsbaarheid in Red Hat Automatic Bug Reporting Tool.

*   **CVE-2019-1068**: Een kwetsbaarheid voor remote code execution in Microsoft SQL Server.

*   **CVE-2021-23758**: Een kwetsbaarheid voor deserialisatie van onbetrouwbare gegevens in Ajax.NET Professional.

*   **CVE-2022-0995**: Een out-of-bounds write-kwetsbaarheid in de Linux Kernel.

*   **CVE-2026-8452**: Een kwetsbaarheid voor onjuiste beperking van bewerkingen binnen de grenzen van een geheugenbuffer in Citrix NetScaler ADC en NetScaler Gateway.

Deze typen kwetsbaarheden worden frequent misbruikt als aanvalsvector door kwaadwillende cyberactoren en vormen aanzienlijke risico's voor digitale infrastructuren. Voor federale civiele uitvoerende takken van de Amerikaanse overheid (FCEB-agentschappen) stelt Binding Operational Directive (BOD) 26-04 specifieke eisen aan het beheer van kwetsbaarheden. Deze directieve benadrukt het belang van de KEV Catalogus en verplicht federale agentschappen om snelle remediëring te prioriteren van kwetsbaarheden met een hoog risico, met name die welke in de KEV Catalogus zijn opgenomen en die, na uitbuiting op publiek toegankelijke assets, volledige controle over het systeem mogelijk maken. Daarnaast legt BOD 26-04 basisverwachtingen vast voor wanneer agentschappen moeten controleren of dreigingsactoren het systeem hebben gecompromitteerd voordat een patch werd toegepast.

Hoewel BOD 26-04 formeel alleen van toepassing is op FCEB-agentschappen, moedigt CISA alle organisaties wereldwijd aan om een beheer van kwetsbaarheden op basis van risico's te implementeren en de remediëring van kwetsbaarheden in de KEV Catalogus te prioriteren. CISA zal doorgaan met het toevoegen van kwetsbaarheden aan de catalogus die voldoen aan de gespecificeerde criteria, waaronder een CVE ID, bewijs van actieve uitbuiting en duidelijke mitigatierichtlijnen. Organisaties die op de hoogte zijn van een actief uitgebuit kwetsbaarheid die nog niet in de KEV Catalogus staat, kunnen deze ter overweging indienen via het KEV Nomination Form van CISA.

Bron: CISA

Het CERT Coordination Center (CERT/CC) heeft recentelijk twee ongepatchte kwetsbaarheden openbaar gemaakt in de HTML5 video player bibliotheek van Kaltura. Deze kwetsbaarheden, die de codenamen CVE-2026-19913 en CVE-2026-19912 dragen, stellen een externe, niet-geauthenticeerde aanvaller in staat om willekeurige bestanden van een server te lezen en code op deze server uit te voeren.

Beide kwetsbaarheden vloeien voort uit onveilige deserialisatie binnen het `mwEmbedLoader.php` eindpunt van de mwEmbed player bibliotheek, die Kaltura ook distribueert als html5lib. Voor de exploitatie is geen authenticatie of een Kaltura sessie token vereist; enkel netwerktoegang tot het eindpunt volstaat.

Op het moment van schrijven is er nog geen patch beschikbaar. CERT/CC heeft aangegeven dat het "niet in staat was om Kaltura te bereiken om deze kwetsbaarheden te coördineren". Er zijn tot nu toe geen meldingen van actieve exploitatie, en geen van de CVE's verscheen op 25 augustus 2026 in CISA's Known Exploited Vulnerabilities (KEV) catalogus.

Kaltura wordt door CERT/CC beschreven als een videoplatform dat tools biedt voor videomanagement, publicatie, afspelen en integratie met web applicaties. Het kwetsbare laadprogramma is zowel blootgesteld op klantinstallaties als op Kaltura's eigen gedeelde productie hosts. CERT/CC benadrukt dat, omdat het getroffen eindpunt ook wordt blootgesteld op Kaltura's gedeelde, multi-tenant CDN infrastructuur, deze kwetsbaarheden niet alleen individuele klantinstallaties treffen, maar ook elke tenant die door deze gedeelde hosts wordt bediend.

De kwetsbaarheid voor het lezen van bestanden, CVE-2026-19913, start met de `ServiceUrl` parameter, die `mwEmbedLoader.php` accepteert en gebruikt als doel-URL voor backend API verzoeken. De `KalturaClientBasePHP` client haalt de inhoud van deze URL op en geeft deze door aan PHP's `unserialize()` functie zonder de bron, het schema of de inhoud te valideren. Door een `file://path` op te geven, haalt de server een lokaal bestand op in plaats van een API-antwoord. De deserialisatiepoging mislukt vervolgens, waarna de ruwe bytes van het opgehaalde bestand worden teruggegeven aan de aanvrager in het resulterende foutbericht. Gerjan Wemekamp, de AndDone onderzoeker die beide kwetsbaarheden rapporteerde, demonstreerde in een technische uiteenzetting hoe hij de bestandsleeskwetsbaarheid escaleerde door de Kaltura applicatie configuratie op `/opt/kaltura/app/configurations/local.ini` op te halen. Dit bestand bevat plaintext database connection strings, admin en console wachtwoorden, en interne host referenties.

De tweede kwetsbaarheid, CVE-2026-19912, zet dezelfde deserialisatie om in code-uitvoering via de `uiconf_id` request parameter. Deze parameter wordt zonder sanitizatie aan het cache folder path toegevoegd wanneer de applicatie naar schijf schrijft. Een aanvaller kan de `ServiceUrl` richten op een kwaadaardig geserialiseerd object dat uitvoerbare PHP-code bevat. De client haalt dit op en deserialiseert het. Een `uiconf_id` waarde die traversal sequenties zoals `../` bevat, leidt de schrijfbewerking om buiten de beoogde cache directory naar een web-toegankelijke directory. Het rechtstreeks opvragen van dat bestand voert het uit als de web-server gebruiker. Wemekamp merkte op dat de "file-drop" stap afhankelijk is van de file-gebaseerde cache backend, wat de standaardinstelling van Kaltura is. Een memcache-only configuratie kan de schrijfbewerking onderdrukken, maar maakt de implementatie niet veilig.

Wemekamp kende CVE-2026-19912 een score van 10.0 toe en CVE-2026-19913 een score van 9.1, beide als "reporter-assigned". CERT/CC publiceerde geen score voor beide kwetsbaarheden, en er was op 25 augustus 2026 geen NVD-record voor beide identifiers.

Beheerders die de player gebruiken en geen gepatchte versie kunnen installeren, wordt geadviseerd de volgende stappen te nemen:

*   Blokkeer of verwijder het eindpunt op de WAF, reverse proxy of CDN waar legacy mwEmbed players niet worden gebruikt.

*   Pas een allow-list toe voor `ServiceUrl`, waarbij alleen de eigen API host van de implementatie wordt toegestaan en non-HTTP(S) schema's worden geweigerd.

*   Weiger `uiconf_id` waarden die traversal sequenties, absolute paden of directory separators bevatten.

*   Ontzeg PHP-uitvoering in cache directories.

*   Beperk uitgaande netwerktoegang vanaf de applicatie server, wat nodig is voor het ophalen van de payload via het code-uitvoeringspad.

*   Roteer alle referenties in `local.ini` waar het eindpunt mogelijk is blootgesteld, inclusief database referenties, admin en console wachtwoorden, partner secrets en API keys.

CERT/CC vermeldt html5lib v2.45, v2.103 en eerder, en andere v2.x releases die het kwetsbare eindpunt blootstellen als getroffen versies. Eerder, in augustus 2017, verwijderde Kaltura al drie onveilige `unserialize` aanroepen en fixeerde de vendor deze problemen in release 13.2.0, echter zonder `KalturaClientBase.php` aan te raken.

Bron: CERT/CC

SonicWall heeft recentelijk twee beveiligingskwetsbaarheden openbaar gemaakt die aanwezig zijn in zijn NetExtender Linux client. Eén van deze kwetsbaarheden betreft een kritieke path traversal flaw die een aanvaller in staat stelt willekeurige bestanden met rootrechten te schrijven. Deze kwetsbaarheden zijn geïdentificeerd in de NetExtender Linux Client versies 10.3.5 en ouder, en zijn verholpen in versie 10.3.6 en latere uitgaven.

De meest ernstige kwetsbaarheid, getraceerd als CVE-2026-66152, heeft een CVSS-score van 8.8 gekregen. Het probleem ligt in de manier waarop de Linux client een OPSWAT tarball verwerkt. Een externe aanvaller kan path traversal sequenties misbruiken om bestanden buiten de beoogde extractiemap te plaatsen. Aangezien de getroffen operatie met rootrechten wordt uitgevoerd, kan succesvolle exploitatie leiden tot het willekeurig schrijven van bestanden als root. Dit kan een ernstig escalatiepad creëren op Linux-systemen, afhankelijk van waar een aanvaller bestanden kan schrijven en hoe deze bestanden later door het besturingssysteem of geïnstalleerde software worden gebruikt. Voorbeelden van potentiële impact zijn het overschrijven van configuratiebestanden, het plaatsen van kwaadaardige scripts op locaties die door bevoorrechte processen worden benaderd, of het wijzigen van opstartgerelateerde bestanden. De uiteindelijke impact is afhankelijk van de doelomgeving, bestandsrechten en de mogelijkheid om een slachtoffer over te halen om te interageren met een kwaadaardige update of archief. De kwetsbaarheid is geclassificeerd als CWE-29, Path Traversal, en heeft een netwerkaanvalsvector die gebruikersinteractie vereist.

Daarnaast heeft SonicWall CVE-2026-66153 aangepakt, een afzonderlijke kwetsbaarheid voor onjuiste linkresolutie in de NetExtender Linux client. Deze fout beïnvloedt het NEService auto-upgrade proces, dat tijdelijke bestanden onveilig afhandelt. Een lokale aanvaller met toegang tot het apparaat kan bestandsroutes manipuleren via symbolische links, wat mogelijk de toegang tot of het schrijven van bestanden beïnvloedt. CVE-2026-66153 heeft een CVSS-score van 7.0 en is gecategoriseerd als CWE-59, Improper Link Resolution Before File Access, ook wel bekend als een symlink-following probleem. Dergelijke kwetsbaarheden kunnen gevaarlijk worden wanneer bevoorrechte software bestandsoperaties uitvoert op door een aanvaller gecontroleerde of voorspelbare tijdelijke locaties. De tweede kwetsbaarheid betreft een lokale aanval die lage privileges vereist en een hoge aanvalscomplexiteit heeft. Beide kwetsbaarheden kunnen, indien succesvol uitgebuit, de vertrouwelijkheid, integriteit en beschikbaarheid beïnvloeden.

SonicWall heeft aangegeven dat er momenteel geen bewijs is dat een van de kwetsbaarheden actief is uitgebuit in het wild. Echter, NetExtender wordt veel gebruikt om externe toegang tot bedrijfsomgevingen te bieden, wat snelle patching essentieel maakt voor organisaties die de Linux client implementeren. De kwetsbaarheden zijn gedocumenteerd in SonicWall advisory SNWLID-2026-0013, gepubliceerd op 25 augustus 2026. Er is geen workaround beschikbaar. Beheerders dienen getroffen NetExtender Linux Client installaties van versie 10.3.5 of eerder te upgraden naar versie 10.3.6 of later. Securityteams moeten ook onbeheerde Linux-endpoints identificeren, geïnstalleerde clientversies verifiëren en bevoorrechte software-updatemechanismen controleren op onveilige archiefextractie en tijdelijke bestandsafhandeling. SonicWall heeft bevestigd dat Windows-gebaseerde NetExtender clientversies niet door deze kwetsbaarheden worden getroffen.

Bron: SonicWall

Het tweede kwartaal van 2026 kenmerkte zich door een aanzienlijke verschuiving in het landschap van kwetsbaarheden. Het aantal geregistreerde Common Vulnerabilities and Exposures (CVE's) bereikte een ongekend niveau, voornamelijk gedreven door de wijdverspreide adoptie van kunstmatige intelligentie (AI), zowel voor de ontwikkeling van applicaties als voor het opsporen van beveiligingsfouten. Dit leidde tot het ontstaan van geheel nieuwe klassen van kwetsbaarheden, met name binnen het netwerksubsysteem van Linux. Bovendien publiceren securityonderzoekers steeds vaker exploits voor nog ongedichte kwetsbaarheden, wat potentiële aanvallers de mogelijkheid biedt om kwetsbare systemen te misbruiken.

De statistische gegevens, afkomstig uit de kwetsbaarhedendatabase van Kaspersky, die naast de CVE-database ook de Russische BDU-database en GitHub Advisory (GHSA) omvat, tonen een voortdurende stijging van het aantal geregistreerde kwetsbaarheden over de afgelopen vijf jaar. Deze trend wordt versterkt door de toename in het gebruik van tools met AI. Zoals eerder voorspeld, spelen deze tools een belangrijke rol bij de ontdekking van kwetsbaarheden in software van derden. Tegelijkertijd blijken deze tools zelf vaak beveiligingsproblemen te bevatten. Een voorbeeld hiervan is OpenClaw, een populair AI-project, dat in het tweede kwartaal met meer dan 200 geregistreerde CVE's de twaalfde plaats innam onder de projecten met het hoogste aantal ontdekte en gepubliceerde kwetsbaarheden. Ook AI-ontwikkeltools dragen bij aan het kwetsbaarheidslandschap, aangezien de kwaliteit van de door hen gegenereerde code sterk kan variëren, wat onvermijdelijk leidt tot een toenemende frequentie van nieuwe kwetsbaarheden.

De analyse van kritieke kwetsbaarheden (met een CVSS-score van meer dan 9.0) toont eveneens een scherpe stijging in het tweede kwartaal. Het gebruik van AI voor kwetsbaarheidsonderzoek maakt het mogelijk om enorme hoeveelheden voorheen ononderzochte code te analyseren, nieuwe aanvalsoppervlakken bloot te leggen en complete klassen van kwetsbaarheden te identificeren die decennia lang onopgemerkt zijn gebleven. Met name zijn met behulp van AI een reeks "Dirty Frag"-kwetsbaarheden in de Linux-kernel ontdekt.

Wat betreft de exploitatie van kwetsbaarheden, heeft het tweede kwartaal van 2026 een nieuw precedent gevestigd. Onderzoekers wachten niet langer op de registratie van CVE's of zelfs op de beschikbaarheid van patches voordat zij technische details en werkende exploits publiceren. Een opvallend geval is een onderzoeker bekend als Nightmare Eclipse (ook wel Chaotic Eclipse), die een lijst van nieuwe "benoemde" kwetsbaarheden in verschillende Windows-subsystemen publiceerde, zonder dat deze op het moment van publicatie van de technische details een CVE-identificatie hadden gekregen.

Deze kwetsbaarheden omvatten:

*   **BlueHammer**: Een kwetsbaarheid voor lokale privilege-escalatie in Windows Defender. Deze benut een time-of-check to time-of-use (TOCTOU) race condition tijdens updates van de handtekeningendatabase, waardoor een aanvaller de tijdelijke updatemap kan vervangen. Een volledig functionele exploit voor BlueHammer is gepubliceerd.

*   **RedSun**: Een andere logische kwetsbaarheid in Windows Defender, eveneens met een werkende exploit. Verdachte en kwaadaardige bestanden die als "cloud" zijn gemarkeerd, kunnen met verhoogde privileges worden overschreven of hersteld naar hun oorspronkelijke map. De exploit combineert diverse populaire exploitatietechnieken door fragmenten van algoritmen te integreren die verschillende logische kwetsbaarheden in Windows benutten.

*   **YellowKey**: Een kwetsbaarheid die gebruikers in staat stelt de BitLocker full-disk encryptie te omzeilen en toegang te krijgen tot systeemdata via de Windows Recovery Environment (WinRE). Ook hiervoor is een volledig functionele exploit gepubliceerd.

*   **GreenPlasma**: Een kwetsbaarheid die systeemobjectinjectie mogelijk maakt via de CTF loader voor de Collaborative Translation Framework (CTFMON)-service in Windows. Hiervoor is een exploit met beperkte functionaliteit gepubliceerd.

*   **RougePlanet**: Nog een kwetsbaarheid in Windows Defender die, net als BlueHammer, voortkomt uit een TOCTOU-probleem, ditmaal in de engine die verantwoordelijk is voor real-time systeemscanning. De gepubliceerde exploit gebruikt de kwetsbaarheid om het systeembestand wermgr.exe te overschrijven met een kwaadaardig bestand.

*   **UnDefend**: Een andere kwetsbaarheid in de Windows Defender-service. Ditmaal veroorzaakt de exploit een denial of service en blokkeert deze updates.

De toename van kwetsbaarheden en de snelle publicatie van exploits benadrukken de groeiende uitdagingen voor cybersecurityprofessionals.

Bron: Kaspersky

Een kritieke kwetsbaarheid in de TranslatePress WordPress plugin, aangeduid als CVE-2026-19632, stelt potentieel 400.000 websites bloot aan accountovername. De kwetsbaarheid, die een CVSS-score van 9.8 heeft gekregen en als kritiek is geclassificeerd door Wordfence, maakt het mogelijk voor niet-geauthenticeerde aanvallers om beheerderaccounts te kapen en de getroffen websites volledig te compromitteren.

De kwetsbaarheid is aanwezig in TranslatePress versies tot en met 3.3.1 en is opgelost in versie 3.3.2. TranslatePress is een populaire meertalige WordPress plugin met meer dan 400.000 actieve installaties wereldwijd. Beveiligingsonderzoeker momopon1415 rapporteerde het probleem via het Wordfence Bug Bounty Program en ontving hiervoor een beloning van 975 dollar.

Het beveiligingslek ontstaat door de manier waarop TranslatePress wachtwoordherstel-e-mails verwerkt en vertaalbare strings opslaat. De plugin kan uitgaande WordPress-e-mails vertalen door de `wp_mail()`-functie te onderscheppen. Wanneer een beheerder een wachtwoordherstel aanvraagt, genereert WordPress een e-mail met een herstel-URL die een platte-tekst herstelsleutel en inlogparameters bevat.

Onder specifieke voorwaarden slaat TranslatePress deze gevoelige herstel-URL op in een woordenboektabel voor secundaire talen. Dit gebeurt alleen wanneer de automatische opslag van strings is ingeschakeld (wat de standaardinstelling is) en de profieltaal van de beoogde beheerder is geconfigureerd om een gepubliceerde secundaire taal te gebruiken in plaats van de standaardtaal van de website.

Onderzoekers ontdekten dat aanvallers deze opgeslagen woordenboekvermeldingen kunnen ophalen via de openbaar toegankelijke `trp_get_translations_regular` AJAX-actie van de plugin. Dit endpoint accepteert door de aanvaller geleverde string-identificaties en retourneert overeenkomstige vertaalrecords. Hierdoor kan een niet-geauthenticeerde aanvaller vertaalgegevens opsommen en een opgeslagen wachtwoordherstel-URL lokaliseren.

Een aanvaller die de gebruikersnaam of het e-mailadres van een beheerder kent, kan een wachtwoordherstelverzoek activeren, de blootgestelde herstellink uit het vertaalwoordenboek extraheren, een nieuw wachtwoord instellen en inloggen als beheerder. Een succesvolle exploitatie zou de aanvaller volledige controle over de WordPress-site geven. Met beheerderstoegang kunnen cybercriminelen nieuwe bevoorrechte accounts aanmaken, kwaadaardige plugins of backdoored thema's installeren, website-inhoud wijzigen, gevoelige informatie stelen of de gecompromitteerde site gebruiken om malware te verspreiden.

De kwetsbaarheid vormt een ernstig risico voor bedrijven, uitgevers, e-commercewinkels en organisaties die TranslatePress gebruiken. Het is belangrijk op te merken dat het lek niet elke TranslatePress-implementatie op dezelfde manier treft; de wachtwoordherstel-URL wordt alleen blootgesteld wanneer de beoogde beheerder een gepubliceerde secundaire taal als profiellocale gebruikt. Beheerdersaccounts die de standaardtaal van de site gebruiken, hebben hun wachtwoordherstel-e-mails niet verwerkt via de kwetsbare workflow voor secundaire-taalvertalingen.

Wordfence ontving het rapport op 11 augustus 2026, bracht het probleem op 12 augustus onder de aandacht van TranslatePress-ontwikkelaar Cozmoslabs en bevestigde dat de leverancier op 13 augustus versie 3.3.2 van TranslatePress heeft uitgebracht. Site-eigenaren wordt dringend geadviseerd om TranslatePress onmiddellijk bij te werken naar versie 3.3.2 of hoger. Daarnaast dienen beheerders twee-factorauthenticatie of passkeys in te schakelen, het aantal beheerderaccounts te beperken, gebruikersactiviteit te controleren en geïnstalleerde plugins en thema's te inspecteren op ongeoorloofde wijzigingen.

Bron: Wordfence

Een officiële ontwikkelaar van Core Lightning heeft een dringende waarschuwing uitgegeven aan beheerders, met het advies om hun knooppunten tijdelijk uit te schakelen. Het team is momenteel bezig met het onderzoek naar meerdere meldingen over kwetsbaarheden binnen de software en werkt aan de ontwikkeling van een nieuwe versie die de benodigde oplossingen zal bevatten.

De technische details betreffende de aard en omvang van de kwetsbaarheden blijven voorlopig onder embargo. Dit betekent dat de exacte impact en de potentiële aanvalsmogelijkheden nog niet openbaar zijn gemaakt. De ontwikkelaars benadrukken dat zij tijdens deze periode geen ondersteuning kunnen bieden voor oudere versies van Core Lightning.

Beheerders die niet in staat zijn om direct een update uit te voeren zodra deze beschikbaar komt, krijgen het expliciete advies om hun knooppunt volledig uit te schakelen. Dit moet gehandhaafd blijven totdat een gerepareerde en veilige versie van de software is uitgebracht en kan worden geïnstalleerd. Het tijdelijk uitzetten van de knooppunten is een voorzorgsmaatregel om potentiële risico's te mitigeren nu de kwetsbaarheden actief worden onderzocht.

Bron: Cybercrimeinfo

De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft op 27 augustus 2026 drie nieuwe kwetsbaarheden toegevoegd aan haar Known Exploited Vulnerabilities (KEV) Catalog. Deze toevoeging is gebaseerd op concreet bewijs van actief misbruik in de praktijk. De KEV Catalog omvat kwetsbaarheden waarvan bekend is dat ze actief door kwaadwillende cyberactoren worden uitgebuit.

De recent toegevoegde kwetsbaarheden zijn:

*   **CVE-2023-49105**: Een kwetsbaarheid in ownCloud gerelateerd aan onjuiste authenticatie.

*   **CVE-2026-53362**: Een niet-gespecificeerde kwetsbaarheid in de Linux Kernel.

*   **CVE-2026-66384**: Een kwetsbaarheid in JFrog Artifactory betreffende onjuiste beperking van een padnaam naar een beperkte directory.

Deze typen kwetsbaarheden vormen een frequent aanvalsvector voor cybercriminelen en brengen aanzienlijke risico's met zich mee voor organisaties. CISA heeft de Bindende Operationele Richtlijn (BOD) 26-04 uitgevaardigd, die eisen stelt aan het kwetsbaarheidsbeheer voor federale civiele uitvoerende agentschappen (FCEB) in de Verenigde Staten. Deze richtlijn benadrukt het belang van de KEV Catalog en verplicht federale agentschappen om prioriteit te geven aan snelle remediëring van kwetsbaarheden met een hoog risico. Dit geldt specifiek voor CVE's die in de KEV Catalog staan en die op publiekelijk blootgestelde systemen volledige controle over het systeem kunnen verschaffen na exploitatie. Voor kwetsbaarheden met een lager risico wordt actie uitgesteld.

BOD 26-04 stelt ook basisverwachtingen vast voor wanneer agentschappen moeten controleren of dreigingsactoren het systeem hebben gecompromitteerd voordat de patch werd toegepast. Hoewel deze richtlijn formeel alleen van toepassing is op FCEB-agentschappen, moedigt CISA alle organisaties wereldwijd aan om risicogebaseerd kwetsbaarheidsbeheer toe te passen en de remediëring van kwetsbaarheden uit de KEV Catalog te prioriteren. Dit is van groot belang, aangezien de getroffen software (ownCloud, Linux Kernel, JFrog Artifactory) ook in Nederland en België wijdverspreid is. CISA zal de catalogus blijven aanvullen met kwetsbaarheden die voldoen aan de gespecificeerde criteria.

Bron: CISA

De U.S. Cybersecurity and Infrastructure Security Agency (CISA) heeft Amerikaanse overheidsinstanties bevolen hun Citrix NetScaler-apparaten te patchen tegen een actief misbruikte kwetsbaarheid, CVE-2026-8452, met een deadline van zaterdag 29 augustus. Deze kwetsbaarheid met een hoge ernst is een zwakke plek in de geheugenoverloop en treft NetScaler ADC- en NetScaler Gateway-apparaten die geconfigureerd zijn met Gateway VPN- of AAA (Authentication, Authorization, and Auditing) virtuele servers.

Aanvankelijk meldde Citrix in juni dat de kwetsbaarheid alleen kon leiden tot denial-of-service (DoS)-aanvallen. Echter, cybersecuritybedrijf watchTowr toonde in augustus aan dat succesvolle exploitatie ook kan leiden tot uitvoering van code op afstand met root-rechten op ongepatchte NetScaler-systemen. Citrix verklaarde destijds dat zij geen misbruik van de kwetsbaarheid hadden waargenomen.

Momenteel volgt dreigingsmonitor Shadowserver meer dan 22.000 NetScaler ADC-apparaten en bijna 1.800 Gateway-instanties die online zijn blootgesteld. Het is echter onduidelijk hoeveel hiervan honeypots zijn, kwetsbare configuraties hebben, of reeds zijn gepatcht.

Op maandag voegde CISA de CVE-2026-8452 kwetsbaarheid toe aan haar Known Exploited Vulnerabilities (KEV) Catalog. Federale civiele uitvoerende instanties (FCEB-instanties) kregen de opdracht om alle kwetsbare Citrix-apparaten te beveiligen voor 29 augustus, zoals vastgelegd in Binding Operational Directive (BOD) 26-04. CISA heeft geen details vrijgegeven over de specifieke aanvallen die momenteel gericht zijn op CVE-2026-8452. De waarschuwing volgt echter een week nadat beveiligingsonderzoekers en cybersecurity-experts de kwetsbaarheid aanmerkten als actief misbruikt in "pray and spray"-aanvallen, waarbij webshells op gecompromitteerde apparaten worden geïnstalleerd.

Citrix heeft het beveiligingsadvies voor CVE-2026-8452 nog niet bijgewerkt om te erkennen dat de kwetsbaarheid nu actief wordt misbruikt. Een week eerder drong het bedrijf er ook bij klanten op aan om hun systemen onmiddellijk te beveiligen tegen twee andere NetScaler-kwetsbaarheden, CVE-2026-19490 en CVE-2026-19489. Deze kwetsbaarheden kunnen door externe, niet-geauthenticeerde dreigingsactoren worden misbruikt voor DoS-aanvallen of om authenticatie te omzeilen. Hoewel deze twee kwetsbaarheden nog niet als actief misbruikt zijn aangemerkt, vroeg Citrix beheerders in maart ook al om twee andere NetScaler-kwetsbaarheden (CVE-2026-3055 en CVE-2026-4368) te patchen, dagen voordat dreigingsactoren deze begonnen te misbruiken. Sinds november 2021 heeft de Amerikaanse cybersecurity-instantie 23 Citrix-kwetsbaarheden aangemerkt als actief misbruikt, waarvan zeven ook door ransomware-groepen zijn gebruikt.

Bron: CISA

Het Belgische Centrum voor Cybersecurity (CCB) heeft een dringende waarschuwing uitgegeven betreffende een kritieke authenticatie-bypass kwetsbaarheid in Veeam ONE. Deze kwetsbaarheid, geïdentificeerd als CVE-2026-65641, heeft een CVSS v4.0-score van 9.3, wat duidt op een ernstig risico. Organisaties die getroffen versies van Veeam ONE gebruiken, wordt geadviseerd onmiddellijk actie te ondernemen door de benodigde patches toe te passen.

De kwetsbaarheid valt onder CWE-288, wat staat voor 'Authentication Bypass Using an Alternate Path or Channel'. Dit betekent dat aanvallers de normale authenticatiemechanismen kunnen omzeilen via een alternatief pad of kanaal, waardoor zij ongeautoriseerde toegang kunnen verkrijgen tot de systemen. Een succesvolle exploitatie van deze kwetsbaarheid kan leiden tot de blootstelling van gevoelige informatie en kan de vertrouwelijkheid en integriteit van de getroffen systemen in gevaar brengen.

Veeam ONE is een veelgebruikte monitoring-, rapportage- en analyseoplossing die is ontworpen voor Veeam-omgevingen. Het biedt organisaties inzicht in de beschikbaarheid, prestaties, configuratie en beschermingsstatus van virtuele, fysieke en cloud-workloads. Vanwege de diepgaande toegang die Veeam ONE tot IT-infrastructuren heeft, vormt een kwetsbaarheid van dit kaliber een aanzienlijk risico voor de algehele beveiliging.

De kwetsbaarheid treft specifiek Veeam ONE versie 13.1.0.7034 en alle eerdere versies binnen de Veeam ONE 13-serie. Het is belangrijk op te merken dat Veeam heeft bevestigd dat Veeam ONE 12.x versies niet gevoelig zijn voor deze specifieke kwetsbaarheid. Organisaties dienen hun geïnstalleerde versies zorgvuldig te controleren en, indien zij een getroffen versie gebruiken, de kwetsbaarheid met hoge prioriteit aan te pakken. De aanbeveling is dan ook om zo snel mogelijk de beschikbare beveiligingsupdates te installeren om potentiële aanvallen te voorkomen.

Bron: CCB

Een recent onthulde kwetsbaarheid in cPanel en WHM, de veelgebruikte webhosting controlepaneelsoftware, kan een laag geprivilegieerde, geauthenticeerde gebruiker in staat stellen om root-niveau controle over een complete server te verkrijgen. Het lek, aangeduid als CVE-2026-65643, bevindt zich in de domeinparkeerfunctionaliteit van cPanel en werd publiekelijk gedetailleerd in een advies dat op 27 augustus 2026 werd gepubliceerd door cPanel support engineer Devon Courtney.

Volgens het advies kan elke geauthenticeerde cPanel accounthouder met toestemming om geparkeerde of add-on domeinen toe te voegen, de bug misbruiken om willekeurige bestanden te creëren, overal op de onderliggende server. Domeinparkeren is een standaardfunctie die hostingklanten in staat stelt om extra domeinnamen naar een bestaande website te laten verwijzen zonder een apart account in te stellen. Dit betekent dat de betreffende functionaliteit is ingeschakeld in vrijwel elke gedeelde en reseller hostingomgeving die cPanel gebruikt.

Omdat de kwetsbaarheid de creatie van willekeurige bestanden toestaat, heeft een aanvaller geen geavanceerde exploitatievaardigheden of aanvullende gekoppelde bugs nodig om deze te misbruiken. Alleen een legitieme, laag-tier cPanel login is vereist, iets dat gemakkelijk kan worden verkregen via een goedkoop gedeeld hostingpakket of een gecompromitteerd klantaccount. Het werkelijke gevaar ligt in wat deze mogelijkheid tot het creëren van willekeurige bestanden teweegbrengt. cPanel bevestigt dat succesvolle exploitatie leidt tot code-uitvoering als de root gebruiker, waardoor een aanvaller effectief de sleutels tot de gehele machine in handen krijgt.

Op een gedeelde hostingserver is een enkel gecompromitteerd account niet alleen zelf in gevaar; elke andere website, database en e-mailaccount die op dezelfde machine wordt gehost, wordt ook blootgesteld. Voor hostingproviders die multi-tenant infrastructuur beheren, zou een enkele kwaadaardige of gecompromitteerde klant kunnen overstappen van hun eigen beperkte account naar een volledige serverovername. Dit kan leiden tot het ontsieren van websites, het stelen van klantgegevens, het implementeren van malware of het gebruiken van de server als een lanceerplatform voor verdere aanvallen binnen het netwerk van de provider.

cPanel heeft aangegeven dat de kwetsbaarheid alle momenteel ondersteunde versies van cPanel en WHM treft. Het bedrijf heeft gepatchte builds uitgebracht voor elke actieve release-tier, namelijk versie 11.110.0.141 of later, 11.134.0.53 of later, 11.136.0.37 of later, en 11.138.0.2 of later, samen met WP2 build 11.138.1.7 of later voor servers die die update-track draaien. Beheerders die oudere, end-of-life branches gebruiken, vallen niet onder deze fixes en blijven kwetsbaar, tenzij ze eerst upgraden naar een ondersteunde versie.

Gezien het feit dat exploitatie slechts een geauthenticeerd account met domeinparkeerprivileges vereist, moeten hostingproviders en systeembeheerders dit beschouwen als een urgente patch met hoge prioriteit. Hoewel cPanel doorgaans automatische updates pusht, moeten beheerders die handmatige updatebeleid of aangepaste implementatieschema's beheren, hun buildnummer onmiddellijk vergelijken met de gepatchte versies en updates zonder vertraging toepassen. Providers moeten ook controleren welke klantaccounts toestemming hebben om geparkeerde of add-on domeinen toe te voegen en overwegen om die functionaliteit tijdelijk te beperken op servers die wachten op de patch-implementatie. Gezien de dominante positie van cPanel in gedeelde en reseller hosting, is het venster tussen openbare bekendmaking en grootschalige exploitatiepogingen doorgaans kort, waardoor snelle patching de meest effectieve verdediging is tegen deze kwetsbaarheid.

Bron: cPanel

PaperCut heeft bevestigd dat een ongepatchte kwetsbaarheid in zijn veelgebruikte printmanagement software, PaperCut NG en PaperCut MF, actief wordt misbruikt door hackers. Na een eerste waarschuwing heeft het Australische bedrijf met spoed een noodpatch uitgebracht. Het beveiligingsteam van PaperCut onderzoekt momenteel "bevestigde incidenten bij klanten" en behandelt de kwestie met de hoogste prioriteit, hoewel er nog geen formele CVE-identificatie is toegewezen.

Volgens het security bulletin van PaperCut treft het lek elke momenteel ondersteunde versie van PaperCut NG en PaperCut MF, wat betekent dat het versienummer irrelevant is voor de blootstelling aan het risico. Een interne beveiligings- en digitale forensische team van een universiteitsklant heeft PaperCut geattendeerd op het probleem. Hun bevindingen stelden de ingenieurs van PaperCut in staat de bug te reproduceren en te bevestigen dat deze actief in het wild werd misbruikt.

Details over de technische oorzaak van de kwetsbaarheid blijven onbekend zolang het onderzoek voortduurt. Echter, de urgentie van de respons, inclusief een noodbuild die op dezelfde dag werd uitgebracht, duidt op een serieus pad voor remote exploitatie tegen internetgerichte servers.

PaperCut roept alle klanten wiens Application Server bereikbaar is vanaf het publieke internet op om onmiddellijk de toegang te beperken tot vertrouwde IP-bereiken, zoals interne netwerken, met behulp van firewall regels of gelijkwaardige netwerk toegangscontroles. Het bedrijf benadrukt dat organisaties deze stap nu moeten nemen, zelfs als zij geen verdachte activiteit hebben waargenomen, aangezien de afwezigheid van waarschuwingssignalen niet bevestigt dat een systeem veilig is.

Beveiligingsteams worden ook gevraagd te zoeken naar mogelijke tekenen van compromittering. Verdacht post-exploitatie gedrag afkomstig van het `pc-app.exe` proces, ontbrekende of onverwacht afgekorte `server.log` bestanden, en specifieke logboekvermeldingen over een JDBC driver die niet gevonden wordt of over een databasefout bij het opzoeken van een cardID kunnen duiden op een getroffen systeem. PaperCut waarschuwt echter dat het niet vinden van deze artefacten een inbreuk niet uitsluit, en is van plan gevalideerde Indicators of Compromise te publiceren naarmate het onderzoek vordert.

Op 28 augustus 2026 om 2:10 uur AEST heeft PaperCut noodbuilds uitgebracht voor zowel de v25- als de v26-branches van NG en MF, inclusief Windows-, Linux- en macOS-installers. Deze zijn expliciet bestempeld als noodreleases, bedoeld voor beheerders die openbaar gerichte servers draaien en hun systemen niet anderszins van het internet kunnen isoleren. Een build voor de oudere v24-branch is nog in ontwikkeling. PaperCut dringt er bij alle klanten op aan om waar mogelijk te upgraden naar de laatst beschikbare versie.

Dit is niet de eerste keer dat het printmanagement platform van PaperCut de aandacht van dreigingsactoren trekt; een eerder authenticatie bypass lek uit 2023 (CVE-2023-27351) werd eerder misbruikt door ransomware affiliates en verscheen dit jaar zelfs opnieuw in CISA's Known Exploited Vulnerabilities catalogus. Gezien deze geschiedenis verwachten beveiligingsonderzoekers dat deze nieuwste bug snel de aandacht zal trekken van opportunistische aanvallers die scannen naar blootgestelde servers, waardoor snelle patching en netwerk segmentatie essentieel zijn voor elke organisatie die PaperCut in productie heeft.

Bron: PaperCut

GitLab heeft recentelijk beveiligingsupdates uitgebracht om een ernstige kwetsbaarheid in zijn Duo Claude AI-agent te verhelpen. Deze kwetsbaarheid, aangeduid als CVE-2026-18252, had het potentieel om geauthenticeerde ontwikkelaars in staat te stellen willekeurige commando's uit te voeren binnen de context van CI-pijplijnen. De kwetsbaarheid heeft een CVSS-score van 7.3 en treft installaties van GitLab Enterprise Edition.

Op 26 augustus 2026 heeft GitLab gepatchte versies uitgebracht: GitLab 19.3.1, 19.2.5 en 19.1.7. Het bedrijf dringt er bij zelfbeheerde klanten op aan om onmiddellijk te updaten. GitLab.com draait al op de gecorrigeerde software, terwijl klanten van GitLab Dedicated geen actie hoeven te ondernemen.

De kwetsbaarheid ontstond doordat de Duo Claude AI-agent configuratie verwerkte vanuit een door de gebruiker beheerde bron. Onder specifieke omstandigheden kon een geauthenticeerde gebruiker met machtigingen voor de ontwikkelaarsrol dit gedrag misbruiken om de agent willekeurige commando's te laten uitvoeren in een CI-omgeving.

Dit vormt een aanzienlijk risico voor organisaties die workflows ondersteund door AI gebruiken in softwareontwikkeling. CI-pijplijnen hebben vaak toegang tot gevoelige ontwikkelingsbronnen, zoals broncode, build-artefacten, implementatiereferenties, cloud-tokens en pakketregisterreferenties. Een aanvaller die commando-uitvoering in een pijplijn verkrijgt, zou potentieel toegang kunnen krijgen tot geheimen die aan taken zijn blootgesteld, gegenereerde artefacten kunnen wijzigen, build-processen kunnen manipuleren of dieper kunnen doordringen in verbonden ontwikkelingsinfrastructuur.

GitLab heeft het probleem geclassificeerd als een "Inclusion of Functionality from Untrusted Control Sphere"-zwakte. Dit type kwetsbaarheid treedt op wanneer een applicatie functionaliteit laadt of uitvoert op basis van door de gebruiker gecontroleerde invoer zonder voldoende beveiligingscontroles toe te passen. In dit specifieke geval creëerde de verwerking van configuratie door de AI-agent vanuit een niet-vertrouwde bron een mogelijkheid voor een geauthenticeerde gebruiker met lagere privileges om de uitvoering van CI-commando's te beïnvloeden.

CVE-2026-18252 treft GitLab EE-versies van 18.9 tot en met 19.1.7, 19.2 tot en met 19.2.5, en 19.3 tot en met 19.3.1. Volgens de CVSS-vector vereist exploitatie netwerktoegang, lage privileges en gebruikersinteractie. De kwetsbaarheid heeft een grote impact op vertrouwelijkheid en integriteit, hoewel GitLab geen directe impact op beschikbaarheid heeft toegekend. De kwestie werd gemeld via het HackerOne bug bounty-programma van GitLab door beveiligingsonderzoeker thwin_htet.

GitLab heeft geen technische proof-of-concept details, exploitatiecode of bewijs van actieve exploitatie vrijgegeven. De patch-release lost ook verschillende andere kwetsbaarheden op die GitLab Community Edition en Enterprise Edition treffen. Deze omvatten een denial-of-service probleem in importpijplijnen, een SCIM API denial-of-service kwetsbaarheid, onjuiste toegangscontroles met betrekking tot beveiligde omgevingsterminals, toewijzingen van compliance-frameworks omzeilen, zwakheden in pijplijnuitvoeringsbeleid en problemen met het resetten van goedkeuringsregels voor merge requests.

Beheerders dienen prioriteit te geven aan het upgraden van GitLab EE naar versie 19.3.1, 19.2.5 of 19.1.7, afhankelijk van hun ondersteunde release-branch. De updates omvatten databasemigraties. Implementaties met één knooppunt kunnen downtime ervaren omdat migraties moeten zijn voltooid voordat GitLab start, terwijl correct geconfigureerde multi-node omgevingen de zero-downtime upgrade-procedures van GitLab kunnen gebruiken. De kwetsbaarheid benadrukt een groeiende beveiligingsbezorgdheid rond AI-agents die zijn ingebed in ontwikkelaarsplatforms. Organisaties moeten AI-gestuurde automatisering behandelen als infrastructuur voor code-executie, toegang tot agent-configuratie beperken, CI-taken isoleren, het aantal beschikbare geheimen minimaliseren en pijplijnactiviteit monitoren op ongeautoriseerde commando-uitvoering.

Bron: GitLab

TP-Link heeft een kwetsbaarheid met hoge ernst onthuld die meerdere Kasa smart home apparaten treft. Het lek, aangeduid als CVE-2026-76784, kan aanvallers op hetzelfde lokale netwerk in staat stellen om commando's voor apparaatbesturing te onderscheppen, opnieuw af te spelen of te vervalsen. Dit kan leiden tot ongeautoriseerde wijzigingen in de apparaatstatus, verstoring van de normale functionaliteit of denial-of-service condities.

De kwetsbaarheid heeft een CVSS v4.0 score van 8.7, wat als 'Hoog' wordt beoordeeld. De oorzaak ligt in onvoldoende cryptografische beveiligingen in het lokale communicatieprotocol dat door de getroffen Kasa-producten wordt gebruikt. Een aanvaller moet zich fysiek dicht bij het doelapparaat bevinden, wat betekent dat toegang tot hetzelfde lokale netwerk of draadloze omgeving vereist is. Authenticatie, privileges of gebruikersinteractie zijn niet nodig voor exploitatie. Dit verhoogt het risico in gedeelde wifi-omgevingen, gecompromitteerde thuisnetwerken, gastnetwerken of bedrijfsomgevingen waar slimme apparaten netwerktoegang delen met minder vertrouwde systemen.

Volgens TP-Link kan een aanvaller controleberichten vastleggen die lokaal worden uitgewisseld tussen de Kasa-app, het apparaat en andere lokale componenten. Door ontoereikende cryptografische beveiligingen die de integriteit en authenticiteit van commando's beschermen, kunnen aanvallers eerder geldige commando's opnieuw afspelen of nieuwe berichten vervalsen. Succesvolle exploitatie kan een aanvaller in staat stellen om smart plugs, schakelaars en verlichtingsproducten ongeautoriseerd aan of uit te zetten. Dit kan leiden tot onderbreking van aangesloten apparaten, het uitschakelen van verlichting, het wijzigen van schema's of het herhaaldelijk uitgeven van commando's om een apparaat onbruikbaar te maken.

De impact is met name relevant voor Kasa-apparaten die worden gebruikt in thuiskantoren, kleine bedrijven, winkelomgevingen of geautomatiseerde faciliteiten. De lijst met getroffen producten omvat Kasa smart plugs en schakelaars zoals de HS103P3, HS103P4, EP10, EP25 V2, HS300 V2, KP303 V2, EP40A, KP125MP2, KP125MP4, KP115, KS225, KS205, KS240, ES20M, KS220M, KP200 V3, HS200 V5.26, en verschillende HS220-varianten. Ook de KL125 smart bulb is getroffen.

TP-Link heeft reeds firmwareversies uitgebracht om de kwetsbaarheid te verhelpen. Gebruikers van de HS103P3 en HS103P4 dienen bijvoorbeeld bij te werken naar versie 1.1.3 Build 250908 Rel.112508, terwijl KL125-gebruikers versie 1.1.1 Build 260710 Rel.082646 moeten installeren. Gebruikers wordt geadviseerd om hun exacte hardwareversie te verifiëren voordat zij de firmware toepassen, aangezien Kasa-firmwarereleases per model en regionale variant verschillen. Updates kunnen worden geïnstalleerd via het TP-Link Download Center of de Kasa Smart-applicatie. Totdat updates zijn geïnstalleerd, wordt organisaties en consumenten aangeraden om IoT-apparaten op een apart netwerk of VLAN te isoleren, toegang vanaf gast-wifi-netwerken te beperken en ongebruikelijk apparaatgedrag te monitoren.

Bron: TP-Link

Vercel heeft beveiligingspatches uitgebracht voor twee kritieke kwetsbaarheden in het Next.js webframework. Beide kwetsbaarheden maken ongeauthenticeerde remote code execution (RCE) mogelijk. Eén kwetsbaarheid kan worden misbruikt via speciaal geprepareerde AVIF-afbeeldingsbestanden, de andere via een path traversal-lek dat servers treft die een Windows-bestandssysteem gebruiken.

De Windows path traversal-kwetsbaarheid, geregistreerd als CVE-2026-75604 met een CVSS-score van 9.0, treft Next.js-applicaties die zowel de Pages Router als de App Router gebruiken zonder Cache Components, wanneer de server draait op een Windows-bestandssysteem. Implementaties op Linux en macOS worden niet beïnvloed. Vercel heeft in zijn advies aangegeven dat er geen bekende workaround is voor getroffen applicaties die op Windows worden gehost, en adviseert onmiddellijk te upgraden. De onderzoekers evolutionstorm en B0RI worden gecrediteerd voor de verantwoorde melding van deze kwetsbaarheid.

De andere kwetsbaarheid betreft een AVIF-afbeeldingsoptimalisatielek. Next.js maakt gebruik van het `sharp` beeldverwerkingspakket om afbeeldingen te optimaliseren, dat op zijn beurt de `libheif` C-bibliotheek gebruikt voor het parsen van AVIF-bestanden. Een kritieke heap buffer-overflow in `libheif` kan leiden tot remote code execution wanneer Next.js een door een aanvaller gecontroleerde AVIF-afbeelding verwerkt (GHSA-2xp9-vwfh-vxw4, CVSS v4: 9.5). De onderliggende kwetsbaarheid, GHSA-g89c-p67h-r497, is een heap buffer-overflow in de beeldschalingscode van de bibliotheek. Alle `libheif`-versies tot en met v1.23.1 zijn kwetsbaar.

Het lek wordt veroorzaakt wanneer een AVIF-bestand met geneste identiteitsafleiding en hulpitemreferenties ervoor zorgt dat `libheif` een gedecodeerde afbeelding bouwt met twee Alpha-vlakvermeldingen met verschillende bitdieptes. De scaler alloceert een doelbuffer die is aangepast voor de eerste, 8-bit Alpha-vermelding, maar schrijft vervolgens 16-bit voorbeeldwaarden van de tweede vermelding in diezelfde buffer, waarbij ongeveer 16.384 bytes buiten de allocatiegrens worden overschreven. Onderzoekers rootxharsh en KarimPwnz hebben een Python proof-of-concept uitgebracht dat deze heap-corruptie reproduceert, en claimen RCE te hebben verkregen op meerdere applicaties, hoewel dit niet onafhankelijk is bevestigd. Next.js schakelt AVIF-optimalisatie alleen in als een site expliciet `image/avif` toevoegt aan de `formats`-configuratie in `next.config.js`. Implementaties zonder deze configuratie zijn niet kwetsbaar voor dit lek.

De fixes zijn beschikbaar in Next.js 15.5.24 (Maintenance LTS) en 16.3.3 (Active LTS), die op 25 augustus 2026 zijn gepubliceerd. Getroffen gebruikers kunnen upgraden door `npm install next@15.5.24` of `npm install next@16.3.3` uit te voeren. Applicaties die op Vercel worden gehost, zijn beschermd tegen beide kwetsbaarheden en vereisen geen upgrade. De kwetsbaarheden treffen Next.js-versies 13.4 tot en met 15.5.23 en versies 16.0 tot en met 16.3.2. De gepatchte Next.js-releases schakelen AVIF-optimalisatie volledig uit totdat de upstream-fix van `libheif` is doorgevoerd.

Vercel heeft de augustus-patches een dag eerder uitgebracht dan gepland, na de ontdekking van een extra kritieke kwetsbaarheid in een van zijn upstream-afhankelijkheden. Dit is de tweede release onder Vercel's formele maandelijkse beveiligingsprogramma, dat in juli 2026 werd aangekondigd. Tot 27 augustus 2026 was er geen exploitatie van de augustus-kwetsbaarheden gemeld.

Bron: Vercel

De Autoriteit Persoonsgegevens (AP) heeft recent advies uitgebracht aan organisaties in Nederland die websites beheren met software van WordPress. Aanleiding hiervoor is de ontdekking van kwetsbaarheden in de WordPress-software, die momenteel actief worden misbruikt door kwaadwillenden. Dit misbruik heeft geleid tot diverse datalekken, waarbij de AP constateert dat de risico's door getroffen organisaties niet altijd correct worden ingeschat. Hierdoor blijven personen van wie gegevens zijn gelekt, vaak onvoldoende geïnformeerd.

WordPress is een populair systeem voor websitebeheer en kent een hoge adoptiegraad in Nederland. Hoewel er inmiddels een update beschikbaar is om de kwetsbaarheden te verhelpen, hebben veel gebruikers deze waarschijnlijk nog niet geïnstalleerd. Aanvallers maken actief misbruik van deze situatie. De AP ontvangt hierover sinds kort veel meldingen van datalekken.

Het misbruik van de kwetsbaarheden kan aanvallers in staat stellen om een systeem van WordPress volledig over te nemen. Dit geeft hen vrije toegang tot alle informatie binnen het systeem. Dit omvat gegevens over de gebruikers en beheerder van de website, alle informatie die (eventueel afgeschermd) op de website toegankelijk was, en persoonsgegevens van klanten en gebruikers die via de website worden verwerkt. Denk hierbij aan forumberichten, aankopen, offertes, consulten of ingevulde webformulieren. Deze persoonsgegevens kunnen vervolgens door criminelen worden misbruikt voor doeleinden zoals het versturen van spam, het uitvoeren van gerichte phishingaanvallen en het verspreiden van malware.

De AP benadrukt dat organisaties die WordPress gebruiken direct actie moeten ondernemen. Het is cruciaal om de huidige versie van de software te controleren en deze onmiddellijk te updaten naar de meest recente versie. Kijk dan op deze pagina van het Nationaal Cyber Security Centrum (NCSC) voor informatie over het updaten van WordPress. Na de update is het essentieel om te controleren of het systeem kwetsbaar was voor misbruik en, indien dit het geval was, te onderzoeken of de kwetsbaarheid daadwerkelijk is misbruikt. Hierbij kan de hostingpartij of een IT-dienstverlener assisteren door logbestanden te controleren op sporen van misbruik, ook wel Indicators of Compromise (IoC's) genoemd. Als er sporen van misbruik worden aangetroffen, zet dan zo snel mogelijk uw incidentresponsplan in werking.

Indien er sporen van misbruik zijn gevonden en er mogelijk toegang is geweest tot persoonsgegevens, adviseert de AP om uit te gaan van een datalek en dit te melden. Het is hierbij niet de bedoeling om uitgebreide onderzoeken af te wachten; een voorlopige melding is mogelijk via het Meldformulier datalekken van de AP. Daarnaast moeten de mensen van wie persoonsgegevens zijn ingezien, worden geïnformeerd. Organisaties dienen een inschatting te maken van het risico dat slachtoffers lopen. Bij twijfel over de daadwerkelijke toegang tot persoonsgegevens, moet het slechtste scenario worden aangenomen. Een hoog risico geldt bij het lekken van bijzondere persoonsgegevens, zoals gezondheidsinformatie, of grote hoeveelheden e-mailadressen en telefoonnummers. In dergelijke gevallen moeten slachtoffers zo spoedig mogelijk direct, rechtstreeks en adequaat worden geïnformeerd om hen te beschermen tegen spam, phishing en malware.

Bron: Autoriteit Persoonsgegevens

Het Nationaal Cybersecurity Centrum (NCSC) waarschuwt voor meerdere ernstige kwetsbaarheden die zijn ontdekt in diverse Ubiquiti UniFi-producten. Deze kwetsbaarheden betreffen onder andere UniFi Protect, UniFi OS en UniFi Network Application. De specifieke kwetsbaarheden, aangeduid als CVE-2026-77533 en CVE-2026-77537, dragen hoge CVSS-scores die oplopen tot 10.0, wat duidt op een maximale ernst.

Het NCSC heeft de kwetsbaarheden beoordeeld met een 'medium' kans op misbruik, maar met een 'high' potentiële schade. Gezien de ernst van de situatie, adviseert het NCSC om de reeds beschikbare beveiligingsupdates zo snel mogelijk te installeren.

UniFi is een productreeks van Ubiquiti die bestaat uit netwerk- en beveiligingsproducten. Deze worden veelvuldig gebruikt door organisaties voor het beheer van netwerken, beveiligingscamera's, toegangscontrole en communicatiesystemen.

De kwetsbaarheden kunnen op verschillende manieren worden misbruikt. Een van de voornaamste methoden is door onvoldoende controle op invoer, waardoor kwaadwillenden met netwerktoegang commando's kunnen uitvoeren op het kwetsbare apparaat. In sommige gevallen zijn hiervoor geen speciale rechten vereist. Daarnaast maken bepaalde kwetsbaarheden het mogelijk om bestaande beveiligingsmaatregelen te omzeilen, waardoor aanvallers ongeautoriseerde toegang kunnen krijgen tot beheerfuncties. Er is ook een kwetsbaarheid geïdentificeerd die een aanvaller met lage rechten in staat stelt om deze rechten te verhogen, wat resulteert in meer controle over het systeem. Dergelijke exploits kunnen leiden tot volledige controle over het systeem en het uitvoeren van ongewenste acties.

De mogelijke gevolgen van het niet verhelpen van deze kwetsbaarheden zijn aanzienlijk. Als aanvallers erin slagen de netwerkapparaten over te nemen, kunnen zij vertrouwelijke gegevens inzien of aanpassen, en de werking van het gehele netwerk ernstig verstoren. Dit kan resulteren in datalekken, verlies van controle over cruciale beveiligingssystemen en aanzienlijke schade voor de getroffen organisatie.

Om deze risico's te mitigeren, heeft Ubiquiti beveiligingsupdates uitgebracht. Het NCSC benadrukt het belang van een onmiddellijke installatie van deze updates. Organisaties die niet zeker zijn of zij een kwetsbare versie gebruiken, wordt geadviseerd contact op te nemen met hun IT-dienstverlener. Deze kan ondersteuning bieden bij het uitvoeren van de updates en het controleren van de systemen op potentiële compromittering.

Bron: NCSC

Microsoft heeft recentelijk meerdere kwetsbaarheden verholpen in diverse van zijn populaire producten, waaronder Office, OneDrive, Azure SQL Managed Instance en Teams. Hoewel een deel van deze beveiligingslekken reeds centraal door Microsoft is gedicht, vereisen andere kwetsbaarheden nog actie van gebruikers en beheerders om systemen te beveiligen tegen potentieel misbruik. Een kwaadwillende kan deze kwetsbaarheden exploiteren door slachtoffers te misleiden een malafide bestand te openen of een kwaadaardige link te volgen.

Onder de recent verholpen kwetsbaarheden bevindt zich CVE-2026-65667, die een CVSS score van 10.0 heeft. Daarnaast zijn CVE-2026-50515, CVE-2026-62896 en CVE-2026-70332 verholpen, elk met een CVSS score van 9 of hoger. Voor deze ernstige kwetsbaarheden zijn, volgens Microsoft, geen aanvullende acties van gebruikers vereist, aangezien de fixes centraal zijn uitgerold.

Echter, de kwetsbaarheid met kenmerk CVE-2026-70306, eveneens met een CVSS score van boven de 9, vereist wel directe actie. Dit lek bevindt zich in Microsoft SharePoint en maakt Cross-site-scripting (XSS) aanvallen mogelijk, waarbij een aanvaller willekeurige code kan uitvoeren in de context van een slachtoffer. Organisaties die SharePoint gebruiken, dienen deze kwetsbaarheid proactief te patchen.

Verder is er een belangrijke update betreffende CVE-2026-63520, eveneens in SharePoint. Onderzoekers hebben waargenomen dat deze kwetsbaarheid actief wordt misbruikt. Dit lek stelt een kwaadwillende in staat om willekeurige code uit te voeren op het kwetsbare systeem. SharePoint installaties die publiekelijk toegankelijk zijn, lopen hierdoor een bijzonder hoog risico op actieve exploitatie en dienen met de hoogste prioriteit te worden beveiligd.

De reeks updates omvat ook kwetsbaarheden in andere Microsoft producten. In Microsoft OneDrive is CVE-2026-65680 verholpen, wat kan leiden tot het verkrijgen van verhoogde rechten (CVSS 6.70). Azure SQL Managed Instance bevatte CVE-2026-62836, eveneens met een risico op privilege-escalatie (CVSS 8.70). Microsoft Teams voor Android had twee kritieke kwetsbaarheden (CVE-2026-65768 en CVE-2026-65767, beide CVSS 8.80), die respectievelijk het uitvoeren van willekeurige code en het zich voordoen als een andere gebruiker mogelijk maakten.

Microsoft Teams kende kwetsbaarheden zoals CVE-2026-62896 (CVSS 9.60, Verkrijgen van verhoogde rechten), CVE-2026-62918 (CVSS 7.50, Voordoen als andere gebruiker) en CVE-2026-65667 (CVSS 10.0, Verkrijgen van verhoogde rechten). Microsoft Office Word en de algemene Office suite kenden een groot aantal kwetsbaarheden, variërend in impact van het uitvoeren van willekeurige code tot het verkrijgen van toegang tot gevoelige gegevens. De CVSS scores voor deze Office-gerelateerde kwetsbaarheden variëren van 5.50 tot 8.80, waaronder CVE-2026-68792 in de algemene Office suite die kan leiden tot privilege-escalatie (CVSS 7.80).

Organisaties en individuele gebruikers worden dringend geadviseerd de betreffende updates te installeren, met name voor SharePoint installaties, om zich te beschermen tegen de beschreven dreigingen.

Bron: NCSC

Apache heeft een reeks kwetsbaarheden verholpen die aanwezig waren in Apache CloudStack, specifiek in versies variërend van 4.12.0.0 tot en met 4.22.1.0. Deze kwetsbaarheden bestrijken een breed scala aan beveiligingsproblemen, die zowel de kernfunctionaliteiten als diverse plugins en API's van het cloudbeheerplatform beïnvloeden.

Een van de gedetecteerde problemen is een OS Command Injection binnen de NAS backup provider plugin. Daarnaast zijn er meerdere gevallen van Server-Side Request Forgery (SSRF) geïdentificeerd, onder andere in de metalink mirror URL resolutie en de webhook-modules. Deze SSRF-kwetsbaarheden kunnen aanvallers in staat stellen om verzoeken te initiëren vanaf de server naar interne of externe bronnen die normaal niet toegankelijk zouden zijn.

Verder zijn er diverse tekortkomingen in toegangscontrole geconstateerd. Dit omvat onvoldoende toegangscontrole in API's gerelateerd aan userdata, evenals in de authenticatieplugins voor OAuth en LDAP. Een ander probleem betreft incorrect privilegebeheer in de two-factor authentication plugin, wat kan leiden tot ongewenste escalatie van rechten.

De gebruikersinterface van Apache CloudStack bleek eveneens kwetsbaar te zijn, met problemen gerelateerd aan onjuiste encoding of escaping. Bovendien is er een command injection-kwetsbaarheid gevonden in de diagnostics APIs. Ook zijn er problemen met onjuiste toegangscontrole in de Kubernetes Service plugin en de annotation APIs. Een ernstige kwetsbaarheid in de SAML certificaatvalidatie maakt het bovendien mogelijk om authenticatie te omzeilen, wat een directe bedreiging vormt voor de integriteit van gebruikerssessies.

De impact van deze kwetsbaarheden is aanzienlijk. Geauthenticeerde gebruikers kunnen door sommige van deze lekken root- of administratieve commando's uitvoeren op KVM hypervisor hosts, systeem virtual machines en virtual routers. Dit kan leiden tot volledige compromittering van de onderliggende infrastructuur. Daarnaast kan ongeautoriseerde toegang tot gevoelige informatie en tenant data worden verkregen. Specifiek is er ook een kwetsbaarheid in de listHostTags API die domeinrestricties kan omzeilen, en een probleem in het beheer van projectrollen door domeinbeheerders, wat de segmentatie en isolatie binnen de cloudomgeving kan ondermijnen.

Deze reeks van kritieke kwetsbaarheden, die meerdere opeenvolgende versies van Apache CloudStack betreffen, benadrukt het belang van tijdige updates en patchbeheer voor organisaties die gebruikmaken van dit platform.

Bron: NCSC

Op 28 augustus 2026 heeft softwaregigant Adobe een reeks belangrijke beveiligingsupdates uitgebracht om meerdere kritieke kwetsbaarheden in hun Adobe Campaign Classic-software te adresseren. Deze lekken, die zonder enige gebruikersinteractie kunnen worden misbruikt, vormen een aanzienlijk risico voor de veiligheid en operationele integriteit van systemen die deze marketingautomatiseringstool gebruiken.

Een van de voornaamste problemen die zijn verholpen, betreft een Server-Side Request Forgery (SSRF)-kwetsbaarheid. Deze specifieke zwakte stelt een kwaadwillende aanvaller in staat om het gedrag van de server te manipuleren door deze onbedoelde verzoeken te laten uitvoeren. Dit kan in de context van Adobe Campaign Classic leiden tot de uitvoering van willekeurige code. Het feit dat een succesvolle exploit geen actieve interactie van een legitieme gebruiker vereist, maakt deze kwetsbaarheid bijzonder gevaarlijk, omdat aanvallers deze relatief eenvoudig kunnen misbruiken om toegang te krijgen of schadelijke acties uit te voeren op de server.

Daarnaast heeft Adobe ook maatregelen genomen tegen meerdere OS Command Injection-kwetsbaarheden. Deze lekken maken het mogelijk voor een aanvaller om via de applicatie direct commando's in te voegen en uit te voeren op het onderliggende besturingssysteem. Deze commando's worden uitgevoerd met de privileges van de gebruiker die de Adobe Campaign Classic-applicatie draait. Afhankelijk van het niveau van deze privileges, kan een succesvolle command-injectie variëren van het verkrijgen van beperkte toegang tot een volledige compromittering van het systeem. Ook hier is geen tussenkomst van een gebruiker nodig om de aanval uit te voeren, wat de potentiële impact verhoogt.

De combinatie van deze ernstige kwetsbaarheden benadrukt de noodzaak voor snelle actie. Organisaties en beheerders die Adobe Campaign Classic in hun infrastructuur hebben geïmplementeerd, worden met klem geadviseerd om de door Adobe uitgebrachte updates onmiddellijk toe te passen. Het negeren van deze patches kan leiden tot onbevoegde toegang, data-integriteitsverlies of zelfs de volledige overname van systemen, afhankelijk van de configuratie en de rechten die aan de software zijn toegekend.

Bron: NCSC

Beveiligingsonderzoeker Olivier Laflamme heeft twee onafhankelijke kwetsbaarheden onthuld die leiden tot root Remote Code Execution (RCE) in de humanoïde robots van Unitree G1 EDU. Eén van de kwetsbaarheden maakt het mogelijk om root-toegang te verkrijgen via een Bluetooth Low Energy (BLE) pad op de Locomotion PC van de robot.

De kwetsbaarheden zijn geïdentificeerd als CVE-2026-76639 en CVE-2026-76640. CVE-2026-76639 betreft een pad dat netwerk-aangrenzend is en misbruik maakt van chat_go en bashrunner. CVE-2026-76640 begint met nabijheid via BLE. Unitree heeft nog geen exacte firmware-release geverifieerd waarin deze problemen zijn opgelost, waardoor eigenaren van de G1 EDU robots momenteel geen bevestigde oplossing hebben voor deze kwetsbaarheden.

Laflamme publiceerde zijn onderzoek op 27 augustus 2026, waarin hij de twee problemen beschreef als afzonderlijke paden naar root RCE. Hoewel Laflamme zijn testrobot heeft geüpgraded naar V1.5.2, is niet vastgesteld dat V1.5.1.1 ook is getroffen. In juli 2026 heeft Unitree de controle op het eigendom van de robot via het cloudaccount gepatcht. Vanaf de openbaarmaking op 27 augustus vereist de huidige cloud-ondersteunde route een account dat is gekoppeld aan de doel-G1 robot of reeds aanwezig sleutelmateriaal.

Volgens de technische openbaarmaking van Laflamme maakt CVE-2026-76639 gebruik van een path-traversal conditie in chat_go om bashrunner te bereiken. De uitvoering via bashrunner resulteert in root code-uitvoering op de Locomotion PC. Laflamme beschreef CVE-2026-76639 als een onafhankelijke RCE, hoewel hij deze hergebruikte als een primitieve bij het demonstreren van de afzonderlijke BLE-keten (CVE-2026-76640).

Voor CVE-2026-76640 accepteert het initiële BLE-schrijfpad de bootstrap-interactie zonder Bluetooth-koppeling. Het bootstrap-materiaal zelf blijft beschermd, en de latere Wi-Fi provisioning operaties vereisen de geauthenticeerde BLE-status van de applicatie. Tijdens Laflamme's onderzoek accepteerde de cloudservice van Unitree een geldig Unitree-account voor het verzoek om sleutelherstel, maar verifieerde niet dat het account de opgegeven robot bezat. Dit autorisatiegat stelde het account in staat om sleutelmateriaal te herstellen dat geassocieerd was met een andere G1 EDU. Dit herstelde sleutelmateriaal kon vervolgens worden gebruikt om de geauthenticeerde BLE-status tot stand te brengen die nodig is voor de Wi-Fi provisioning operaties. De keten bereikte vervolgens de Wi-Fi provisioning-code, waar Laflamme een bufferoverloop documenteerde die resulteerde in root uitvoering op de Locomotion PC.

Laflamme beperkte zijn propagatietest tot twee G1 robots in één kamer. Hij merkte op dat de cloud-autorisatiepatch de specifieke proof-of-concept stroom die hij demonstreerde, verbreekt. De officiële productpagina van Unitree onderscheidt de G1 en G1 EDU als afzonderlijke modellen. De bredere toepasbaarheid van de twee nieuwe kwetsbaarheden op andere Unitree robots blijft onbevestigd.

Bron: Olivier Laflamme

Cybersecuritybedrijf Hunt.io heeft gemeld dat een Filipijns nucleair onderzoeksinstituut is gehackt door misbruik te maken van een bekende kritieke kwetsbaarheid in eigen cloud-software (ownCloud). Bij de aanval zou in totaal negen gigabyte aan data zijn buitgemaakt.

De kwetsbaarheid, aangeduid als CVE-2023-49105, is kritiek en stelt ongeauthenticeerde aanvallers in staat om bestanden te stelen, aan te passen of te verwijderen. De enige voorwaarde hiervoor is dat de gebruikersnaam van het slachtoffer bekend is en dat er geen signing-key is ingesteld. ownCloud bracht in november 2023 beveiligingsupdates uit voor dit lek.

Hunt.io ontdekte begin augustus een server met een open directory die gestolen data van het Filipijnse nucleaire onderzoeksinstituut bevatte. Uit onderzoek bleek dat de aanvallers de ownCloud-kwetsbaarheid hadden benut om de gegevens te verkrijgen. Hoewel op basis van CSV-referenties wordt geschat dat negen gigabyte aan data is buitgemaakt, werd een groot deel hiervan niet op de ontdekte server aangetroffen.

De onderzoekers vonden wel diverse gevoelige gegevens op de server, waaronder informatie over kernmateriaal, een database met details over onderzoek naar kernreactoren, persoonlijke informatie van personeelsleden, strategische plannen, een BitLocker herstelsleutel opgeslagen als PDF, een lokale wachtwoordmanager-database en verschillende met AxCrypt versleutelde bestanden. De server waarop deze gegevens werden aangetroffen, was gelokaliseerd in Amsterdam.

Op basis van de aangetroffen scripts vermoeden de onderzoekers dat de aanval het werk is van een Chineestalige aanvaller. Het is onbekend wanneer de aanval precies heeft plaatsgevonden en hoe lang de aanvallers toegang hadden tot de systemen van het instituut.

Bron: Hunt.io

Microsoft heeft recentelijk meerdere kwetsbaarheden in Exchange Server aangepakt middels beveiligingsupdates. Deze lekken, die variëren in ernst, konden door kwaadwillenden worden misbruikt voor uiteenlopende kwaadaardige activiteiten. Zo was het mogelijk om een Denial of Service (DoS) aanval uit te voeren, waardoor de beschikbaarheid van de server en de daarop draaiende diensten werd verstoord. Ook konden aanvallers zich voordoen als andere gebruikers, wat leidt tot ongeautoriseerde toegang tot accounts en informatie. Verder maakten de kwetsbaarheden het mogelijk voor aanvallers om zich verhoogde rechten toe te kennen binnen het systeem, wat hen potentiële volledige controle over de server kon geven. In het ergste geval konden de lekken leiden tot het uitvoeren van willekeurige code en het verkrijgen van toegang tot gevoelige gegevens die op de Exchange Server zijn opgeslagen.

Een specifieke kwetsbaarheid, aangeduid met kenmerk CVE-2026-62911, verdient extra aandacht. Voor dit beveiligingslek is recentelijk proof-of-concept code gepubliceerd. De beschikbaarheid van proof-of-concept code verlaagt de drempel voor potentiële aanvallers aanzienlijk, aangezien zij nu gemakkelijker de kwetsbaarheid kunnen reproduceren en exploiteren. Dit verhoogt de urgentie voor organisaties om de benodigde patches toe te passen.

De kritieke aard van CVE-2026-62911 ligt in het feit dat een ongeauthenticeerde kwaadwillende deze kan misbruiken om willekeurige code uit te voeren op de Exchange Server. Dit stelt aanvallers in staat om ongeoorloofd toegang te krijgen tot mailboxen van Exchange gebruikers, wat kan leiden tot datalekken van vertrouwelijke communicatie en informatie. Bovendien kan de exploitatie van deze kwetsbaarheid dienen als een initiële toegangspunt voor verdere, laterale bewegingen binnen het netwerk van het slachtoffer. Hierdoor kunnen aanvallers dieper doordringen in de infrastructuur en mogelijk andere kritieke systemen compromitteren. Gezien de wijdverspreide implementatie van Microsoft Exchange Server in veel organisaties, vormt de combinatie van de kwetsbaarheid, de proof-of-concept code en de potentiële impact een aanzienlijk risico dat onmiddellijke actie vereist.

Bron: NCSC

Een kwetsbaarheid met de hoogste ernstgraad in de GiveWP plugin voor WordPress stelt een niet-geauthenticeerde aanvaller in staat om willekeurige commando's uit te voeren op de hostingserver. Dit beveiligingsprobleem, geïdentificeerd als CVE-2026-82222, treft GiveWP versies tot en met 4.16.7.1. De kwetsbaarheid werd op 28 juli gerapporteerd door bugonderzoeker Udin Chan via het Patchstack vulnerability intelligence platform.

De GiveWP plugin, die meer dan 100.000 installaties kent, wordt gebruikt voor het verzamelen van donaties en het beheren van fondsenwervingscampagnes. Patchstack-onderzoekers leggen uit dat de exploitatie van de kwetsbaarheid mogelijk is door een keten van drie afzonderlijke problemen, namelijk een onveilige helper voor het deserialiseren van PHP-data, een donatieverwerkingsproces dat door aanvallers gecontroleerde geserialiseerde objecten opslaat, en een gadget-keten in bibliotheken die met de plugin zijn gebundeld en willekeurige systeemcommando's kunnen aanroepen.

Hoewel succesvolle exploitatie afhankelijk is van het hebben van een account op de doelsite, stelt Patchstack dat een blootgestelde niet-geauthenticeerde registratieactie het mogelijk maakt om een account aan te maken, zelfs als registratie is uitgeschakeld. GiveWP exposeert namelijk een niet-geauthenticeerde registratieactie (give_action=user_register) die de WordPress gebruikersregistratie-instelling (users_can_register) negeert. Dit betekent dat een aanvaller, zelfs op een site waar registratie is uitgeschakeld, een account kan creëren en een authenticatiecookie kan ontvangen, waarna de rest van de aanval in dezelfde volgorde kan worden uitgevoerd.

Na authenticatie kunnen aanvallers een kwaadaardig geserialiseerd object in hun profiel opslaan en dit injecteren in de sessiedatabase van de plugin door een speciaal geprepareerde donatie in te dienen. George Johnstone, cybersecurity-onderzoeker bij Patchstack, merkt op dat de server het gadget-object in wp_give_sessions schrijft voordat een HTTP 500-fout wordt geretourneerd. Door vervolgens een willekeurige frontendpagina op te vragen met de authenticatiecookie, deserialiseert de server het gadget en voert het de commando's van de aanvaller uit.

Versies 4.16.6 tot en met 4.16.7.1 blijven kwetsbaar, hoewel exploitatie vereist dat de site een ouder donatieformulier zonder 'formBuilderSettings' bevat. Patchstack merkt op dat dergelijke omstandigheden kunnen bestaan in geüpgrade installaties, sites die de op opties gebaseerde formuliereditor van de plugin gebruiken, of bij het importeren of herstellen van oudere formulieren.

GiveWP heeft de kwetsbaarheid op 27 augustus verholpen in versie 4.16.7.2 door geserialiseerde data te blokkeren tijdens het donatieverwerkingsproces en de aanmaak van objecten bij verschillende deserialisatiepunten te beperken. Bovendien verwijdert de beveiligingsupdate reeds opgeslagen geserialiseerde object-payloads uit getroffen databases. Patchstack merkt echter op dat de registratieactie van GiveWP nog steeds de WordPress-gebruikersregistratie-instellingen niet respecteert, maar dit probleem is niet langer exploiteerbaar voor code-executie. Websitebeheerders die GiveWP gebruiken, worden dringend geadviseerd de beveiligingsupdates zo snel mogelijk toe te passen om kwaadaardige exploitatie van CVE-2026-82222 te voorkomen. De GiveWP plugin werd vorig jaar ook al misbruikt om Pi-hole, een populaire netwerkbrede advertentieblokker, indirect te compromitteren, waarbij de namen en e-mailadressen van 30.000 donoren werden blootgelegd.

Bron: Patchstack

Het Centre for Cybersecurity Belgium (CCB) heeft een dringende waarschuwing uitgegeven over meerdere kritieke kwetsbaarheden in het WatchGuard Fireware OS en WatchGuard Dimension. Deze kwetsbaarheden, die allemaal een CVSS:4.0-score van 9.3 dragen, vormen een aanzienlijk risico voor de beveiliging van netwerken en vereisen onmiddellijke patching. WatchGuard Fireware OS wordt gebruikt in cruciale internet edge-apparaten zoals firewalls, die een vitale functie hebben in het beschermen van netwerken tegen kwaadaardig verkeer.

De kwetsbaarheden zijn geïdentificeerd met de CVE-nummers CVE-2026-19313, CVE-2026-19318, CVE-2026-13086, CVE-2026-19315 en CVE-2026-78174. Ze treffen Fireware OS (versies 2025.0 en 12.0) en WatchGuard Dimension (versie 2.0). Aanvallers kunnen deze kwetsbaarheden misbruiken om initiële toegang tot een bedrijfsnetwerk te verkrijgen, wat een hoge impact heeft op de vertrouwelijkheid, integriteit en beschikbaarheid van de getroffen systemen.

Specifieke technische details van de kwetsbaarheden zijn als volgt:

*   **CVE-2026-19313**: Een heap-based buffer overflow kwetsbaarheid in het iked-proces van WatchGuard Fireware OS. Deze kwetsbaarheid stelt externe, niet-geauthenticeerde aanvallers in staat om willekeurige code uit te voeren door speciaal geprepareerd netwerkverkeer te verzenden.

*   **CVE-2026-19318**: Een stack-based buffer overflow kwetsbaarheid, eveneens in het iked-proces van WatchGuard Fireware OS. Net als bij CVE-2026-19313 kunnen externe, niet-geauthenticeerde aanvallers hiermee willekeurige code uitvoeren door middel van gespecialiseerd netwerkverkeer.

*   **CVE-2026-13086**: Deze stack-based buffer overflow bevindt zich in de epm-service, die wordt gebruikt door de verouderde Mobile Security-functionaliteit in WatchGuard Fireware OS. Externe, niet-geauthenticeerde aanvallers kunnen ook via dit lek willekeurige code uitvoeren.

*   **CVE-2026-19315**: Een type confusion kwetsbaarheid in het iked-proces van WatchGuard Fireware OS. Dit stelt een externe, niet-geauthenticeerde aanvaller in staat willekeurige code uit te voeren door speciaal geprepareerd netwerkverkeer.

*   **CVE-2026-78174**: Deze kwetsbaarheid betreft WatchGuard Dimension. Het systeem logt niet-geredigeerde sessie-ID's voor ingelogde gebruikers in de diagnostische logbestanden van de web-gebruikersinterface. Dit stelt beheerders met lage privileges in staat deze logbestanden op te halen en sessietokens van beheerders met hogere privileges te extraheren, wat kan leiden tot een accountovername. Deze kwetsbaarheid heeft een hoge impact op de vertrouwelijkheid en integriteit van het systeem.

Het CCB benadrukt dat deze kwetsbaarheden dringend moeten worden verholpen. Organisaties wordt sterk aanbevolen om updates voor kwetsbare apparaten met de hoogste prioriteit te installeren, na grondige tests. Daarnaast adviseert het CCB organisaties om hun monitoring- en detectiemogelijkheden op te schalen om verdachte activiteiten te identificeren en een snelle respons te garanderen in geval van een inbraak. Hoewel het patchen van apparatuur of software naar de nieuwste versie bescherming biedt tegen toekomstige exploitatie, herstelt het geen historische compromittering. Het CCB biedt ook een meldpunt voor incidenten via hun website.

Bron: Centre for Cybersecurity Belgium (CCB)

Meer dan 8.300 Gitea-instanties die via het internet toegankelijk zijn, zijn nog steeds niet gepatcht tegen een kritieke beveiligingsfout. Deze kwetsbaarheid wordt actief misbruikt in lopende aanvallen voor uitvoering van code op afstand, zo waarschuwt cybersecuritywaakhond Shadowserver.

De kwetsbaarheid voor code-injectie, aangeduid als CVE-2026-60004, werd gemeld door Salesforce-beveiligingsonderzoeker Shai Rod. Deze kwetsbaarheid stelt geauthenticeerde aanvallers in staat om willekeurige shell-commando's uit te voeren met de privileges van het Gitea-serviceaccount. Dit gebeurt door kwaadaardige patches in te dienen via het diffpatch API-eindpunt.

Hoewel succesvolle exploitatie doorgaans schrijftoegang tot repositories op kwetsbare servers vereist, is zelfregistratie in Gitea standaard ingeschakeld. Dit betekent dat niet-geauthenticeerde aanvallers een account kunnen registreren, een nieuwe repository kunnen aanmaken en de kwetsbaarheid kunnen triggeren zonder voorafgaande inloggegevens. Het Gitea-beveiligingsteam legt uit dat het diffpatch-eindpunt misbruikt kan worden om een Git-hook te installeren en uit te voeren vanuit repository-gecontroleerde inhoud. Hierdoor kan een aanvaller met schrijfrechten willekeurige shell-commando's uitvoeren als de Gitea OS-gebruiker.

Gitea heeft op 27 juli versie 1.27.1 uitgebracht om CVE-2026-60004 aan te pakken en adviseerde gebruikers hun servers zo snel mogelijk te upgraden. Desondanks waarschuwde Shadowserver op vrijdag dat bijna 8.400 online Gitea-servers nog steeds onbeveiligd zijn en kwetsbaar blijven voor de aanhoudende aanvallen. Op 27 augustus werden 8.393 kwetsbare IP-adressen geïdentificeerd.

De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft de kwetsbaarheid op dinsdag ook toegevoegd aan haar catalogus van actief uitgebuitte kwetsbaarheden. CISA heeft federale civiele uitvoerende tak (FCEB) agentschappen bevolen hun servers binnen drie dagen, uiterlijk 28 augustus, te patchen. Deze maatregel werd waarschijnlijk ingegeven door meldingen van actieve exploitatie, waarbij aanvallers cryptocurrency mining malware implementeren op niet-gepatchte Gitea-servers. CISA waarschuwde dat dit type kwetsbaarheid een veelvoorkomende aanvalsvector is voor kwaadwillende cyberactoren en aanzienlijke risico's vormt voor de federale overheid.

In juli werden dreigingsactoren ook al waargenomen bij het misbruiken van een andere kritieke kwetsbaarheid, CVE-2026-20896, in de officiële Gitea Docker-image. Dit betrof een authenticatie-bypass-fout die Gitea-instanties trof met omgekeerde proxy-authenticatieheaders ingeschakeld. Gitea fungeert als een zelf-gehost alternatief voor cloud-gehoste platforms zoals GitHub, GitLab en Bitbucket, en heeft meer dan 400.000 installaties wereldwijd.

Bron: Shadowserver

Wibu-Systems heeft recentelijk een reeks kwetsbaarheden verholpen die aanwezig waren in hun CodeMeter Runtime software. Deze beveiligingslekken, die verschillende componenten van de runtime betreffen, zijn specifiek aangetroffen in versies ouder dan 8.41a en 9.10. De aard van de kwetsbaarheden varieert van lokale privilege-escalatie tot ongeautoriseerde toegang op afstand en mogelijke informatielekken.

Een van de belangrijkste problemen is gerelateerd aan de onjuiste verificatie van NTFS reparse points. Een lokale aanvaller kan hiervan misbruik maken wanneer het cmu.exe-proces tijdelijke bestanden aanmaakt. Door deze fout kunnen willekeurige systeembestanden met System-privileges worden verwijderd, wat resulteert in een lokale privilege-escalatie. Dit betekent dat een aanvaller met beperkte toegang tot een systeem zijn rechten aanzienlijk kan uitbreiden.

Daarnaast is er een fout ontdekt in de configuratie command handler, waardoor netwerkrestricties niet correct worden afgedwongen. Dit lek stelt een aanvaller op afstand in staat om ongeautoriseerde toegang te verkrijgen tot gevoelige configuratiegegevens. Bovendien kan de aanvaller via deze weg controle krijgen over de WebAdmin interface van CodeMeter Runtime, wat een aanzienlijk risico vormt voor de integriteit en beschikbaarheid van het systeem.

Een derde kwetsbaarheid betreft een input sanitization probleem in de logger module. Dit maakt het mogelijk om format specifiers te injecteren, wat kan leiden tot systeemcrashes en potentieel informatielekken. Dit risico bestaat zowel lokaal als op afstand en wordt bijzonder kritiek wanneer het wordt gecombineerd met de kwetsbaarheid die bekendstaat als CVE-2026-81573.

Verder is er een gebrek aan correcte bounds checking op de data length bij opcode 0x5e requests. Dit kan resulteren in een segmentation fault, wat de stabiliteit van de servercomponent van CodeMeter Runtime ernstig kan beïnvloeden en tot onverwachte uitval kan leiden.

Tot slot maakt het systeem gebruik van een zwakke SID (Security Identifier) voor authenticatie. Deze zwakke implementatie opent de deur voor brute-force aanvallen, waarmee aanvallers toegang kunnen forceren tot sessiehandles. Eenmaal binnen kunnen zij licentie-informatie van andere actieve sessies inzien, wat de vertrouwelijkheid van gevoelige gegevens in gevaar brengt.

Gebruikers van CodeMeter Runtime worden dringend geadviseerd om hun software te updaten naar de nieuwste versies om deze kwetsbaarheden te mitigeren en hun systemen te beveiligen tegen potentiële aanvallen.

Bron: NCSC

cPanel heeft patches uitgebracht voor een kritieke beveiligingsfout die de functionaliteit voor het parkeren van domeinen en het toevoegen van extra domeinen in cPanel en WebHost Manager (WHM) beïnvloedt. Deze kwetsbaarheid, aangeduid met CVE-2026-65643, kan leiden tot code-uitvoering als de root-gebruiker. Alle ondersteunde versies van cPanel & WHM zijn getroffen.

Volgens cPanel stelt het probleem een geauthenticeerde accountbeheerder die geparkeerde of extra domeinen kan toevoegen in staat om willekeurige bestanden op de server aan te maken. Een succesvolle exploitatie hiervan resulteert in code-uitvoering met root-rechten, waardoor een aanvaller volledige controle over de server krijgt.

cPanel heeft de volgende gepatchte versies uitgebracht:

*   11.110.0.141 of nieuwer

*   11.138.1.7 of nieuwer (voor WP Squared)

De melding vermeldt WP Squared, maar niet DNSOnly. Eerder in juli werden al drie afzonderlijke kwetsbaarheden in cPanel gepatcht, waarbij de gefixeerde builds de 11.118 en 11.126 takken omvatten. De lijst van 27 augustus omvat de 110, 134, 136 en 138 takken, en cPanel heeft niet gespecificeerd of 11.118 en 11.126 nog worden ondersteund. In een eerder advies over een Exim-fout gaf cPanel aan dat privilege-escalatie vanuit Team User sub-accounts mogelijk was, maar de meest recente melding specificeert niet of dit ook van toepassing is op de nieuwe kwetsbaarheid wanneer Team User sub-accounts rechten hebben voor geparkeerde en extra domeinen.

Servers die zijn geconfigureerd voor automatische dagelijkse updates ontvangen de gepatchte build automatisch. Beheerders kunnen de update ook handmatig toepassen door in te loggen op de server als root en het commando `/scripts/upcp --force` uit te voeren. Een andere methode is via WHM onder Home > cPanel > Upgrade to Latest Version, waarna de geïnstalleerde build kan worden geverifieerd onder Server Configuration > Update Preferences. Servers die een end-of-life versie draaien, moeten eerst upgraden naar een ondersteunde versie om de fix te ontvangen.

De klantmelding bevat geen CVSS-score, en op 28 augustus 2026 was er nog geen openbare registratie voor CVE-2026-65643 in de CVE Program-database. Er zijn geen concrete aanwijzingen dat de kwetsbaarheid reeds is misbruikt, en deze staat niet in de Known Exploited Vulnerabilities (KEV) catalogus van het U.S. Cybersecurity and Infrastructure Security Agency (CISA) per 27 augustus 2026. De CISA-catalogus bevat wel twee andere cPanel-plugin kwetsbaarheden: CVE-2026-48172 (een privilege-escalatie in de LiteSpeed cPanel plugin, toegevoegd op 26 mei 2026) en CVE-2026-54420 (een symlink-following fout in dezelfde plugin, toegevoegd op 15 juni 2026). Ook CVE-2026-41940, een authenticatie-bypass die in april werd gepatcht, staat in de KEV-catalogus vanwege bekend misbruik in ransomware-campagnes.

cPanel heeft geen tussentijdse mitigatie of methode om te controleren op eerdere compromittering verstrekt. Eerdere adviezen, zoals die over Phusion Passenger, bevatten wel instructies om het Apache error log te controleren op tekenen van exploitatie. Het probleem met Phusion Passenger trof overigens alleen servers waar een kwetsbaar Passenger-pakket was geïnstalleerd en niet standaardinstallaties. Plesk, dat samen met cPanel wordt ontwikkeld door WebPros, heeft op 14 augustus 2026 een eigen advies voor een vergelijkbare kwetsbaarheid bijgewerkt met een checklist voor het opsporen van eerdere compromittering, beginnend met onverwachte vermeldingen in `/etc/ld.so.preload`. Phusion heeft op 18 augustus 2026 een fix uitgebracht voor een Watchdog API-fout in Passenger 6.2.0, die actief is misbruikt bij een shared hosting provider.

Bron: cPanel

De U.S. Cybersecurity and Infrastructure Security Agency (CISA) heeft zes kwetsbaarheden toegevoegd aan haar 'Known Exploited Vulnerabilities' (KEV) catalogus. Deze catalogus bevat beveiligingslekken waarvan bekend is dat ze actief worden misbruikt door kwaadwillenden, en waarvoor Amerikaanse federale civiele uitvoerende tak (FCEB) agentschappen verplicht zijn om ze binnen vastgestelde termijnen te patchen. De toevoeging van deze kwetsbaarheden onderstreept de urgentie voor organisaties om hun systemen proactief te beveiligen.

De toegevoegde kwetsbaarheden omvatten:

*   **CVE-2015-3246:** Een race condition in Red Hat Libuser die een geauthenticeerde lokale gebruiker in staat stelt `/etc/passwd` te corrumperen, wat kan leiden tot een denial-of-service (DoS) of escalatie van privileges.

*   **CVE-2015-5287:** Een privilege-escalatie kwetsbaarheid in Red Hat Automatic Bug Reporting Tool (ABRT), waarmee lokale gebruikers met specifieke machtigingen via een symlink-aanval op een voorspelbaar bestand hogere privileges kunnen verkrijgen.

*   **CVE-2019-1068:** Een remote code execution (RCE) kwetsbaarheid in Microsoft SQL Server, waarmee een aanvaller code kan uitvoeren in de context van het serviceaccount van de SQL Server Database Engine.

*   **CVE-2021-23758:** Een deserialisatie van onbetrouwbare data kwetsbaarheid in Ajax.NET Professional, die remote code execution mogelijk maakt via willekeurige .NET-klassen. Een CVSS-score voor deze kwetsbaarheid is niet gespecificeerd in de KEV-catalogus.

*   **CVE-2022-0995:** Een out-of-bounds write kwetsbaarheid in de Linux Kernel, die een lokale gebruiker in staat stelt geprivilegieerde toegang te verkrijgen of een denial-of-service op het systeem te veroorzaken. Ook voor deze kwetsbaarheid is geen CVSS-score vermeld.

*   **CVE-2026-8452:** Een kwetsbaarheid voor onjuiste beperking van bewerkingen binnen de grenzen van een geheugenbuffer in Citrix NetScaler ADC en NetScaler Gateway. Dit kan leiden tot een denial-of-service en is actief misbruikt in het wild. De CVSS-score voor deze kwetsbaarheid is eveneens niet gespecificeerd.

Volgens de 'Binding Operational Directive (BOD) 22-01: Reducing the Significant Risk of Known Exploited Vulnerabilities' moeten FCEB-agentschappen de geïdentificeerde kwetsbaarheden vóór de gestelde deadline verhelpen om hun netwerken te beschermen. CISA heeft federale agentschappen opgedragen om de kwetsbaarheden CVE-2019-1068 en CVE-2026-8452 uiterlijk 29 augustus 2026 te patchen. De overige kwetsbaarheden moeten vóór 9 september 2026 zijn aangepakt. Experts adviseren ook private organisaties om de KEV-catalogus te raadplegen en de kwetsbaarheden in hun infrastructuur te verhelpen.

Bron: CISA

Meerdere kritieke beveiligingslekken zijn onthuld in populaire WordPress plugins en thema's, waaronder WPMU DEV Dashboard, Avada, TranslatePress, Pods en GiveWP. Deze kwetsbaarheden kunnen leiden tot het omzeilen van authenticatie, overname van accounts en het uitvoeren van willekeurige code op getroffen websites.

Volgens onderzoek van Wordfence en Patchstack omvatten de kwetsbaarheden de volgende CVE's:

**CVE-2026-76581** (CVSS-score: 9.8): Dit is een authenticatie-bypass kwetsbaarheid in de WPMU DEV Dashboard plugin. Een niet-geauthenticeerde aanvaller kan, op websites die zijn verbonden met WPMU DEV waarbij Hub Single-Sign On (SSO) is ingeschakeld en gekoppeld aan een beheerder, administratorrechten verkrijgen en zo de website volledig overnemen. Deze kwetsbaarheid treft alle versies tot en met 5.0.1.

**CVE-2026-18431** (CVSS-score: 9.8): Een kwetsbaarheid voor het schrijven van willekeurige bestanden in het Avada thema voor WordPress. Dit stelt een niet-geauthenticeerde aanvaller in staat om door de aanvaller gecontroleerde bestanden naar de server te schrijven. Dit kan worden misbruikt om willekeurige PHP-bestanden aan te maken en uit te voeren, wat resulteert in remote code execution (RCE) en een volledige compromittering van de website. Alle versies tot en met 7.16 zijn getroffen, mits de Fusion Builder plugin is geïnstalleerd en actief in versies tot en met 3.16.

**CVE-2026-19632** (CVSS-score: 9.8): Dit betreft een kwetsbaarheid voor blootstelling van gevoelige informatie in de plugin "TranslatePress - Translate Multilingual sites with AI Translation". Een niet-geauthenticeerde aanvaller kan de ruwe URL voor het resetten van het administratorwachtwoord extraheren, inclusief de platte tekst van de resetcode en inlogparameters. Dit maakt volledige overname van het administratoraccount mogelijk. Alle versies tot en met 3.3.1 zijn kwetsbaar, maar alleen als automatische tekenreeksopslag is ingeschakeld en de profiellocale van de doelbeheerder is ingesteld op een gepubliceerde secundaire taal.

**CVE-2026-19598** (CVSS-score: 9.8): Een privilege-escalatie kwetsbaarheid in de plugin "Pods - Custom Content Types and Fields". Deze kwetsbaarheid maakt het voor een niet-geauthenticeerde aanvaller mogelijk om diens privileges te escaleren naar Administrator of om het wachtwoord van elk gebruikersaccount, inclusief dat van de website-eigenaar, te overschrijven. Dit kan leiden tot een volledige overname van de website. Alle versies tot en met 3.3.9 zijn getroffen.

**CVE-2026-82222** (CVSS-score: 10.0): Een kwetsbaarheid in de GiveWP plugin die een aanvaller in staat stelt willekeurige commando's uit te voeren op de server van een GiveWP website met ten minste één gepubliceerde donatieformulier en één actieve betaalgateway. Alle versies tot en met 4.16.7.1 zijn kwetsbaar.

Patchstack heeft over CVE-2026-82222 opgemerkt dat het lek een gebroken 'safe unserialize'-helper combineert met een donatiestroom die aanvaller-gecontroleerde data aan deze helper voedt, en een gadget chain in de code die GiveWP levert. Deze casus toont aan hoe PHP object injection kan leiden tot remote code execution wanneer drie elementen samenkomen, namelijk een plek om een aanvaller-gecontroleerd geserialiseerd object op te slaan, code die het later deserialiseert, en een gadget chain in geladen klassen. De hoofdoorzaken liggen in het vertrouwen op een serialisatie-sanitizer die objecten niet daadwerkelijk stript, het deserialiseren van data die uit de database wordt gelezen alsof deze betrouwbaar is, en het meeleveren van alleen voor ontwikkeling bedoelde bibliotheken in een productieomgeving, waar ze kant-en-klare gadget chains bieden.

Bron: Wordfence