Deze editie draait om applicaties en tools die je bij klanten beheert. In WordPress zit een RCE-lek in het updateproces dat aanvallers al probeerden uit te buiten, een kritiek lek in Drupal Commerce wordt misbruikt tegen webwinkels, en CISA zet twee extra lekken uit de Ivanti Connect Secure-keten in de KEV-catalogus. Daarnaast treft ransomware Synology NAS-systemen met verouderde DSM en laat een lek in TeamViewer een helpdesk overnemen.
- WordPress 7.1.4 dicht RCE-lek in het updateproces: aanvallers probeerden het al uren na de patch
- Drupal Commerce Core: kritiek lek in webwinkelmodule wordt al misbruikt
- Ivanti Connect Secure: CISA zet twee extra lekken uit de misbruikte keten in de KEV-catalogus
- Synology NAS-systemen getroffen door ransomware via lek uit 2024
- TeamViewer-lek laat aanvaller het systeem van een helpdeskmedewerker overnemen
WordPress 7.1.4 dicht RCE-lek in het updateproces: aanvallers probeerden het al uren na de patch
| Kwetsbaarheid | Ongeauthenticeerde remote code execution in WordPress Core 4.7 tot en met 7.1.3, tijdens een core-update met het volledige WordPress-pakket. Bij zo’n update worden bestanden uitgepakt in een voorspelbare map onder wp-content/upgrade, inclusief het installatiescript. Het is een race condition |
| CVE-nummer | Geen CVE toegekend (advisory GHSA-4w3m-c66w-69mg) |
| CVSS-score | 8,1 |
| Actief misbruikt | Ja, Wordfence blokkeerde in 24 uur 62.969 aanvallen, kort na de patch van 28 oktober 2026 |
| Patch beschikbaar | Ja, WordPress 7.1.4 (28 oktober 2026); beveiligingsfixes worden teruggezet naar alle takken die ondersteund worden, momenteel tot en met 4.7 |
Hoe is dit misbruikt?
Het venster waarin het lek werkt is klein: alleen tijdens een core-update met het volledige pakket staat het installatiescript tijdelijk in een bereikbare map. Volgens The Hacker News blokkeerde Wordfence in 24 uur 62.969 aanvallen, waarbij twee van de grootste bronnen ruim veertien uur lang kleine groepen sites afliepen. Security.nl meldt dat de aanvallers het installatiescript steeds opnieuw aanroepen, in de hoop dat één poging precies samenvalt met een update. In het lab duurde het venster slechts seconden. De fout is gemeld door Umut Bayram, zo staat in de releasenotes van WordPress 7.1.4.
Wat kan het gevolg zijn?
Een geslaagde aanval levert code-uitvoering op de webserver op, zonder dat de aanvaller hoeft in te loggen. Voor MSP’s die veel WordPress-sites van klanten beheren is dat relevant, omdat updates vaak gebundeld en op vaste tijdstippen worden uitgerold. Dezelfde release dicht bovendien een reeks stored XSS-lekken en een lek waardoor niet-gepubliceerde Customizer-wijzigingen zichtbaar kunnen zijn voor niet-ingelogde bezoekers.
Wat moeten IT-beheerders nu doen?
Werk alle sites bij naar 7.1.4. Zoek in de toegangslogs naar verzoeken naar PHP-bestanden onder wp-content/upgrade (zoals setup-config.php) en controleer sites op onbekende beheerdersaccounts, plugins en PHP-bestanden. Rol full-package updates op zo kort mogelijke tijd uit, bij voorkeur achter een firewallregel die het installatiescript van buitenaf blokkeert.
top ^
Drupal Commerce Core: kritiek lek in webwinkelmodule wordt al misbruikt
| Kwetsbaarheid | Access bypass in de Drupal-module Commerce Core: bepaalde routes en entityvelden zijn onvoldoende beschermd. Getroffen zijn versies vóór 8.x-2.41 en versies 3.0.0 tot 3.3.13. Drupal geeft het lek een risicoscore van 21 op 25 (zeer kritiek), zonder authenticatie uit te buiten |
| CVE-nummer | CVE-2026-118539 (Drupal-advisory SA-CONTRIB-2026-254) |
| Actief misbruikt | Ja, volgens de Drupal-advisory van 28 oktober 2026 |
| Patch beschikbaar | Ja, Commerce Core 3.3.13 voor de 3.x-tak en 8.x-2.41 voor oudere sites |
Hoe is dit misbruikt?
Drupal geeft geen details over de getroffen routes en velden. Volgens de advisory van Drupal kan een aanvaller zonder account toegangscontroles omzeilen, met mogelijk financiële schade voor de webwinkelhouder. Security.nl meldt dat Drupal het misbruik in het wild bevestigt. De advisory is gepubliceerd door het Drupal Security Team; het lek is gemeld door Dan Puccetti, Marcus Johansson en Robert Snyder.
Wat kan het gevolg zijn?
Aanvallers kunnen volgens ITdaily niet-openbare gegevens inzien en gegevens wijzigen. Bij een webwinkel gaat dat om bestellingen en bedragen, en dus om directe financiële schade en klachten van klanten.
Wat moeten IT-beheerders nu doen?
Zoek uit welke klanten Drupal Commerce draaien en werk Commerce Core bij naar 3.3.13 of 8.x-2.41. Drupal vraagt expliciet om bestellingen te controleren op afwijkingen, dus kijk ook terug naar bestellingen sinds 28 oktober. De Drupal 7-tak (1.x) valt volgens ITdaily buiten de advisory.
top ^
Ivanti Connect Secure: CISA zet twee extra lekken uit de misbruikte keten in de KEV-catalogus
| Kwetsbaarheid | Drie aan elkaar te koppelen lekken in Ivanti Connect Secure. Naast de eerder bekende authenticatie-bypass staan nu ook een lek waarmee een geauthenticeerde aanvaller bestanden met eigen inhoud op een bekende locatie kan zetten (voorspelbare identifiers) en een lokale privilege-escalatie (ontbrekende authenticatie voor een kritieke functie) in de catalogus |
| CVE-nummer | CVE-2026-104935 (authenticatie-bypass en RCE), CVE-2026-118527 en CVE-2026-111357 |
| CVSS-score | 8,6 voor CVE-2026-104935; voor de twee nieuw toegevoegde lekken noemt CISA geen score |
| Actief misbruikt | Ja, CISA nam CVE-2026-118527 en CVE-2026-111357 op 30 oktober 2026 op in de KEV-catalogus; de keten wordt sinds begin oktober misbruikt |
| Patch beschikbaar | Gedeeltelijk, Ivanti verhielp een deel van de keten in release 25.1.3.0; CISA vraagt om mitigaties volgens de instructies van Ivanti |
Hoe is dit misbruikt?
Volgens Cybersecurity Dive beschreef Volexity op 13 oktober een keten van drie lekken, gebruikt door een groep die Volexity UTA0576 noemt. De aanvaller zocht naar Active Directory-gegevens, BitLocker-herstelsleutels en LAPS-wachtwoorden en wiste sporen uit debug- en auditlogs. In de KEV-catalogus van CISA staan sinds 30 oktober ook de andere twee onderdelen van die keten, met als deadline 13 november voor de bestandsupload en 2 november voor de privilege-escalatie.
Wat kan het gevolg zijn?
Een Connect Secure-appliance staat op de rand van het netwerk en bewaart toegang tot het interne netwerk. Wie de appliance overneemt, kan van daaruit domeingegevens verzamelen. CISA waarschuwt bovendien dat de Integrity Checker Tool van Ivanti een inbraak kan missen, omdat opdrachten in het geheugen draaien. Bij de privilege-escalatie eist CISA forensisch onderzoek.
Wat moeten IT-beheerders nu doen?
Stel vast welke klanten Connect Secure draaien en volg de advisory van Ivanti. Vertrouw niet alleen op de Integrity Checker: laat appliances forensisch onderzoeken, wissel wachtwoorden en sleutels die via de appliance bereikbaar waren, en controleer Active Directory op verdachte LDAP- en Kerberos-activiteit.
top ^
Synology NAS-systemen getroffen door ransomware via lek uit 2024
| Kwetsbaarheid | Ransomware (C3rb3r/Locked3d) die internet-bereikbare Synology NAS-systemen met verouderde DSM-versies versleutelt. Een slachtoffer noemt het lek in advisory Synology-SA-24:20 als waarschijnlijk toegangspunt |
| CVE-nummer | CVE-2024-10441 (volgens een slachtoffer het waarschijnlijke toegangspunt, niet bevestigd) |
| Actief misbruikt | Ja, Synology bevestigde dit op 29 oktober 2026 |
| Patch beschikbaar | Ja, sinds december 2024; welke DSM-versies veilig zijn staat in advisory Synology-SA-24:20 |
Hoe is dit misbruikt?
Volgens Security.nl meldden getroffen gebruikers zich op Reddit. Synology schrijft in een verklaring dat aanvallers een lek uit december 2024 misbruiken op apparaten met verouderde DSM, om data te versleutelen en losgeld te eisen. Over het aantal slachtoffers is niets bekend.
Wat kan het gevolg zijn?
Een versleutelde NAS betekent verlies van bestanden en vaak ook van lokale back-ups die op hetzelfde apparaat staan. Voor MKB’ers zonder aparte kopie is dat meteen een bedrijfsstoring. Sommige slachtoffers kunnen volgens een GitHub-gids (c3rb3r-rescue) in bepaalde gevallen zelf ontsleutelen.
Wat moeten IT-beheerders nu doen?
Inventariseer Synology-systemen bij klanten, controleer de DSM-versie aan de hand van Synology-SA-24:20 en werk bij. Haal NAS-systemen van het open internet af, ontsluit ze via VPN, zet automatische updates aan en bewaar back-ups offline of op een ander systeem.
top ^
TeamViewer-lek laat aanvaller het systeem van een helpdeskmedewerker overnemen
| Kwetsbaarheid | Integer overflow in de verwerking van het remote-controlscherm in TeamViewer Full Client (inclusief Portable) voor Windows, Linux en macOS en in de Remote Control App voor Android, versies vóór 15.83. Dit kan leiden tot een denial of service of mogelijk code-uitvoering op het systeem dat verbinding maakt |
| CVE-nummer | CVE-2026-111585 (TeamViewer-bulletin TV-2026-1011) |
| CVSS-score | 8,8 |
| Actief misbruikt | Nee, TeamViewer meldt geen bekend misbruik |
| Patch beschikbaar | Ja, TeamViewer 15.83 (bulletin van 27 oktober 2026); voor oudere branches zijn aparte fixversies beschikbaar |
Hoe is dit misbruikt?
Volgens Security.nl kan een aanvaller code uitvoeren op het systeem van een helpdeskmedewerker die verbinding maakt met een systeem van de aanvaller. Gebruikers hoeven niets aan te klikken en er worden geen wachtwoorden gestolen; de medewerker hoeft alleen de verbinding te accepteren. Remedio meldde het lek op 14 augustus bij TeamViewer, zie de uitleg van Remedio.
Wat kan het gevolg zijn?
Dit raakt de werkplek van technici, en die heeft vaak brede rechten bij klanten. Hetzelfde bulletin dicht ook CVE-2026-92372, een out-of-bounds write in de decoder voor het schermbeeld op Linux en macOS, en een privilege-escalatie op macOS. Een besmette helpdesk-pc kan daarmee een springplank worden naar meerdere klantomgevingen. Er is geen misbruik gemeld.
Wat moeten IT-beheerders nu doen?
Werk de TeamViewer-clients van technici en servicedesk bij naar 15.83 of nieuwer, volgens het bulletin TV-2026-1011. Accepteer tot die tijd geen binnenkomende verbindingen van onbekende partijen en maak onderscheid tussen verbinden met een klant en verbinden met een onbekend systeem.
top ^
