Deze editie staat in het teken van de patchdinsdag van november. Microsoft dicht een actief misbruikte zero-day in Outlook waarmee aanvallers NTLM-hashes buitmaken. Daarnaast wordt een authenticatiebypass in Xen Orchestra misbruikt om XCP-ng-hosts over te nemen, blijken de twee Barracuda-lekken uit de editie van 4 november nu actief misbruikt te worden, brengt Fortinet updates voor meerdere kritieke lekken in FortiMail en FortiManager en dicht Synology een kritiek lek in DSM.
- Patchdinsdag november: Microsoft dicht actief misbruikte Outlook-zero-day die NTLM-hashes lekt
- Xen Orchestra: aanvallers nemen virtualisatieomgevingen over met een lege inlogcookie
- Barracuda-lekken in e-mail- en webgateways: nu actief misbruikt
- Fortinet dicht kritieke lekken in FortiMail en FortiManager waarmee aanvallers zonder inlog code uitvoeren
- Synology dicht kritiek lek in DSM waarmee aanvallers zonder inlog bestanden op de NAS lezen en schrijven
Patchdinsdag november: Microsoft dicht actief misbruikte Outlook-zero-day die NTLM-hashes lekt
| Kwetsbaarheid | Spoofinglek in classic Outlook: een speciaal gemaakt berichtbestand laat Outlook zonder waarschuwing verbinding maken met een server van de aanvaller, waarbij de NTLMv2-hash van de gebruiker uitlekt. Geraakt zijn onder meer Microsoft 365 Apps for Enterprise, Office LTSC 2021 en Office LTSC 2024 |
| CVE-nummer | CVE-2026-124194 |
| CVSS-score | 6,5 (Microsoft beoordeelt het lek als “moderate”) |
| Actief misbruikt | Ja, Microsoft meldt “Exploitation Detected”. CISA zette het lek op 10 november 2026 in de KEV-catalogus |
| Patch beschikbaar | Ja, in de Office-updates van 10 november 2026 voor alle ondersteunde versies van classic Outlook |
Hoe is dit misbruikt?
Microsoft bracht op dinsdag 10 november zijn maandelijkse updates uit. SecurityWeek telt 1.094 lekken, BleepingComputer komt op een record van 1.235, waarvan 66 kritiek. Eén lek werd al misbruikt voordat er een patch was. Een aanvaller stuurt een speciaal gemaakt berichtbestand en verleidt de ontvanger om het te openen. Outlook maakt daarna zonder de gebruikelijke waarschuwing voor externe inhoud verbinding met een locatie van de aanvaller en stuurt daarbij de NTLMv2-hash mee. Volgens Rapid7 is het voorbeeldvenster geen aanvalsroute: de gebruiker moet het bestand echt openen. Microsoft zegt niets over wie het lek misbruikt. Het lek is gevonden door een onderzoeker met de schuilnaam “nono” en door Benoît Sevens, bij wiens vermelding het gebruik van het AI-model Claude wordt genoemd.
Wat kan het gevolg zijn?
Een buitgemaakte NTLMv2-hash is offline te kraken of door te sturen naar andere systemen. Rapid7 waarschuwt dat de lage score de waarde van het lek onderschat: waar SMB- of LDAP-signing of Extended Protection voor Exchange en AD CS ontbreekt, kan een aanvaller zich met de hash als de gebruiker voordoen. Daarnaast bevat deze patchronde een reeks zware lekken zonder bekend misbruik die toch snel aandacht vragen. Het NCSC noemt onder meer lekken in Kerberos, DNS, DHCP Server en LDAP, die domeincontrollers en infrastructuurservers raken. Rapid7 wijst op een lek in Windows Search waarmee een aanvaller via één e-mailbijlage code kan uitvoeren op een Exchange-server, omdat Exchange bijlagen automatisch laat indexeren.
Wat moeten IT-beheerders nu doen?
Rol de Office-updates zo snel mogelijk uit en controleer dat je patchbeleid ook Office meeneemt naast de Windows-updates. Blokkeer uitgaand SMB-verkeer (poort 445) naar internet en dwing SMB- en LDAP-signing af, zodat buitgemaakte hashes minder waard zijn. Geef daarna voorrang aan de updates voor domeincontrollers en Exchange Server Subscription Edition. Oudere Exchange-versies krijgen geen updates meer.
Xen Orchestra: aanvallers nemen virtualisatieomgevingen over met een lege inlogcookie
| Kwetsbaarheid | Authenticatiebypass in de REST-authenticatie van Xen Orchestra en de Xen Orchestra Appliance (XOA) van Vates. Een cookie met een leeg JSON-object logt de aanvaller in als eigenaar van een bestaand token, met beheerdersrechten. Geraakt zijn versies vóór 6.9.2 (stable) en 6.10.1 (latest) |
| CVE-nummer | Geen CVE toegekend (Vates-advisory VSA-2026-062, beoordeeld als kritiek) |
| Actief misbruikt | Ja, bevestigd door Vates in de advisory van 10 november 2026 |
| Patch beschikbaar | Ja, Xen Orchestra 6.9.2 (stable) en 6.10.1 (latest), xo-server 5.211.2 en 5.213.1. Installaties vanaf broncode updaten naar de laatste master |
Hoe is dit misbruikt?
Volgens de advisory van Vates zet de cookieverwerking de waarde authenticationToken=j:%7B%7D om in een leeg object. De authenticatie controleert niet of dat een tekst is, en de tokenopzoeking geeft dan het eerste token in de verzameling terug. Is dat token nog geldig, dan is de aanvaller ingelogd als de eigenaar ervan. Daarna kan hij via een REST-route herbruikbare tokens opvragen. Het lek is gevonden door Filip Magic en Christoffer Olsen van TDC NET Security. BleepingComputer en The Hacker News melden dat de aanvallen vanaf 91.211.251.112:8001 en een Tor-adres kwamen.
Wat kan het gevolg zijn?
Met beheerdersrechten in Xen Orchestra kan een aanvaller code uitvoeren op beheerde pools en XCP-ng-hosts als root overnemen. XCP-ng is bij hosters en MSP’s een veelgekozen alternatief voor VMware, dus één gecompromitteerde beheerserver raakt alle virtuele machines erachter. Misbruik laat geen sporen achter in de logs van Xen Orchestra. Vates noemt als indicatoren een VM met de naam pivot2, VM’s met hvm_serial: file en de bestanden /etc/cron.d/zz-ustar, /etc/cron.d/zz-ustar2, /.ustar5 en /.ustar6.
Wat moeten IT-beheerders nu doen?
Update meteen naar 6.9.2 of 6.10.1. Media noemden eerst 6.9.1 en 6.10.0, maar Vates heeft de lijst met getroffen versies daarna verruimd. Zet Xen Orchestra nooit open op internet en plaats het op een apart beheernetwerk. Blokkeer de IP-adressen uit de advisory en controleer je XCP-ng-hosts op de genoemde indicatoren. Vind je sporen, vervang dan alle wachtwoorden en secrets (proxy’s, back-upbestemmingen, root, pool secret en OTP) en installeer de omgeving volgens Vates opnieuw.
Barracuda-lekken in e-mail- en webgateways: nu actief misbruikt
| Kwetsbaarheid | Autorisatiebypass in de Barracuda Email Security Gateway (ESG) en command injection in ESG, Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall en Web Security Gateway. Samen geven ze root-toegang |
| CVE-nummer | CVE-2026-116606 (autorisatiebypass, alleen ESG) en CVE-2026-111560 (command injection) |
| CVSS-score | 9,3 voor CVE-2026-116606 en 8,6 voor CVE-2026-111560 |
| Actief misbruikt | Ja, Barracuda meldde op 9 november 2026 misbruik bij “a small number of organizations”. CISA zette beide lekken op 10 november in de KEV-catalogus |
| Patch beschikbaar | Ja, sinds begin november. ESG: BNSF-40425 (vanaf 9.4.017) en BNSF-40430 (ouder dan 9.4.017); verder BNADC-16586, BNMA-32468, BNWF-60060 en BNYF-24789 |
Hoe is dit misbruikt?
In Patchwork van 4 november stonden deze twee ketenbare lekken al, toen nog zonder bekend misbruik. Op maandagavond 9 november werkte Barracuda zijn advisory bij: “We have identified exploitation activity affecting a small number of organizations.” Volgens BleepingComputer heeft een aanvaller toegang tot de beheerinterface nodig, waarna hij de autorisatie omzeilt en commando’s als root uitvoert. Security.nl meldt dat ook het Canadese Centre for Cyber Security voor het misbruik waarschuwt.
Wat kan het gevolg zijn?
Een aanvaller met root op een e-mailgateway leest al het mailverkeer van de organisatie mee en kan het apparaat als springplank naar het interne netwerk gebruiken. Barracuda-apparatuur staat bij veel MKB’ers aan de rand van het netwerk, vaak beheerd door een MSP. De korte deadline die CISA Amerikaanse overheidsdiensten geeft, laat zien hoe urgent de patch is.
Wat moeten IT-beheerders nu doen?
Controleer per apparaat of de patch echt is geïnstalleerd. Barracuda rolt de updates automatisch uit, maar alleen als automatisch patchen aan staat, en raadt aan dat weer in te schakelen. Beperk de beheerinterface tot vertrouwde interne netwerken. Stond de beheerinterface open op internet en was de patch er laat, onderzoek het apparaat dan op sporen van misbruik.
Fortinet dicht kritieke lekken in FortiMail en FortiManager waarmee aanvallers zonder inlog code uitvoeren
| Kwetsbaarheid | Drie lekken in FortiMail waarmee een aanvaller zonder inlog code uitvoert: command injection via HA join-requests (8.0.0 t/m 8.0.1 en 7.6.0 t/m 7.6.6), path traversal in de API en SQL-injectie in de API (beide 8.0.0 t/m 8.0.1, 7.6.0 t/m 7.6.6, 7.4.0 t/m 7.4.8 en alle versies van 7.2). Daarnaast een lek in het FGFM-protocol van FortiManager (8.0.0, 7.6.0 t/m 7.6.7, 7.4.0 t/m 7.4.5 en 7.2.0 t/m 7.2.8) |
| CVE-nummer | FortiMail: CVE-2026-126148, CVE-2026-126147 en CVE-2026-126164. FortiManager: CVE-2026-126261 |
| CVSS-score | 9,8 (CVE-2026-126148 en CVE-2026-126147), 9,4 (CVE-2026-126164) en 9,0 (CVE-2026-126261) |
| Actief misbruikt | Nee, Fortinet vermeldt bij alle vier “Known Exploited: No” (10 november 2026) |
| Patch beschikbaar | Ja. FortiMail 8.0.2, 7.6.7 of 7.4.9; voor 7.2 is migreren naar een gepatchte versie nodig. FortiManager 8.0.1, 7.6.8, 7.4.6 of 7.2.9. FortiMail Cloud is al op 5 oktober bijgewerkt |
Hoe kan de kwetsbaarheid misbruikt worden?
Fortinet publiceerde op 10 november ruim vijftig advisories. De zwaarste raken FortiMail. Volgens FG-IR-26-200 kan een aanvaller zonder inlog commando’s uitvoeren door speciaal gemaakte HA join-requestpakketten te sturen. Bij FG-IR-26-199 en FG-IR-26-216 gaat het om een path traversal en een SQL-injectie in de API, beide met code-uitvoering zonder inlog als mogelijk gevolg. Bij FortiManager kan een aanvaller die de FGFM-poort bereikt via gemanipuleerde pakketten code uitvoeren voordat het registratiewachtwoord is gecontroleerd (FG-IR-26-275). De lekken zijn intern gevonden door het Product Security-team van Fortinet, deels met hulp van het AI-model Claude Mythos.
Wat kan het gevolg zijn?
Een overgenomen FortiMail-gateway geeft toegang tot al het in- en uitgaande mailverkeer. Een overgenomen FortiManager is nog gevaarlijker, omdat daarmee alle aangesloten FortiGate-firewalls centraal beheerd worden. Bij een MSP die vanuit één FortiManager de firewalls van tientallen klanten beheert, raakt één lek dus al die klanten. Er is geen virtuele patch beschikbaar.
Wat moeten IT-beheerders nu doen?
Werk FortiMail en FortiManager bij naar de gepatchte versies. Draai je nog FortiMail 7.2, plan dan een migratie, want die tak krijgt geen fix. Zorg dat de FGFM-poort van FortiManager (TCP 541) en de beheerinterfaces niet vanaf internet bereikbaar zijn. Loop ook de overige advisories van deze patchdag na, onder meer voor FortiAuthenticator en FortiOS.
Synology dicht kritiek lek in DSM waarmee aanvallers zonder inlog bestanden op de NAS lezen en schrijven
| Kwetsbaarheid | SQL-injectie in de Auth API van Synology DiskStation Manager (DSM) waarmee een aanvaller zonder inlog willekeurige bestanden leest en schrijft, plus een authenticatiebypass in rsync. Geraakt zijn DSM 7.4, 7.3, 7.2.2 en 7.2.1 vóór de gepatchte versies |
| CVE-nummer | CVE-2026-76954 (SQL-injectie) en CVE-2026-85101 (rsync) |
| CVSS-score | 9,8 voor CVE-2026-76954 en 8,6 voor CVE-2026-85101 |
| Actief misbruikt | Nee, Synology meldt geen misbruik in de advisory van 10 november 2026 |
| Patch beschikbaar | Ja, DSM 7.4.1-90080-1, 7.3.2-86009-5, 7.2.2-72806-10 of 7.2.1-69057-13 en nieuwer. Er is geen tijdelijke maatregel |
Hoe kan de kwetsbaarheid misbruikt worden?
Volgens de advisory van Synology kan een aanvaller op afstand en zonder inloggegevens via de Auth API een SQL-injectie uitvoeren. Daarmee leest en schrijft hij willekeurige bestanden en kan hij de NAS laten vastlopen. Het tweede lek zit in rsync en laat een aanvaller via een alternatieve route de authenticatie omzeilen om bepaalde bestanden te lezen en bestanden te schrijven. De lekken zijn gevonden door onderzoekers van het Viettel Cyber Security Research Lab en door Warisse Valentin van Aytio.
Wat kan het gevolg zijn?
Synology-NAS’en zijn bij MKB’ers populair voor bestandsopslag en back-up, en staan regelmatig via internet open. Een aanvaller die zonder inlog bestanden kan schrijven, kan de NAS overnemen, data stelen of ransomware plaatsen. Pas in de editie van 3 november bleek dat ransomwaregroepen gericht op verouderde Synology-systemen jagen. Volgens Security.nl melden lezers dat de gepatchte versie niet bij iedereen automatisch wordt aangeboden.
Wat moeten IT-beheerders nu doen?
Controleer bij elke beheerde Synology welke DSM-versie draait en installeer de update handmatig als die niet automatisch verschijnt. Haal DSM en rsync van internet af als dat niet strikt nodig is, en gebruik voor beheer op afstand een VPN.
