Vandaag vijf ontwikkelingen die om actie vragen van IT-beheerders en MSP’s – twee daarvan raken de RMM-tools die MSP’s zelf gebruiken om klantomgevingen te beheren. CISA voegde deze week zowel ConnectWise ScreenConnect als N-able N-central toe aan de lijst van actief misbruikte kwetsbaarheden, na respectievelijk een wormachtige verspreidingscampagne en een pre-authenticatie remote code execution. Daarnaast waarschuwt Acronis voor misbruik van zijn back-upplugin voor cPanel en Plesk, storten ransomwaregroepen zich op een kritiek VMware vCenter-lek, en jaagt een scancampagne op verkeerd geconfigureerde Vite-ontwikkelservers.
- Wormachtige aanvallen via kritiek lek in ConnectWise ScreenConnect
- Actief misbruikte pre-auth RCE in N-able N-central
- Actief misbruikte kwetsbaarheid in Acronis back-upplugin voor cPanel en Plesk
- Ransomwaregroepen storten zich op kritiek VMware vCenter-lek
- Scancampagne buit verkeerd geconfigureerde Vite-ontwikkelservers uit
Wormachtige aanvallen via kritiek lek in ConnectWise ScreenConnect
| Kwetsbaarheid | Ontbrekende autorisatie waardoor bestanden ongeautoriseerd via een actieve remote-sessie kunnen worden overgezet en uitgevoerd – ConnectWise ScreenConnect client |
| CVE-nummer | CVE-2026-84869 |
| CVSS-score | 9,9 |
| Actief misbruikt | Ja, in een wormachtige campagne sinds 20 augustus |
| Patch beschikbaar | Ja, versie 26.6.5 |
Hoe wordt de kwetsbaarheid misbruikt?
Aanvallers overtuigen slachtoffers via social engineering om een aangepaste, kwaadaardige ScreenConnect-client te installeren. Die client speurt actieve remote-sessies op en pusht automatisch, zonder toestemming, VBScript-payloads naar de systemen aan de andere kant van die sessies. Vier verschillende scripts zorgen daarbij voor persistentie en verspreiden de aanval verder naar andere gekoppelde ScreenConnect-instanties – vandaar de vergelijking met een worm. ConnectWise bevestigt dat de campagne al sinds eind augustus loopt; CISA nam het lek deze week op in de Known Exploited Vulnerabilities-catalogus.
Wat kan het gevolg zijn?
ScreenConnect is bij uitstek het type tool waarmee MSP’s op afstand bij tientallen tot honderden klantomgevingen kunnen komen. Eenmaal binnen op één endpoint kan een aanvaller zich via precies diezelfde legitieme remote-toegangsinfrastructuur verder verspreiden naar andere klanten – een schoolvoorbeeld van een supply-chain-risico waarbij het vertrouwen dat klanten in hun MSP stellen, tegen die MSP wordt gebruikt.
Wat moeten IT-beheerders nu doen?
Update ScreenConnect-clients en -servers per direct naar versie 26.6.5. Kan dat nog niet meteen overal, schakel dan als tijdelijke maatregel de TransferFiles-rechten uit om bestandsoverdracht binnen sessies te blokkeren. Controleer daarnaast actieve en recente sessies op onbekende of onverwachte bestandsoverdrachten, en wees alert op ScreenConnect-clients die niet via het eigen beheerkanaal zijn geïnstalleerd.
Actief misbruikte pre-auth RCE in N-able N-central
| Kwetsbaarheid | Statische code-injectie leidt tot ongeauthenticeerde remote code execution – N-able N-central (te combineren met authenticatie-omzeilingslekken CVE-2026-86206 en CVE-2026-86207) |
| CVE-nummer | CVE-2026-86218 |
| CVSS-score | 10,0 |
| Actief misbruikt | Ja |
| Patch beschikbaar | Ja, 2026.3 Hotfix 4 |
Hoe wordt de kwetsbaarheid misbruikt?
Een aanvaller heeft voor deze kwetsbaarheid geen inloggegevens nodig: via statische code-injectie kan willekeurige code op de N-central-server worden uitgevoerd, eventueel na het omzeilen van authenticatie via twee gerelateerde lekken. Onderzoekers van watchTowr bevestigden dat de kwetsbaarheid reproduceerbaar is, en Huntress trof al op 4 september een gecompromitteerde, volledig gepatchte productieomgeving aan – al is nog niet vastgesteld welk specifiek lek daarbij precies is gebruikt. N-able bevestigt zelf dat actief misbruik van CVE-2026-86218 is waargenomen.
Wat kan het gevolg zijn?
N-central is een RMM-platform waarmee MSP’s op grote schaal apparaten bij klanten beheren en updaten. Zoals watchTowr het verwoordt: wie N-central overneemt, krijgt daarmee toegang tot alle daaraan gekoppelde beheerde systemen. Dat maakt dit lek voor MSP’s en MSSP’s een van de meest kritieke van het jaar – het treft direct het beheerplatform waarop hun dienstverlening aan klanten steunt.
Wat moeten IT-beheerders nu doen?
Update N-central per direct naar 2026.3 Hotfix 4 of hoger. CISA gaf federale instanties tot 11 september de tijd om te patchen – die termijn is inmiddels verstreken, wat de urgentie onderstreept voor elke organisatie die N-central nog niet heeft bijgewerkt. Controleer ook na het patchen op tekenen van eerdere compromittering, aangezien misbruik al vóór de patch plaatsvond en een geüpdatete server geen garantie is dat er niet eerder is ingebroken.
Actief misbruikte kwetsbaarheid in Acronis back-upplugin voor cPanel en Plesk
| Kwetsbaarheid | Privilege escalation naar root op Linux – Acronis Backup voor cPanel & WHM en Acronis Backup voor Plesk |
| CVE-nummer | CVE-2026-87886 |
| CVSS-score | 7,8 |
| Actief misbruikt | Ja, in beperkte, gerichte aanvallen |
| Patch beschikbaar | Ja |
Hoe kan de kwetsbaarheid misbruikt worden?
Acronis ontdekte de fout in eigen onderzoek naar zijn back-upsoftware voor gedeelde hostingomgevingen. Een aanvaller met beperkte rechten op een Linux-server kan de kwetsbaarheid gebruiken om zijn rechten te verhogen, zonder dat daar interactie van een gebruiker voor nodig is. Acronis meldt dat misbruik in het wild is vastgesteld, al is die inschatting vooralsnog gebaseerd op de melding van één klant. Volledige technische details zijn bewust niet vrijgegeven, zodat beheerders de tijd krijgen om te patchen voordat aanvallers de exacte exploitatiemethode kennen.
Wat kan het gevolg zijn?
Back-upsoftware draait doorgaans met verhoogde rechten en heeft toegang tot alle klantdata op een gedeelde hostingserver. Een aanvaller die via deze route naar root escaleert, kan bij gevoelige gegevens van meerdere klanten tegelijk, systemen aanpassen of de dienstverlening verstoren – een scenario dat direct raakt aan de kern van wat MSP’s met shared hosting en back-updiensten aanbieden.
Wat moeten IT-beheerders nu doen?
Update Acronis Backup voor cPanel & WHM naar versie 1.9.3.1021 (1.9.3 HF3) of hoger, en Acronis Backup voor Plesk naar versie 1.8.11.638 (1.8.11) of hoger. Ga na op welke hostingservers deze plugins actief zijn en geef die update voorrang, ook als er nog geen concrete aanwijzingen voor misbruik bij die specifieke klant zijn.
Ransomwaregroepen storten zich op kritiek VMware vCenter-lek
| Kwetsbaarheid | Directory traversal in de Syslog-server, leidt tot ongeauthenticeerde remote code execution – VMware vCenter |
| CVE-nummer | CVE-2026-59310 (ook CVE-2026-59309, authenticatie-bypass in VMware Directory Service, gerepareerd in dezelfde advisory) |
| CVSS-score | 9,8 |
| Actief misbruikt | Ja, inmiddels ook door meerdere ransomwaregroepen |
| Patch beschikbaar | Ja, sinds 29 juli |
Hoe kunnen de kwetsbaarheden misbruikt worden?
Broadcom repareerde het lek in vCenter (advisory VMSA-2026-0006) eind juli, maar sinds begin augustus zet een vermoedelijk aan China gelieerde dreigingsactor het actief in om willekeurige code uit te voeren op niet-gepatchte servers met alleen netwerktoegang – geen inloggegevens nodig. Onderzoekers troffen destijds al ruim 360 gecompromitteerde IP-adressen in 47 landen aan. CISA meldt dat de vermelding in de Known Exploited Vulnerabilities-catalogus deze week is bijgewerkt: naast die ene spionagegerichte actor blijken nu ook ransomwaregroepen de kwetsbaarheid te gebruiken.
Wat kan het gevolg zijn?
vCenter is het centrale beheerplatform voor VMware-virtualisatieomgevingen – wie dat overneemt, heeft in potentie controle over alle onderliggende virtuele machines. Waar de eerdere aanvallen vooral gericht leken op spionage en langdurige toegang, verschuift het risico met de komst van ransomwaregroepen naar directe versleuteling en afpersing op grote schaal. Volgens beveiligingsonderzoekers staan nog altijd honderden vCenter-servers wereldwijd rechtstreeks vanaf het internet bereikbaar.
Wat moeten IT-beheerders nu doen?
Controleer onmiddellijk of vCenter-omgevingen bij klanten zijn bijgewerkt naar de gepatchte versies (onder meer 8.0 U3k, of de bijbehorende updates voor VMware Cloud Foundation en vSphere Foundation 9.x). De federale patchdeadline van CISA (21 augustus) is al verstreken, wat aangeeft hoe urgent dit al gold vóórdat ransomwaregroepen instapten. Beperk daarnaast, waar mogelijk, netwerktoegang tot de vCenter-managementinterface tot vertrouwde IP-adressen – deze staat idealiter nooit rechtstreeks op het internet.
Scancampagne buit verkeerd geconfigureerde Vite-ontwikkelservers uit
| Kwetsbaarheid | Omzeiling van bestandstoegangscontrole (server.fs.deny) via queryparameters – Vite development server |
| CVE-nummer | CVE-2026-39364 |
| CVSS-score | 8,2 |
| Actief misbruikt | Ja, via grootschalige scanning |
| Patch beschikbaar | Ja, sinds april |
Hoe wordt de kwetsbaarheid misbruikt?
Vite is een veelgebruikte tool om webapplicaties te bouwen en te testen; de ingebouwde ontwikkelserver is bedoeld voor lokaal gebruik, maar wordt met de --host-vlag soms bewust of per ongeluk voor het internet opengezet. Aanvallers sturen verzoeken naar het /@fs/-endpoint met extra queryparameters zoals ?raw of ?import&url&inline, waarmee de blokkade van gevoelige bestanden (server.fs.deny) wordt omzeild. Onderzoekers van F5 Labs zagen een brede scancampagne, met verkeer vanuit onder meer de VS, België, Nederland, Singapore en Taiwan, die op zoek gaat naar precies deze opening.
Wat kan het gevolg zijn?
Via de omzeiling konden aanvallers omgevingsbestanden, AWS- en Azure-credentials, Terraform-statusbestanden en systeeminformatie zoals /etc/passwd uitlezen. Voor een IT-beheerder of ontwikkelteam betekent een blootgestelde ontwikkelserver dus al snel een directe route naar cloudinfrastructuur en de bijbehorende toegangssleutels – met alle gevolgen van dienst voor productieomgevingen die van diezelfde credentials gebruikmaken.
Wat moeten IT-beheerders nu doen?
De kwetsbaarheid is al in april verholpen in Vite 8.0.5 en 7.3.2; controleer of ontwikkel- en testomgevingen bij klanten of intern zijn bijgewerkt. Minstens zo belangrijk: ga na of Vite-ontwikkelservers ergens per ongeluk met --host voor het internet toegankelijk zijn gemaakt, en sluit die toegang af. Een ontwikkelserver hoort nooit rechtstreeks vanaf het internet bereikbaar te zijn, gepatcht of niet.
