Deze editie draait om kritieke lekken die al worden misbruikt. Aanvallers gebruiken een SQL-injectie in Arista VeloCloud Orchestrator, installeren webshells via Collabora Online op Nextcloud-servers en breken in op FortiGate- en GlobalProtect-firewalls. Daarnaast waarschuwt PHP voor een nieuw RCE-risico zonder noodpatch.
- Arista VeloCloud Orchestrator: SQL-injectie geeft aanvallers beheerdersrechten, derde misbruikt lek sinds juli
- Collabora Online in Nextcloud: kritiek lek wordt misbruikt om webshells te plaatsen
- PHP: nieuw RCE-risico zonder noodpatch, twee dagen na de PHP2Shell-updates
- Aanvaller k0t kraakt FortiGate- en GlobalProtect-firewalls: ruim 70.000 inloggegevens blootgelegd
Arista VeloCloud Orchestrator: SQL-injectie geeft aanvallers beheerdersrechten, derde misbruikt lek sinds juli
| Kwetsbaarheid | SQL-injectie in on-premise Arista VeloCloud Orchestrator (VCO). Een aanvaller met een geldige sessie, minimaal de rol Enterprise Read Only, krijgt toegang tot bevoorrechte interne functies |
| CVE-nummer | CVE-2026-114625 |
| CVSS-score | 9,9 |
| Actief misbruikt | Ja, Arista bevestigt dat het lek in het wild wordt misbruikt; CISA nam het op 23 oktober 2026 op in de KEV-catalogus |
| Patch beschikbaar | Ja, in oktober 2026 uitgebracht: versies 5.2.3.18, 6.1.3.10 en 6.4.2.12 |
Hoe is dit misbruikt?
Volgens The Hacker News heeft Arista bevestigd dat aanvallers het lek al gebruiken. De aanvaller heeft netwerktoegang tot de webinterface van de VCO nodig, plus een geldige sessie. Arista heeft de activiteit niet aan een groep toegeschreven en geeft geen technische details over wat aanvallers na de rechtenverhoging doen. Wel deelde Arista twee IP-adressen met een Japanse geolocatie, 74.82.197[.]86 en 38.54.50[.]151.
Wat kan het gevolg zijn?
De VCO beheert de SD-WAN-omgeving van een organisatie, dus iemand met beheerdersrechten daarop kan de configuratie van alle gekoppelde vestigingen aanpassen. Het is al het derde VCO-lek dat sinds juli 2026 wordt misbruikt, na twee eerdere kwetsbaarheden met de maximale score van 10,0. Voor MSP’s die SD-WAN beheren voor klanten is dat een patroon om serieus te nemen.
Wat moeten IT-beheerders nu doen?
Update on-premise VCO’s naar 5.2.3.18, 6.1.3.10 of 6.4.2.12. Beperk de netwerktoegang tot de webinterface, controleer accounts met de rol Enterprise Read Only en zoek in de logs naar verkeer van de twee genoemde IP-adressen. Het bericht noemt voor Amerikaanse overheidsdiensten een deadline van 26 oktober 2026; die termijn is ook voor jou een goede richtlijn.
Collabora Online in Nextcloud: kritiek lek wordt misbruikt om webshells te plaatsen
| Kwetsbaarheid | OS-commandoinjectie in Collabora Online Built-in CODE Server (richdocumentscode) bij gebruik met Nextcloud, via proxy.php wanneer de lokale CODE-documentserver niet draait |
| CVE-nummer | CVE-2026-110447 |
| CVSS-score | 9,2 |
| Actief misbruikt | Ja, aanvallers plaatsen webshells op Nextcloud-servers; CISA nam het lek op 23 oktober 2026 op in de KEV-catalogus |
| Patch beschikbaar | Ja, sinds september 2026 in versie 26.4.303 |
Hoe is dit misbruikt?
Volgens The Hacker News voeren aanvallers via proxy.php opdrachten uit op de server en installeren zo een webshell. Daarna verkennen ze het systeem en zoeken ze naar opslag van inloggegevens, wachtwoordmanager-bestanden en cryptowallets.
Wat kan het gevolg zijn?
Een gecompromitteerde Nextcloud-server geeft toegang tot bedrijfsdocumenten en vaak tot sleutels en wachtwoorden die op dezelfde machine staan. Bij MSP’s die Nextcloud voor MKB’ers hosten raakt één kwetsbare instantie al snel de data van een klant.
Wat moeten IT-beheerders nu doen?
Controleer of de Collabora Online Built-in CODE Server draait en werk bij naar 26.4.303 of nieuwer. Zoek op servers die langer niet zijn bijgewerkt naar onbekende bestanden en aanroepen van proxy.php, en vervang inloggegevens die op de server stonden als je compromittering niet kunt uitsluiten.
PHP: nieuw RCE-risico zonder noodpatch, twee dagen na de PHP2Shell-updates
| Kwetsbaarheid | Mogelijke uitvoering van code op afstand in PHP bij een specifieke configuratie: session.serialize_handler staat op php_binary of php_serialize, wordt tijdens runtime met ini_set() op php gezet vóór session_start(), en session upload progress staat aan. PHP noemt het zelf “an unlikely risk”. Getroffen versies zijn niet bekendgemaakt |
| CVE-nummer | CVE-2026-115560 |
| Actief misbruikt | Nee, geen misbruik gemeld (stand 23 oktober 2026). De aanvallen sinds 21 oktober richten zich op de eerdere PHP2Shell-lekken |
| Patch beschikbaar | Nee, de fix volgt in de eerstvolgende reguliere bugfixrelease. Maatregel: zet session.upload_progress.enabled=0 |
Hoe is dit misbruikt?
Er is nog geen misbruik van dit lek gemeld. Volgens The Hacker News gaat het om een aparte kwetsbaarheid naast PHP2Shell (CVE-2026-109618 en CVE-2026-109619), waarvoor PHP op 21 oktober noodupdates uitbracht in 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Daarop zijn inmiddels miljoenen aanvalspogingen gezien, onder meer om een Mirai-variant te installeren. Die pogingen lijken tot nu toe niet te slagen.
Wat kan het gevolg zijn?
Bij een succesvolle aanval kan een aanvaller code uitvoeren op de webserver. Omdat session upload progress standaard aan staat, hangt het risico vooral af van of een applicatie de sessie-handler tijdens runtime omzet. Dat is bij maatwerk en oudere CMS-plugins goed mogelijk.
Wat moeten IT-beheerders nu doen?
Installeer eerst de PHP2Shell-updates als dat nog niet is gebeurd. Zet daarnaast session.upload_progress.enabled=0 op hostingplatformen en klantservers tot de fix verschijnt. Heb je die instelling al voor CVE-2026-109619 aangepast, dan hoef je verder niets te doen.
Aanvaller k0t kraakt FortiGate- en GlobalProtect-firewalls: ruim 70.000 inloggegevens blootgelegd
| Kwetsbaarheid | Campagne tegen internetgerichte randapparatuur, vooral Fortinet FortiGate en Palo Alto Networks GlobalProtect, via bekende lekken en brute force op veelgebruikte inloggegevens. Versienummers worden in het bericht niet genoemd |
| CVE-nummer | CVE-2025-64446 (path traversal in FortiWeb) en CVE-2026-0257 (authenticatiebypass in PAN-OS en Prisma Access) |
| Actief misbruikt | Ja, volgens Group-IB en NyxLab, gerapporteerd op 23 oktober 2026; veel inbraken vonden plaats tussen februari en juni 2026 |
| Patch beschikbaar | Het bericht noemt geen versies. Installeer de beschikbare fixes van Fortinet en Palo Alto Networks en gebruik sterke, unieke inloggegevens |
Hoe is dit misbruikt?
Volgens The Hacker News zoekt de actor k0t met FOFA en ZoomEye naar blootgestelde VPN- en firewallapparaten, breekt in via de genoemde lekken of door wachtwoorden te raden en zet een VPN-verbinding op met OpenConnect. Daarna volgen verkenning van Active Directory, persistentie met MeshCentral, Atera, Teramind en AnyDesk plus het AdaptixC2-framework, en uitvoer van data met Rclone naar Wasabi en MEGA. Group-IB en NyxLab brengen k0t in verband met de ransomwaregroepen Qilin en The Gentlemen.
Wat kan het gevolg zijn?
Het gebruik van legitieme beheertools als Atera en AnyDesk maakt de aanwezigheid van de aanvaller moeilijk te onderscheiden van normaal MSP-beheer. Ongeveer 15,8 procent van de slachtoffers zit in Europa, en veel slachtoffers verschenen later op de leksites van ransomwaregroepen.
Wat moeten IT-beheerders nu doen?
Patch FortiGate-, FortiWeb- en PAN-OS-systemen, haal beheerinterfaces van het internet en schakel multifactorauthenticatie in op VPN-accounts. Zoek in je omgeving naar RMM-tools die je zelf niet hebt geïnstalleerd, naar uitgaand verkeer richting Wasabi en MEGA en naar onverwachte OpenConnect-verbindingen.
