Deze editie bevat twee items. SonicWall waarschuwt voor een lek in de SSLVPN-dienst van SonicOS dat actief wordt misbruikt om SAML-authenticatie en MFA te omzeilen. Daarnaast waarschuwt QNAP gebruikers van Plex Media Server voor Plex2Shell, een keten van vier lekken waarmee aanvallers NAS-systemen overnemen.
- SonicWall: aanvallers omzeilen SAML-inlog en MFA op SonicOS-firewalls
- Plex2Shell: QNAP waarschuwt dat Plex-servers op NAS-systemen op grote schaal worden overgenomen
SonicWall: aanvallers omzeilen SAML-inlog en MFA op SonicOS-firewalls
| Kwetsbaarheid | Fout in de afdwinging van authenticatie in de SSLVPN-dienst van SonicWall SonicOS. Een gebruiker met geldige inloggegevens voor een alternatieve authenticatiemethode kan SAML-authenticatie omzeilen, inclusief via SAML afgedwongen MFA. Getroffen zijn SonicOS Gen7 7.3.3-7015 en ouder en Gen8 8.2.2-8015 en ouder |
| CVE-nummer | CVE-2026-19868 |
| CVSS-score | 7,5 (hoog, secundaire score in de NVD; de analyse door de NVD loopt nog) |
| Actief misbruikt | Ja, CISA nam de kwetsbaarheid op 6 november 2026 op in de KEV-catalogus |
| Patch beschikbaar | SonicWall heeft advisory SNWLID-2026-0014 gepubliceerd. Een gefixte versie kon ik in de geraadpleegde bronnen niet verifiëren, dus controleer de advisory voor de juiste firmware |
Hoe is dit misbruikt?
Volgens de NVD-vermelding kan een aanvaller die geldige inloggegevens heeft voor een andere authenticatiemethode op de firewall, de SAML-controle op de SSLVPN-dienst omzeilen. Daarmee valt ook de MFA weg die via SAML wordt afgedwongen. CISA voegde het lek op 6 november toe aan de catalogus van bekende, actief misbruikte kwetsbaarheden, onder de titel “Use of Single-factor Authentication”. Hoe de aanvallen precies verlopen en wie erachter zit is in de geraadpleegde bronnen niet vermeld. De NVD noemt de score van 7,5 en wijst erop dat de aanvaller wel al over geldige inloggegevens moet beschikken.
Wat kan het gevolg zijn?
Veel MSP’s beheren SonicWall-firewalls met SSLVPN en laten klanten inloggen via SAML met MFA. Wanneer die tweede factor wegvalt, is een gestolen of gelekt wachtwoord genoeg om het klantnetwerk binnen te komen. Dat maakt dit lek extra vervelend voor omgevingen waar MFA als enige drempel voor VPN-toegang geldt.
Wat moeten IT-beheerders nu doen?
Controleer in de advisory van SonicWall welke firmware het lek verhelpt en installeer die op alle Gen7- en Gen8-firewalls met SSLVPN en SAML. Kijk in de VPN-logs naar inlogpogingen via andere authenticatiemethoden dan SAML en naar aanmeldingen die ongebruikelijk zijn voor de betreffende gebruiker. Overweeg tot de update de SSLVPN-toegang te beperken tot bekende IP-adressen. CISA hanteert 20 november 2026 als uiterste datum voor Amerikaanse overheidsdiensten, een bruikbare richtlijn voor je eigen planning.
Plex2Shell: QNAP waarschuwt dat Plex-servers op NAS-systemen op grote schaal worden overgenomen
| Kwetsbaarheid | Vier geketende kwetsbaarheden in Plex Media Server 1.43.2 en eerder, samen Plex2Shell genoemd, die ongeauthenticeerde code-uitvoering op afstand geven met de rechten van het Plex-proces. QTS en QuTS hero zelf zijn volgens QNAP niet kwetsbaar |
| CVE-nummer | CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 en CVE-2026-96656 |
| Actief misbruikt | Ja, Plex meldt actieve en wijdverbreide uitbuiting; een openbare proof of concept verscheen op 16 oktober 2026 |
| Patch beschikbaar | Ja, Plex Media Server 1.43.3.10861 of nieuwer, via het App Center van QNAP |
Hoe is dit misbruikt?
Volgens de beveiligingsmelding van QNAP is het risico van elk lek afzonderlijk beperkt, maar geketend geven ze een aanvaller zonder inlog controle over de server. Sinds de publicatie van de proof of concept op 16 oktober zijn Plex-servers in grote aantallen aangevallen. Zoals Security.nl meldt, zijn besmette servers voorzien van cryptominers en proxysoftware. QNAP zegt meerdere meldingen te hebben ontvangen van gebruikers van wie Plex op de NAS is overgenomen.
Wat kan het gevolg zijn?
Een overgenomen Plex-server draait op een NAS die vaak ook bedrijfsbestanden of back-ups bevat. De aanvaller krijgt daarmee een plek in het netwerk van de klant, en de proxysoftware maakt de NAS bruikbaar als doorgeefluik voor andere aanvallen. Voor MSP’s speelt dit vooral bij MKB’ers en thuiswerkplekken waar een Plex-server naast de gewone NAS-functies draait.
Wat moeten IT-beheerders nu doen?
Werk Plex bij via App Center, My Apps en controleer in Plex Web onder Settings, General of versie 1.43.3.10861 of hoger draait. Was Plex op 1.43.2 of eerder bereikbaar van buitenaf, via Remote Access, een geforwarde poort 32400 of UPnP, ga dan uit van een compromittering. Een update verwijdert aanvallerssoftware niet. QNAP adviseert een schone herinstallatie, controle op indicatoren van compromittering en het resetten van de Plex- en NAS-wachtwoorden. Bewaar eerst de map Plex Logs en open bij vermoeden van een inbraak een case bij QNAP. Schakel Remote Access uit en gebruik een VPN als externe toegang nodig is.
