Deze editie bundelt de ontwikkelingen van het weekend met die van vandaag. Het zwaarst weegt het actief misbruikte SQL-injectielek in Arista VeloCloud Orchestrator, gevolgd door web shells via Collabora Online in Nextcloud. Daarnaast kaapt de actor k0t firewalls en VPN-gateways van Fortinet en Palo Alto, repareert GitLab een lek met CVSS 10,0 en toont een onderzoeker een root-escalatie in Tailscale SSH waarvoor nog geen patch bestaat.
- Arista VeloCloud Orchestrator actief misbruikt: SQL-injectie met CVSS 9,9 in de SD-WAN-beheeromgeving
- Collabora Online in Nextcloud wordt misbruikt voor web shells: kritiek lek in de ingebouwde CODE-server
- Aanvaller k0t kaapt firewalls en VPN-gateways: ruim 70.000 inloggegevens van FortiGate en GlobalProtect blootgelegd
- GitLab repareert kritiek lek met CVSS 10,0: onbekende aanvaller kan zonder inloggen code uitvoeren op self-managed servers
- Tailworm: onderzoeker toont root-escalatie via Tailscale SSH, nog geen patch of CVE
Arista VeloCloud Orchestrator actief misbruikt: SQL-injectie met CVSS 9,9 in de SD-WAN-beheeromgeving
| Kwetsbaarheid | SQL-injectie in on-premise Arista VeloCloud Orchestrator (VCO), de beheeromgeving van VeloCloud SD-WAN. Een aanvaller krijgt toegang tot bevoorrechte interne functies. Getroffen zijn on-premise versies van VCO vóór de gepatchte releases |
| CVE-nummer | CVE-2026-114625 |
| CVSS-score | 9,9 |
| Actief misbruikt | Ja, Arista meldt actief misbruik en CISA nam de kwetsbaarheid op 23 oktober 2026 op in de KEV-catalogus |
| Patch beschikbaar | Ja, in oktober 2026: versies 5.2.3.18, 6.1.3.10 en 6.4.2.12 |
Hoe kan de kwetsbaarheid misbruikt worden?
Volgens The Hacker News heeft een aanvaller netwerktoegang tot de webinterface van VCO nodig, plus een geldige ingelogde sessie. De laagste rol die daarvoor volstaat is Enterprise Read Only. Een kleine rol is dus genoeg om bij bevoorrechte functies te komen. Arista deelt geen technische details en noemt geen dader. Wel zijn twee IP-adressen gepubliceerd waar de activiteit vandaan komt, beide geolokaliseerd in Japan: 74.82.197.86 en 38.54.50.151.
Wat kan het gevolg zijn?
Een orchestrator stuurt de SD-WAN-configuratie van alle gekoppelde klantlocaties aan. Met controle over de orchestrator kan een aanvaller routering en beleid aanpassen. Het is bovendien de derde VCO-kwetsbaarheid die sinds juli 2026 in het wild wordt misbruikt, na twee eerdere lekken met CVSS 10,0. Zie ook de melding bij CISA.
Wat moeten IT-beheerders nu doen?
Update on-premise VCO naar 5.2.3.18, 6.1.3.10 of 6.4.2.12. Zet de webinterface niet open naar internet en beperk toegang tot beheernetwerken. Zoek in logs naar verkeer van de twee genoemde IP-adressen en controleer accounts met de rol Enterprise Read Only op onverwacht gebruik.
Collabora Online in Nextcloud wordt misbruikt voor web shells: kritiek lek in de ingebouwde CODE-server
| Kwetsbaarheid | OS-commando-injectie in de ingebouwde CODE-server (richdocumentscode) van Collabora Online, gebruikt binnen Nextcloud. Codeuitvoering via proxy.php, alleen als de lokale CODE-documentserver niet draait |
| CVE-nummer | CVE-2026-110447 |
| CVSS-score | 9,2 |
| Actief misbruikt | Ja, CISA nam het lek op 23 oktober 2026 op in de KEV-catalogus |
| Patch beschikbaar | Ja, versie 26.4.303 van september 2026 |
Hoe is dit misbruikt?
The Hacker News meldt dat aanvallers het lek gebruiken om web shells op Nextcloud-servers te plaatsen. Daarna zoeken ze naar opgeslagen inloggegevens, sporen van wachtwoordmanagers en cryptowallets.
Wat kan het gevolg zijn?
Een web shell geeft de aanvaller blijvende toegang tot de server waarop Nextcloud draait. Voor MSP’s met gehoste Nextcloud-omgevingen voor klanten betekent dat toegang tot bestanden en mogelijk tot andere systemen in hetzelfde netwerk.
Wat moeten IT-beheerders nu doen?
Werk de Collabora-app (richdocumentscode) bij naar 26.4.303 of nieuwer, ook op omgevingen die al maanden niet zijn aangeraakt. Controleer de webroot op onbekende bestanden, met name rond proxy.php, en zoek in logs naar verdachte verzoeken. Vind je een web shell, ga dan uit van een volledige compromittering van de server en roteer opgeslagen inloggegevens.
Aanvaller k0t kaapt firewalls en VPN-gateways: ruim 70.000 inloggegevens van FortiGate en GlobalProtect blootgelegd
| Kwetsbaarheid | Campagne tegen internetgerichte netwerkapparatuur, vooral Fortinet FortiGate en Palo Alto Networks GlobalProtect. De aanvaller gebruikt bekende kwetsbaarheden in FortiWeb en PAN-OS/Prisma Access en daarnaast brute force met veelgebruikte wachtwoorden |
| CVE-nummer | CVE-2025-64446 (FortiWeb, path traversal) en CVE-2026-0257 (PAN-OS en Prisma Access, authenticatie omzeilen) |
| Actief misbruikt | Ja, volgens Group-IB en NyxLab; de meeste inbraken vonden plaats tussen februari en juni 2026 |
| Patch beschikbaar | Ja voor de genoemde CVE’s: installeer de actuele firmware van de leverancier. Voor brute force geldt een sterk wachtwoord en MFA |
Hoe is dit misbruikt?
Onderzoekers van Group-IB en NyxLab beschrijven in een gezamenlijk onderzoek hoe de actor “k0t” apparaten vond via scantools als FOFA en ZoomEye, binnenkwam via de genoemde lekken of zwakke wachtwoorden en daarna een OpenConnect-VPN-verbinding opzette. Binnen het netwerk volgden Active Directory-verkenning en diefstal van extra inloggegevens met onder meer Mimikatz en Impacket. Voor persistentie gebruikte de aanvaller legitieme beheertools zoals MeshCentral, Atera en AnyDesk, en data verdween via Rclone naar Wasabi en MEGA.
Wat kan het gevolg zijn?
Ruim 70.000 inloggegevens van netwerkapparaten en LDAP-dumps zijn blootgelegd. Volgens het onderzoek ligt k0t waarschijnlijk dicht bij de ransomwaregroepen Qilin en The Gentlemen, als initial access broker of affiliate. Ongeveer 15,8 procent van de slachtoffers zit in Europa. Omdat het bekende RMM-tools zijn, valt de persistentie in logs nauwelijks op.
Wat moeten IT-beheerders nu doen?
Patch FortiWeb, PAN-OS en Prisma Access, haal beheerinterfaces van internet en forceer MFA op VPN. Roteer wachtwoorden die via LDAP of de firewall zijn gebruikt. Inventariseer ook welke remote-toegangstools (MeshCentral, Atera, AnyDesk) op klantomgevingen horen te staan en onderzoek alles daarbuiten.
GitLab repareert kritiek lek met CVSS 10,0: onbekende aanvaller kan zonder inloggen code uitvoeren op self-managed servers
| Kwetsbaarheid | Integer overflow in de reguliere-expressiemotor Onigmo, die GitLab meelevert. Een speciaal opgebouwde reguliere expressie kan zonder authenticatie leiden tot code-uitvoering op self-managed GitLab, van versie 7.0 tot de gepatchte releases |
| CVE-nummer | CVE-2026-110264 |
| CVSS-score | 10,0 |
| Actief misbruikt | Nee, GitLab ziet geen misbruik en het lek stond op 22 oktober 2026 niet in de KEV-catalogus |
| Patch beschikbaar | Ja, onder meer 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 en 18.11.13 |
Hoe kan de kwetsbaarheid misbruikt worden?
Volgens The Hacker News heeft GitLab de voorwaarden voor misbruik niet openbaar gemaakt. Een onderzoeker met de naam “joaxcar” meldde het lek, en is dezelfde die in een maand tijd vier lekken in de regex-motor vond. GitLab.com draait al een gepatchte versie, dus het risico ligt bij zelf beheerde installaties.
Wat kan het gevolg zijn?
Een GitLab-server bevat vaak broncode, CI/CD-geheimen en toegangssleutels van klanten. Code-uitvoering zonder inloggen kan daarmee een opstap naar andere systemen zijn. Let op: omgevingen die op 12 oktober zijn gepatcht (19.2 en hoger) zijn opnieuw kwetsbaar totdat ze naar de nieuwe versies zijn bijgewerkt.
Wat moeten IT-beheerders nu doen?
Upgrade naar de gepatchte versie van je reeks. GitLab biedt geen workaround, dus bijwerken is de enige zekere maatregel. Reken bij single-node servers op downtime, omdat 19.4.3 en 19.3.6 databasewijzigingen bevatten. GitLab publiceerde twee Sigma-detectieregels (“Onigmo native worker crash” en “Org mode render error burst”) om logs op misbruikpogingen te doorzoeken.
Tailworm: onderzoeker toont root-escalatie via Tailscale SSH, nog geen patch of CVE
| Kwetsbaarheid | Reeks van 11 bevindingen in Tailscale en headscale, waaronder escalatie naar root via Tailscale SSH met port forwarding. Getest op Tailscale 1.104.2 en headscale 0.29.5 in een lab |
| CVE-nummer | Geen CVE toegekend |
| Actief misbruikt | Nee, er is alleen een labdemonstratie van 25 oktober 2026; de proof-of-concept is niet openbaar |
| Patch beschikbaar | Nee, Tailscale heeft nog geen bulletin of fixversie. Wel zijn er configuratiemaatregelen |
Hoe kan de kwetsbaarheid misbruikt worden?
Onderzoeker Erica Windisch van Cyberdione Labs beschrijft in haar rapport, samengevat door The Hacker News, dat een aanvaller al een toegestaan apparaat in het netwerk moet beheersen en dat Tailscale SSH port forwarding toestaat. Via een socket die alleen voor root bedoeld is, lukte root-toegang op het doelsysteem. Zonder Tailnet Lock kon ze via een race condition ook een enrollmentsleutel pakken en een eigen machine als vertrouwd apparaat toevoegen.
Wat kan het gevolg zijn?
Eén gekaapt apparaat kan zich in het lab razendsnel uitbreiden naar alle apparaten die de toegangsregels toestaan. Windisch noemt dit “wormable”, wat anderen betwijfelen. Tailscale bevestigde de technische claims nog niet; VP engineering Mike Shaver zei dat het bedrijf dezelfde gebieden onderzoekt en problemen heeft gevonden die het oplost. Het onderzoek is nog niet onafhankelijk gereproduceerd, en de melding was “reported but not coordinated”.
Wat moeten IT-beheerders nu doen?
Schrijf SSH-regels als één bron naar één bestemming en haal brede regels op identiteit of tags weg. Zet SSH port forwarding uit waar dat kan. Op headscale 0.29.5 kan dat niet, behandel daar elke SSH-grant als root op het doelsysteem. Zet node-key expiry aan, schakel Tailnet Lock in en verwijder een gecompromitteerd apparaat in het control plane, want alleen opnieuw installeren trekt gekopieerde sleutels niet in.
