Deze editie draait om bestaande functionaliteit en oude lekken die nu worden misbruikt. Een Linux-kernelfout uit mei staat in de CISA-catalogus en maakt van PHP2Shell-webshells rootshells, een Chinese spionagegroep gebruikte een VMware ESX-zero-day om logs te maskeren, aanvallers richten zich op Magento-webwinkels en phishers zetten MDM-platforms in om ScreenConnect uit te rollen.
- Linux-lek Fragnesia wordt actief misbruikt en staat in de CISA-catalogus: kernelfout maakt van een webshell een rootshell
- Chinese spionagegroep gebruikte VMware ESX-zero-day om sporen uit auditlogs te houden, CISA zet het lek in de catalogus
- Kritiek uploadlek in Magento en Adobe Commerce wordt misbruikt tegen webwinkels
- Aanvallers misbruiken MDM-platforms als achterdeur: Hexnode en Rippling zetten ScreenConnect op eindpunten
Linux-lek Fragnesia wordt actief misbruikt en staat in de CISA-catalogus: kernelfout maakt van een webshell een rootshell
| Kwetsbaarheid | Fout in het ESP-in-TCP-pad van XFRM in de Linux-kernel (Fragnesia): een lokale aanvaller kan data in de page cache van alleen-lezen bestanden zoals /usr/bin/su schrijven en zo root worden. Getroffen zijn kernels ouder dan 7.0.10, 6.18.33, 6.12.91, 6.6.141, 6.1.174 en 5.15.208, of distributiekernels zonder de fix |
| CVE-nummer | CVE-2026-46300 |
| CVSS-score | 7,8 (volgens Security Affairs) |
| Actief misbruikt | Ja, CISA nam het lek op 28 oktober 2026 op in de KEV-catalogus, met een deadline van 31 oktober voor Amerikaanse overheidsdiensten |
| Patch beschikbaar | Ja, in de stabiele kernels 7.0.10, 6.18.33, 6.12.91, 6.6.141, 6.1.174 en 5.15.208 en in distributiekernels. Tijdelijke maatregel: de modules esp4 en esp6 blokkeren |
Hoe is dit misbruikt?
Fragnesia is een lokale privilege-escalatie: de aanvaller heeft al code op de server nodig. Volgens onderzoeker William Bowling van V12 (via Security Affairs) was het lek sinds mei openbaar, inclusief proof-of-concept. Nu CISA het in de catalogus van bekend misbruikte kwetsbaarheden zet, is er bewijs dat aanvallers het gebruiken. Security Online meldt dat het wordt gecombineerd met de PHP2Shell-lekken uit Patchwork van 27 oktober: eerst een webshell via PHP, daarna root via de kernel.
Wat kan het gevolg zijn?
De wijziging zit alleen in het geheugen, niet op schijf. HOL Guard beschrijft dat een aanvaller zo een bestand als /etc/pam.d/su kan manipuleren zonder sporen op de disk. Een herstart of het legen van de cache haalt daarmee ook het bewijs weg. Een webserver die al via PHP2Shell is overgenomen, kan zo uitgroeien tot een volledig gecompromitteerde host.
Wat moeten IT-beheerders nu doen?
Installeer een gepatchte kernel of de update van je distributie en herstart de host daarna. Kun je niet direct patchen, blokkeer dan de modules esp4 en esp6. Doe bij hosts met een vermoeden van PHP2Shell-misbruik eerst forensische triage van de page cache voordat je herstart. Let ook op firewalls en appliances die op een Linux-kernel draaien: daar wacht je op firmware van de leverancier.
Chinese spionagegroep gebruikte VMware ESX-zero-day om sporen uit auditlogs te houden, CISA zet het lek in de catalogus
| Kwetsbaarheid | Onvoldoende logging in VMware ESX: een aanvaller met beheerdersrechten kan bepaalde handelingen uitvoeren zonder dat ze worden gelogd. Geldt voor ESX, vSphere Foundation, Cloud Foundation en Telco Cloud Platform |
| CVE-nummer | CVE-2026-41709 |
| CVSS-score | 2,7 |
| Actief misbruikt | Ja, als zero-day begin 2026 door Warp Panda (CrowdStrike). CISA nam het lek op 28 oktober 2026 op in de KEV-catalogus, met een deadline van 11 november |
| Patch beschikbaar | Ja, sinds de Broadcom-advisory van juli 2026: ESXi80U3j-25429389, ESXi-9.0.2.0100-25595025, ESXi-9.1.0.0-25370933 en VCF 5.2.4 |
Hoe is dit misbruikt?
Volgens The Hacker News staat dit in het Legal Threat Landscape Report van CrowdStrike. De Chinese spionagegroep Warp Panda, ook bekend als Armory Castle (voorheen UNC5221), Clay Typhoon en VerdantBamboo, misbruikte het lek begin 2026 om de zichtbaarheid van het audittraject te verkleinen. De groep komt binnen via internetgerichte randapparatuur met zero-days en eigen malware, beweegt daarna naar VMware vCenter en installeert de malware BRICKSTORM en SharpStorm. Soms steelt de groep cloudsessietokens voor toegang tot Microsoft 365, en in minstens één geval registreerde de groep een nieuw MFA-apparaat om toegang te houden na een wachtwoordwissel. Mandiant schreef Warp Panda eerder deze maand ook de zero-day in BeyondTrust Remote Support toe.
Wat kan het gevolg zijn?
De lage score geeft een verkeerd beeld. Het lek geeft de aanvaller geen toegang, het maakt zijn werk onzichtbaar. Een MSP die ESX-hosts voor klanten beheert, kan na een inbraak minder logregels vinden dan er handelingen zijn geweest, waardoor een incidentonderzoek te weinig bewijs oplevert.
Wat moeten IT-beheerders nu doen?
Installeer de fixes uit de Broadcom-advisory van juli (zie ook de CISA-melding), ook als je ESX-hosts niet aan internet hangen. Beperk beheerdersaccounts op ESX en vCenter, stuur logs naar een externe logserver en controleer vCenter op onbekende MFA-apparaten en ongebruikelijke sessies.
Kritiek uploadlek in Magento en Adobe Commerce wordt misbruikt tegen webwinkels
| Kwetsbaarheid | Onbeperkt uploaden van bestanden met een gevaarlijk type in Adobe Commerce en Magento Open Source. Getroffen: Commerce 2.4.8-p5 en eerder, 2.4.7-p10 en eerder, 2.4.6-p15 en eerder, 2.4.5-p17 en eerder, 2.4.4-p18 en eerder (en 2.4.9), Magento Open Source 2.4.8-p5, 2.4.7-p10 en 2.4.6-p15 en eerder, B2B 1.5.3 en eerdere releases, Commerce Events 1.6.0 tot en met 1.20.0 |
| CVE-nummer | CVE-2026-48356 |
| CVSS-score | 9,6 |
| Actief misbruikt | Ja, CISA nam het lek op 27 oktober 2026 op in de KEV-catalogus. Adobe meldde bij publicatie in juli nog geen misbruik |
| Patch beschikbaar | Ja, bulletin APSB26-73 van 14 juli 2026: de 2026-jul-releases (bijvoorbeeld 2.4.8-2026-jul voor Commerce en Magento Open Source) en Commerce Events 1.21.0 |
Hoe is dit misbruikt?
Volgens Security.nl meldt CISA aanvallen op webwinkels via dit lek, zonder details over de aanvallen te geven. Een ongeauthenticeerde aanvaller kan gevaarlijke bestandstypen naar de webserver uploaden. Het Adobe-bulletin noemt daarbij gebruikersinteractie als voorwaarde en spreekt van mogelijke privilege-escalatie.
Wat kan het gevolg zijn?
Meer dan honderdduizend webwinkels draaien op Magento of Adobe Commerce. Kwetsbaarheden in dit platform worden vaak gebruikt om klantgegevens en creditcarddata te stelen. Voor een MSP of hoster met Magento-klanten telt dat dubbel: de patch is al maanden beschikbaar, dus een shop die nu wordt overgenomen, miste een bekende update.
Wat moeten IT-beheerders nu doen?
Controleer per Magento-installatie of de patch van juli 2026 (APSB26-73) is geïnstalleerd. Zoek in de uploadmappen en de webroot naar onbekende PHP-bestanden of andere uitvoerbare uploads. Controleer ook de betaalpagina op toegevoegde scripts.
Aanvallers misbruiken MDM-platforms als achterdeur: Hexnode en Rippling zetten ScreenConnect op eindpunten
| Kwetsbaarheid | Misbruik van bestaande functionaliteit: slachtoffers schrijven via phishing hun apparaat in bij een MDM-tenant van de aanvaller (gezien met Hexnode en Rippling), waarna de aanvaller ongeautoriseerd ScreenConnect uitrolt als SYSTEM |
| CVE-nummer | Geen CVE toegekend |
| Actief misbruikt | Ja, volgens Huntress (28 oktober 2026) |
| Patch beschikbaar | Nee, er is geen softwarefout. Maatregel: inventariseer toegestane MDM-tenants en RMM-instanties en behandel onverwachte inschrijvingen als incident |
Hoe is dit misbruikt?
Volgens Huntress (auteur Ben Nahorney) begint het met social engineering. In het eerste geval kreeg een gebruiker een phishingmail over een offerte-uitnodiging, met een MSI die zich voordeed als DocuSign-installer maar een Hexnode MDM-pakket bevatte. Daarna werd ScreenConnect geïnstalleerd met een relay van de aanvaller. De MSP verwijderde ScreenConnect, maar uren later was het terug, omdat de MDM-client was blijven staan. In het tweede geval klikte een receptionist op een nep-Teams-agenda. Het apparaat werd ingeschreven in een Rippling MDM-tenant van de aanvaller, de agent draaide als SYSTEM en ongeveer 35 minuten later volgde ScreenConnect.
Wat kan het gevolg zijn?
De MDM-client is een vertrouwde beheerroute, dus beveiligingssoftware ziet hem als normaal. Verwijder je alleen de RMM-tool, dan rolt de aanvaller hem opnieuw uit. Voor MSP’s is dit extra gevoelig, omdat jouw eigen RMM en MDM er voor klanten net zo uitzien.
Wat moeten IT-beheerders nu doen?
Houd een inventaris bij van toegestane MDM-producten, tenants, agents en RMM-instanties, en behandel een onverwachte inschrijving als beveiligingsincident. Een vroeg signaal in het tweede geval was een nieuwe Rippling-registersleutel. Isoleer een verdacht eindpunt, haal het uit de onbekende MDM-tenant, trek sessies en tokens in, reset credentials en installeer het apparaat opnieuw als de integriteit niet vast te stellen is. Train gebruikers op onverwachte vergader-, ondertekenings- en offerteverzoeken.
