Deze editie bundelt de ontwikkelingen van het afgelopen weekend met die van vandaag. Beveiligingsonderzoekers melden dat ransomwaregroep Warlock al twee maanden lang jaar oude “ToolShell”-kwetsbaarheden in on-premises Microsoft SharePoint misbruikt bij aanvallen op onder meer een waterbedrijf en een telecomprovider. Vandaag komt daar een kritieke kwetsbaarheid (CVSS 10,0) in backup-platform Ahsay AhsayCBS bij, een tool die veel MSP’s onder eigen label aan klanten aanbieden. Het weekend leverde daarnaast drie kritieke, voor zover bekend nog niet actief misbruikte kwetsbaarheden op: in Dell’s opslagplatforms Container Storage Modules (twee keer CVSS 10,0), in de AI Gateway van zelf-gehoste GitLab-omgevingen (CVSS 9,9) en in TeamViewer Full Client en Host (CVSS 8,8).
- Ransomwaregroep Warlock zet jaar oude SharePoint ToolShell-lekken in bij aanvallen op waterbedrijf en telecomprovider
- Kritieke kwetsbaarheden in backup-platform Ahsay AhsayCBS laten aanvaller zonder inloggegevens commando’s uitvoeren
- Zes kritieke kwetsbaarheden, twee met CVSS 10,0, in autorisatiemodule van Dell-opslagplatforms
- Kritieke sandbox-ontsnapping in GitLab AI Gateway laat gebruikers commando’s uitvoeren op zelf-gehoste servers
- TeamViewer verhelpt vijf kwetsbaarheden in Full Client en Host, ernstigste kan ingestelde permissies omzeilen
Ransomwaregroep Warlock zet jaar oude SharePoint ToolShell-lekken in bij aanvallen op waterbedrijf en telecomprovider
| Kwetsbaarheid | Keten van kwetsbaarheden in on-premises Microsoft SharePoint, gezamenlijk bekend als “ToolShell”: deserialisatie van onvertrouwde data leidt tot remote code execution, te combineren met een authenticatie-omzeiling waarmee geldige inloggegevens overbodig worden – Microsoft SharePoint Server Subscription Edition, SharePoint Server 2019 en SharePoint Enterprise Server 2016, uitsluitend on-premises (SharePoint Online is niet getroffen) |
| CVE-nummer | CVE-2025-53770 en CVE-2025-49704 (remote code execution), CVE-2025-53771 en CVE-2025-49706 (authenticatie-omzeiling) |
| CVSS-score | 9,8 (CVE-2025-53770) en 8,8 (CVE-2025-49704); de twee omzeilingslekken CVE-2025-53771 en CVE-2025-49706 scoren 6,3 |
| Actief misbruikt | Ja, door de ransomwaregroep Warlock (Storm-2603/Longlegs), volgens de onderzoekers al over een periode van twee maanden |
| Patch beschikbaar | Ja, al sinds juli 2025 (KB5002768 voor Subscription Edition, KB5002754 voor SharePoint 2019 en KB5002760 voor SharePoint 2016) |
Hoe wordt de kwetsbaarheid misbruikt?
De “ToolShell”-keten kwam voor het eerst naar buiten in juli 2025, toen aanvallers de kwetsbaarheden als zero-day tegen on-premises SharePoint-servers wereldwijd inzetten; Microsoft bracht destijds binnen enkele dagen noodpatches uit voor alle ondersteunde on-premises versies. Onderzoekers van Symantec en Carbon Black zagen Warlock, dezelfde groep die de oorspronkelijke ToolShell-golf destijds al gebruikte, de afgelopen twee maanden opnieuw dezelfde kwetsbaarheden inzetten tegen minimaal vier organisaties in Europa, Afrika en Latijns-Amerika. De aanvalsketen begint met het plaatsen van webshells op een kwetsbare SharePoint-server, gevolgd door het buitmaken van ASP.NET machine keys waarmee aanvallers zelf geldig ondertekende payloads kunnen aanmaken. Via DLL-sideloading en een zogeheten bring-your-own-vulnerable-driver-truc met de kwetsbare driver K7RKScan (CVE-2025-1055) schakelen ze vervolgens beveiligingssoftware uit, waarna ze Visual Studio Code Insiders als achtergronddienst installeren voor een tunnel naar buiten en met het tool NetExec het Active Directory in kaart brengen en inloggegevens buitmaken. Voor de daadwerkelijke uitrol verspreiden ze de ransomware via het SYSVOL-aandeel met behulp van een Group Policy, zodat die in één keer op veel systemen tegelijk terechtkomt. BleepingComputer meldt dat de aanvallers op die manier binnen twee uur beveiligingssoftware op veertig systemen uitschakelden en daarna op meer dan dertig systemen ransomware plaatsten.
Wat kan het gevolg zijn?
Meer dan een jaar na de eerste ToolShell-golf en de bijbehorende noodpatches laat deze campagne zien dat on-premises SharePoint-omgevingen die de patch van juli 2025 nooit kregen, of waarvan de destijds aangeraden rotatie van machine keys is overgeslagen, nog altijd een bruikbaar startpunt voor aanvallers vormen. Onder de getroffen organisaties zitten volgens The Hacker News een waterbedrijf en een telecomprovider, naast een regionaal overheidsorgaan en een universiteit – stuk voor stuk het soort organisatie waarvoor uitval direct maatschappelijke gevolgen kan hebben. Omdat de aanvallers bovendien met een kwetsbare driver bestaande beveiligingssoftware actief uitschakelen voordat de ransomware draait, biedt alleen een werkende EDR- of antivirusoplossing op zich geen garantie meer.
Wat moeten IT-beheerders nu doen?
Controleer voor elke on-premises SharePoint-omgeving bij klanten of intern of de patches van juli 2025 (KB5002768, KB5002754 of KB5002760, afhankelijk van de versie) daadwerkelijk zijn geïnstalleerd, en voer de destijds aangeraden rotatie van ASP.NET machine keys alsnog uit als dat nog niet is gebeurd – gestolen keys uit 2025 kunnen anders nog altijd worden hergebruikt. Ga na of SharePoint-servers onnodig rechtstreeks vanaf het internet bereikbaar zijn en beperk dat waar mogelijk tot een VPN of vertrouwd netwerk. Controleer logging en eindpunten op sporen van de genoemde aanvalsketen, zoals een onverwacht aanwezige K7RKScan-driver, een ongebruikelijke installatie van Visual Studio Code Insiders als dienst, onverklaarde wijzigingen aan Group Policy-objecten of nieuwe bestanden in het SYSVOL-aandeel, en NetExec-achtige scanpatronen tegen het Active Directory.
Kritieke kwetsbaarheden in backup-platform Ahsay AhsayCBS laten aanvaller zonder inloggegevens commando’s uitvoeren
| Kwetsbaarheid | Twee afzonderlijke, elk los te misbruiken kwetsbaarheden: een OS command injection in de Replication Receiver-component, waarmee een ongeauthenticeerde aanvaller via een geprepareerd verzoek naar het eindpunt /rps/api/json/UpdateReceivers.do willekeurige besturingssysteemcommando’s kan laten uitvoeren, en een authenticatie-omzeiling in de systeemwachtwoordcontrole van de API – Ahsay AhsayCBS, versies tot en met 10.3.2 |
| CVE-nummer | CVE-2026-105134 (command injection) en CVE-2026-105133 (authenticatie-omzeiling) |
| CVSS-score | 10,0 (CVE-2026-105134) en 7,3 (CVE-2026-105133) |
| Actief misbruikt | Voor zover bekend nog niet in de praktijk waargenomen; wel is er volgens kwetsbaarhedendatabank VulDB inmiddels technische exploitcode gepubliceerd |
| Patch beschikbaar | Ja, versie 10.3.4 |
Hoe kunnen de kwetsbaarheden misbruikt worden?
AhsayCBS is het centrale backup-platform van leverancier Ahsay, dat MSP’s wereldwijd veelal onder eigen label inzetten om backup- en disaster recovery-diensten aan klanten te leveren. Volgens kwetsbaarhedendatabank VulDB zit de ernstigste van de twee kwetsbaarheden, CVE-2026-105134, in de Replication Receiver-component: door de parameter “random” in een verzoek naar het eindpunt /rps/api/json/UpdateReceivers.do te manipuleren, kan een aanvaller zonder geldige inloggegevens willekeurige besturingssysteemcommando’s laten uitvoeren met de rechten van de AhsayCBS-service. Een tweede, los daarvan misbruikbare kwetsbaarheid, CVE-2026-105133, zit in de functie checkSysPwd van de API-component: ook hier laat manipulatie van een parameter de systeemwachtwoordcontrole omzeilen, eveneens zonder dat een aanvaller eerst moet inloggen. Beide kwetsbaarheden treffen AhsayCBS tot en met versie 10.3.2 en werden op 3 en 4 oktober geregistreerd.
Wat kan het gevolg zijn?
Een AhsayCBS-server bevat per definitie de backups van alle daarop aangesloten klantomgevingen en vormt bij MSP’s die backup als dienst leveren vaak het laatste redmiddel wanneer een klant alsnog met ransomware wordt getroffen. Wie met deze kwetsbaarheden op afstand commando’s op zo’n server kan uitvoeren, kan in potentie niet alleen bij de opgeslagen backupdata van meerdere klanten tegelijk komen, maar die backups ook verwijderen of versleutelen – precies het scenario dat een goede backupstrategie juist moet voorkomen. VulDB meldt dat er voor beide kwetsbaarheden inmiddels exploitcode is gepubliceerd; concrete berichten over misbruik in de praktijk zijn er op het moment van schrijven nog niet.
Wat moeten IT-beheerders nu doen?
Breng in kaart of er bij u of bij klanten een AhsayCBS-omgeving in gebruik is en update die naar versie 10.3.4 of hoger. Omdat de command injection zonder enige authenticatie te misbruiken is, is het daarnaast verstandig de beheerinterface en de Replication Receiver-component niet rechtstreeks vanaf het internet bereikbaar te laten zijn, maar te beperken tot een VPN of vertrouwd netwerk. Controleer serverlogs op onverwachte processen of ongebruikelijke verzoeken naar het eindpunt /rps/api/json/UpdateReceivers.do als mogelijk teken van eerder misbruik.
Zes kritieke kwetsbaarheden, twee met CVSS 10,0, in autorisatiemodule van Dell-opslagplatforms
| Kwetsbaarheid | Zes afzonderlijke kwetsbaarheden in de autorisatiemodule van Container Storage Modules, waaronder twee kwetsbaarheden met de maximale score 10,0 waarbij ontbrekende authenticatie in interne gRPC- en proxycomponenten een ongeauthenticeerde aanvaller toegang geeft tot de beheerdersgegevens van alle aangesloten opslagarrays – Dell Container Storage Modules (CSM), gebruikt bij PowerStore, PowerScale, PowerFlex, PowerMax en Unity XT |
| CVE-nummer | CVE-2026-63688 en CVE-2026-63692 (ontbrekende authenticatie), CVE-2026-67269 (rechtenverhoging), CVE-2026-54472 en CVE-2026-61421 (hard-coded inloggegevens/sleutel) en CVE-2026-67273 (template-injectie) |
| CVSS-score | 10,0 (CVE-2026-63688 en CVE-2026-63692), 9,9 (CVE-2026-67269), 9,8 (CVE-2026-54472 en CVE-2026-61421) en 9,6 (CVE-2026-67273) |
| Actief misbruikt | Nee, geen aanwijzingen voor misbruik op het moment van publiceren |
| Patch beschikbaar | Ja, sinds 2 oktober 2026 in versie 1.18.0; voor eerdere versies is geen workaround beschikbaar |
Hoe kunnen de kwetsbaarheden misbruikt worden?
Container Storage Modules vormen de autorisatielaag waarmee Dell’s opslagplatforms PowerStore, PowerScale, PowerFlex, PowerMax en Unity XT toegang tot opslagvolumes regelen voor Kubernetes-omgevingen. Bij de twee zwaarste kwetsbaarheden, CVE-2026-63688 en CVE-2026-63692, ontbreekt authenticatie in respectievelijk de interne gRPC-server van de autorisatiemodule en de authenticatieproxy met de tenant-service, waardoor een ongeauthenticeerde aanvaller op afstand bij de beheerdersgegevens van alle geregistreerde opslagarrays kan komen. CVE-2026-61421 maakt het met een hard-coded cryptografische sleutel in de JWT-authenticatie mogelijk vervalste tokens te genereren en zo alsnog beheerdersrechten te verkrijgen, en CVE-2026-54472 bevat eigen hard-coded inloggegevens in de autorisatiemodule. Een zesde kwetsbaarheid, CVE-2026-67273, is een injectiefout in de gebruikte template-engine; CVE-2026-67269 laat een aanvaller met beperkte rechten via onjuist rechtenbeheer escaleren tot root-toegang op clusternodes.
Wat kan het gevolg zijn?
Omdat deze modules de autorisatielaag over vijf verschillende Dell-opslagplatforms tegelijk vormen, geeft misbruik van de zwaarste kwetsbaarheden een aanvaller volgens Dell’s eigen beschrijving volledige beheerderstoegang tot de opslaginfrastructuur – in potentie over alle aangesloten arrays, niet slechts één systeem. Voor organisaties en MSP’s die Dell-opslagplatforms voor klantomgevingen beheren, betekent dat risico op grootschalig dataverlies, -diefstal of -versleuteling in één keer, in plaats van per los systeem.
Wat moeten IT-beheerders nu doen?
Breng in kaart welke Container Storage Modules-installaties in gebruik zijn bij PowerStore-, PowerScale-, PowerFlex-, PowerMax- of Unity XT-omgevingen en update die naar versie 1.18.0 of hoger; Dell biedt voor eerdere versies geen workaround. Omdat verschillende van deze kwetsbaarheden ongeauthenticeerde toegang tot beheerdersgegevens van opslagarrays mogelijk maken, is het daarnaast verstandig om na het updaten de betrokken inloggegevens en cryptografische sleutels te roteren, voor het geval ze vóór de update al zijn blootgesteld.
Kritieke sandbox-ontsnapping in GitLab AI Gateway laat gebruikers commando’s uitvoeren op zelf-gehoste servers
| Kwetsbaarheid | Sandbox-ontsnapping in de prompt-template-verwerking van de AI Gateway, waarmee een ingelogde gebruiker met toegang tot het Duo Agent Platform via een specifiek geprepareerde flow-configuratie buiten de bedoelde sandbox kan stappen en willekeurige commando’s op de onderliggende server kan uitvoeren – GitLab AI Gateway, zelf-gehoste installaties |
| CVE-nummer | CVE-2026-90970 |
| CVSS-score | 9,9 |
| Actief misbruikt | Nee, CISA noteert op 2 oktober 2026 geen aanwijzingen voor misbruik |
| Patch beschikbaar | Ja, in versies 19.2.4, 19.3.2 en 19.4.1; GitLab.com-gehoste gateways zijn al bijgewerkt, zelf-gehoste omgevingen moeten zelf updaten |
Hoe kan de kwetsbaarheid misbruikt worden?
De AI Gateway is de component waarmee GitLab’s Duo-AI-functies, waaronder het Duo Agent Platform voor geautomatiseerde workflows, taken namens gebruikers uitvoeren. Flows binnen dat platform laten gebruikers eigen promptconfiguraties opbouwen die de AI Gateway binnen een sandbox verwerkt, zodat een flow niet verder kan dan de bedoelde taak. Door een flow-configuratie specifiek op te bouwen, kan een ingelogde gebruiker met toegang tot het Duo Agent Platform die sandbox volgens GitLab’s eigen advisory omzeilen en zo commando’s uitvoeren op de server waarop de AI Gateway zelf draait. Beveiligingsonderzoeker invisiblemeerkat, actief via bug bounty-platform HackerOne, meldde de kwetsbaarheid aan GitLab. Het is niet de eerste keer dat GitLab’s template-verwerking zo’n fout bevat: in februari 2026 verhielp het bedrijf een vergelijkbare fout in zijn template-engine, destijds geregistreerd als CVE-2026-1868 en met eveneens een CVSS-score van 9,9.
Wat kan het gevolg zijn?
Commando-uitvoering op de server die de AI Gateway host, geeft een aanvaller in de praktijk een voet in de infrastructuur die GitLab’s AI-functies verwerkt – met potentieel toegang tot de configuratie en gekoppelde systemen van die server. Voor organisaties en MSP’s die zelf een GitLab-omgeving met AI Gateway hosten als onderdeel van hun development- of CI/CD-platform, betekent dat een kritiek lek middenin infrastructuur die doorgaans ook toegang heeft tot broncode en build-pipelines.
Wat moeten IT-beheerders nu doen?
Controleer of er naast de reguliere GitLab-instantie een zelf-gehoste AI Gateway in gebruik is, en update die naar 19.2.4, 19.3.2 of 19.4.1 naargelang de gebruikte release-tak. GitLab.com-klanten hoeven zelf niets te doen, omdat GitLab de eigen gehoste gateways al heeft bijgewerkt. Controleer bij gebruik van het Duo Agent Platform welke gebruikers toegang hebben tot het aanmaken en aanpassen van flows, en behandel die toegang met dezelfde terughoudendheid als toegang tot productiesystemen.
TeamViewer verhelpt vijf kwetsbaarheden in Full Client en Host, ernstigste kan ingestelde permissies omzeilen
| Kwetsbaarheid | Vijf afzonderlijke kwetsbaarheden in TeamViewer Full Client en Host, waarvan de ernstigste een onjuiste toegangscontrole is waarmee een geauthenticeerde aanvaller op afstand de door de gebruiker ingestelde permissies kan omzeilen en zo acties kan uitvoeren tot en met willekeurige code-uitvoering – TeamViewer Full Client en Host voor Windows, Linux en macOS, inclusief Remote, Tensor en ONE, ook oudere ondersteunde versies |
| CVE-nummer | CVE-2026-92370 (toegangscontrole, hoofdlek), plus CVE-2026-19743, CVE-2026-92368, CVE-2026-92369 en CVE-2026-92371 |
| CVSS-score | 8,8 (CVE-2026-92370); de overige vier variëren van 7,0 tot 7,8 |
| Actief misbruikt | Geen aanwijzingen voor misbruik van deze specifieke kwetsbaarheden; TeamViewer wordt wel vaker in algemene supportfraude ingezet |
| Patch beschikbaar | Ja, sinds 29 september 2026 in versie 15.82; voor oudere ondersteunde takken ook in v15.64.8, v14.7.48855 en v13.2.36230 (Windows) en separate Linux- en macOS-builds |
Hoe kan de kwetsbaarheid misbruikt worden?
TeamViewer is een van de meest gebruikte tools voor remote support en -beheer, ook bij MSP’s die er klantsystemen mee op afstand bedienen. Bij de ernstigste van de vijf kwetsbaarheden, CVE-2026-92370, kan een aanvaller die al over een geldig, geauthenticeerd account beschikt de permissie-instellingen omzeilen die een gebruiker zelf heeft geconfigureerd om te bepalen wat een sessiepartner wel en niet mag – bijvoorbeeld bestandsoverdracht of invoer blokkeren. Door die controle te omzeilen kan de aanvaller acties uitvoeren die de gebruiker nadrukkelijk had uitgeschakeld, tot willekeurige code-uitvoering aan toe. De overige vier kwetsbaarheden in dezelfde bulletin raken onder meer het lokale IPC-mechanisme, de verwerking van sessie-opnamebestanden en het Windows-installatieproces, en kunnen worden ingezet voor rechtenverhoging naar systeemrechten. TeamViewer deed voor nog maar de tweede keer in het bestaan van het bedrijf een nadrukkelijke oproep om direct te updaten.
Wat kan het gevolg zijn?
Omdat TeamViewer draait met vertrouwde toegang tot het onderliggende systeem en vaak permanent geïnstalleerd staat voor onbeheerde toegang, geeft misbruik van deze kwetsbaarheden een aanvaller een opstap naar volledige controle over het doelsysteem – inclusief systemen van klanten die een MSP op afstand beheert. Remote-support-software is al langer een aantrekkelijk doelwit, zowel voor gerichte aanvallen als voor supportfraude, waarbij een slachtoffer wordt overgehaald zelf een sessie op te zetten en misbruik van dit soort lekken de aanvaller vervolgens verdergaande controle geeft dan de gebruiker had bedoeld toe te staan.
Wat moeten IT-beheerders nu doen?
Update alle TeamViewer Full Client- en Host-installaties naar versie 15.82 of de recentste build voor de gebruikte ondersteunde tak, op elk platform waarop het programma draait – ook systemen die zelden actief worden gebruikt maar wel permanent geïnstalleerd zijn. Controleer bij klantomgevingen die met TeamViewer op afstand worden onderhouden of de update daar al is doorgevoerd, en controleer ingestelde permissieprofielen na het updaten op onbedoelde wijzigingen. Overweeg daarnaast toegang tot TeamViewer-sessies waar mogelijk te beperken met tweefactorauthenticatie en IP-whitelisting, omdat meerdere van de nu verholpen kwetsbaarheden vereisen dat een aanvaller al over een geldig account beschikt.
