In deze editie staat een grote patchronde van Citrix voorop: NetScaler ADC en Gateway krijgen updates voor een reeks kritieke geheugenlekken, waarvan één elke installatie raakt, ook in de standaardconfiguratie. Daarnaast blijkt de hotfix van N-able voor N-central onvoldoende, want een nieuwe exploit wordt al op gepatchte servers misbruikt. Verder dicht Ivanti een kritiek SQL-injectielek in Endpoint Manager, ligt er een openbare exploit voor een ongepatcht Windows-lek dat SYSTEM-rechten oplevert, en misbruiken aanvallers een nep-Teams-planner om via device code phishing Microsoft 365-accounts over te nemen.
- Citrix dicht kritieke lekken in NetScaler ADC, Gateway en Console
- N-able N-central: nieuwe exploit omzeilt hotfix en wordt nu actief misbruikt
- Kritiek SQL-injectielek in Ivanti Endpoint Manager maakt overname zonder inlog mogelijk
- SignDrop: openbare exploit voor ongepatcht Windows-lek geeft SYSTEM-rechten
- Aanvallers verpakken device code phishing als Teams-afspraakplanner
Citrix dicht kritieke lekken in NetScaler ADC, Gateway en Console
| Kwetsbaarheid | Reeks geheugenlekken in NetScaler ADC en NetScaler Gateway 14.1 vóór 14.1-73.57, 13.1 vóór 13.1-64.39, ADC 14.1-FIPS vóór 14.1-73.58 FIPS en 13.1-FIPS/NDcPP vóór 13.1-37.293. Daarnaast een authenticatie-omzeiling in NetScaler Console 14.1 vóór 14.1-74.34 en privilege-escalatie in de Secure Access Client voor Windows en Linux |
| CVE-nummer | Onder meer CVE-2026-120868 (alle installaties), CVE-2026-107412 (Gateway en AAA), CVE-2026-120869 (Console), CVE-2026-118268 en CVE-2026-118269 (Secure Access Client) |
| CVSS-score | 9,3 (CVE-2026-120868), 9,5 (CVE-2026-107412), 9,4 (CVE-2026-120869), 8,5 (Secure Access Client) |
| Actief misbruikt | Nee, Citrix is op 12 november niet bekend met misbruik en er is geen bevestigde openbare proof-of-concept |
| Patch beschikbaar | Ja: ADC en Gateway 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS en 13.1-37.293; Console 14.1-74.34; Secure Access Client Windows 26.11.1.6 en Linux 26.10.4 |
Hoe kan de kwetsbaarheid misbruikt worden?
Cloud Software Group publiceerde op 12 november bulletins voor in totaal 28 geheugenfouten in NetScaler ADC en Gateway, volgens CERT-EU. Het zwaarste lek zit in de kern van de pakketverwerking: daarvoor is geen inlog en geen speciale functie nodig, dus elke installatie loopt risico. Een tweede reeks overlopen is zonder authenticatie bereikbaar op apparaten die als Gateway (SSL VPN, ICA Proxy, CVPN of RDP Proxy) of als AAA-server zijn ingericht. Andere lekken hangen af van functies als SAML, LDAP, Email OTP, Endpoint Analysis, DNS-over-HTTPS en HTTP/2. In NetScaler Console kan een aanvaller zonder inlog de authenticatiecontrole omzeilen, meldt The Hacker News. Volgens Citrix komen de fixes voort uit een diepere review van de code met AI-ondersteunde analyse; onder de melders staan ook onderzoekers van onder meer watchTowr, volgens het Citrix-bulletin.
Wat kan het gevolg zijn?
Citrix omschrijft de impact als onvoorspelbaar gedrag en denial of service. Bij geheugenoverlopen in een appliance aan de rand van het netwerk is dat een onrustig beeld: eerdere NetScaler-lekken werden binnen korte tijd na publicatie misbruikt, en een uitval van de Gateway legt de externe toegang van een hele organisatie stil. Met het lek in de Secure Access Client kan een gewone gebruiker op een werkplek SYSTEM- of rootrechten krijgen.
Wat moeten IT-beheerders nu doen?
Werk alle zelfbeheerde NetScaler ADC- en Gateway-appliances bij naar de gepatchte builds en begin met de apparaten die als Gateway of AAA-server aan internet hangen. Citrix-beheerde clouddiensten worden door de leverancier zelf bijgewerkt. Zet NetScaler Console in een afgeschermd beheernetwerk en patch die gelijk mee, en rol de nieuwe Secure Access Client uit naar werkplekken. Het NCSC heeft een eigen advies over de updates gepubliceerd.
N-able N-central: nieuwe exploit omzeilt hotfix en wordt nu actief misbruikt
| Kwetsbaarheid | “4EverAble2Shell”: combinatie van een Apache Axis-lek met een privilege-escalatie in N-central, waarmee een aanvaller zonder inlog rootrechten krijgt op on-premises N-central-servers, ook op 2026.4 Hotfix 2 (build 2026.4.1.26). Vereist dat de Legacy API aan staat. Hosted omgevingen zijn volgens N-able niet getroffen |
| CVE-nummer | CVE-2026-90436 (Apache Axis); voor de privilege-escalatie in N-central is geen CVE toegekend (Previdian: VULN-2026-0009) |
| CVSS-score | 9,8 (CVE-2026-90436) |
| Actief misbruikt | Ja, sinds 12 november 09:16 UTC; Huntback telde die dag 21 servers met een cryptominer, waarvan 19 al op Hotfix 2 |
| Patch beschikbaar | Nee, N-able werkt aan aanvullende fixes. Maatregel: Legacy API uitschakelen (standaard uit); N-able heeft de Intune-integratie uitgeschakeld |
Hoe is dit misbruikt?
In Patchwork van donderdag meldden we dat N-able een hotfix had uitgebracht voor de gelekte zero-days in N-central. Diezelfde dag publiceerde onderzoeker Sean Bales nieuwe exploits die ook tegen die hotfix werken. Volgens Huntback verscheen de exploit om 03:58 UTC en volgde de eerste geslaagde aanval met rootescalatie om 09:16 UTC. Om 12:50 UTC waren 21 N-central-servers aan het minen voor de aanvallers, in onder meer de VS, het VK, Duitsland, Frankrijk en Zweden. BleepingComputer meldt dat ook Previdian de aanvallen zag. Een tweede exploit, “Agent2Shell”, zou volgens de onderzoeker beheerde Windows-agents als SYSTEM laten uitvoeren, op voorwaarde dat de aanvaller de appliance-ID kent, schrijft The Hacker News.
Wat kan het gevolg zijn?
De aanvallers installeren voorlopig een XMRig-miner. Met root op de RMM-server ligt echter de weg open naar elke beheerde klantomgeving.
Wat moeten IT-beheerders nu doen?
Controleer direct dat de Legacy API uit staat en werk agents en probes bij volgens de eerdere hotfix-instructies. Zoek naar POST-verzoeken naar /dms/services/ServerUI met jline.internal.TerminalLineSettings, naar /tmp/.xvd of /var/tmp/.xvd, een systemd-service xvd.service, /etc/cron.d/xvd en verbindingen met 157.20.241[.]16. Behandel een treffer als volledige compromittering van de server.
Kritiek SQL-injectielek in Ivanti Endpoint Manager maakt overname zonder inlog mogelijk
| Kwetsbaarheid | SQL-injectie in de Core van Ivanti Endpoint Manager (EPM) vóór 2024 SU8, die kan leiden tot code uitvoeren op afstand zonder inlog. Daarnaast verstuurt de EPM-agent in dezelfde versies gevoelige gegevens onversleuteld |
| CVE-nummer | CVE-2026-121653 (SQL-injectie), CVE-2026-18128 (onversleuteld verkeer agent) |
| CVSS-score | 9,8 (CVE-2026-121653) |
| Actief misbruikt | Nee, Ivanti is op 12 november niet bekend met misbruik |
| Patch beschikbaar | Ja, EPM 2024 SU8 |
Hoe kan de kwetsbaarheid misbruikt worden?
Volgens het advies van het NCSC kan een externe aanvaller zonder inlog kwaadaardige SQL-commando’s injecteren in de Core van EPM, met het uitvoeren van willekeurige code als mogelijk gevolg. Het tweede lek zit in de agent: die stuurt gevoelige informatie onversleuteld, zodat een aanvaller met een man-in-the-middlepositie HTTP-verkeer kan onderscheppen, lezen en aanpassen. Details staan in het beveiligingsbulletin van Ivanti.
Wat kan het gevolg zijn?
Met EPM beheren organisaties laptops, smartphones en servers en verspreiden ze software en updates, merkt Security.nl op. Een overgenomen EPM-server geeft een aanvaller daarmee een kanaal naar alle beheerde apparaten. EPM is in het verleden vaker doelwit geweest van aanvallen.
Wat moeten IT-beheerders nu doen?
Werk EPM bij naar 2024 SU8, zowel de Core als de agents. Zorg dat de EPM-server niet onnodig vanaf internet bereikbaar is en controleer de logs van de Core op ongebruikelijke databaseverzoeken.
SignDrop: openbare exploit voor ongepatcht Windows-lek geeft SYSTEM-rechten
| Kwetsbaarheid | Lokale privilege-escalatie via de authenticatiemitigatie van de Common Log File System-driver (CLFS) in Windows. Getest op Windows 11 26H2 en Windows Server 2025 (Experimental); de onderzoeker schat dat ongeveer 80 procent van de Windows-installaties kwetsbaar is |
| CVE-nummer | Geen CVE toegekend |
| Actief misbruikt | Nee, niet gemeld; de proof-of-concept staat sinds 12 november openbaar op GitHub |
| Patch beschikbaar | Nee, Microsoft heeft nog geen update of workaround uitgebracht |
Hoe kan de kwetsbaarheid misbruikt worden?
Onderzoeker Abdelhamid Naceri, bekend als Nightmare Eclipse, publiceerde de exploit zonder Microsoft vooraf in te lichten, meldt BleepingComputer. Het lek zit in de mitigatie die Microsoft in oktober 2025 aan CLFS toevoegde. De toegangscontrole klopt bij het aanmaken van een logbestand, maar een geprivilegieerd proces zoals Windows Defender kan later gedwongen worden het bestand te openen, waarna een authenticatiebestand met SYSTEM-rechten ontstaat. Volgens The Hacker News claimt de onderzoeker dat de techniek ook de manipulatiebeveiliging van beveiligingssoftware kan omzeilen.
Wat kan het gevolg zijn?
Een aanvaller die al code kan uitvoeren als gewone gebruiker, bijvoorbeeld na een phishingbijlage, kan doorstoten naar volledige controle over het systeem. Met een kant-en-klare exploit op GitHub ligt de drempel voor misbruik laag.
Wat moeten IT-beheerders nu doen?
Controleer de registerwaarde HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode: de waarde 0 of 1 betekent volgens de onderzoeker dat het systeem kwetsbaar is. Zet de CLFS-mitigatie niet uit, want dan worden systemen weer kwetsbaar voor oudere geheugenaanvallen. Houd je EDR scherp op verdachte processen die SYSTEM-rechten krijgen en rol de update uit zodra Microsoft die publiceert.
Aanvallers verpakken device code phishing als Teams-afspraakplanner
| Kwetsbaarheid | Misbruik van de device code-aanmelding van Microsoft 365 via een nagemaakte “Microsoft Teams Meeting Scheduler”, waarbij de device code wordt gepresenteerd als boekingsreferentie. Het gaat om misbruik van bestaande functionaliteit; er is geen softwarefout in het spel |
| CVE-nummer | Geen CVE toegekend |
| Actief misbruikt | Ja, door Huntress gezien bij een bouwbedrijf in oktober 2026 en beschreven op 12 november |
| Patch beschikbaar | Nee, niet van toepassing. Maatregel: device code-aanmelding beperken met Conditional Access en phishingbestendige MFA afdwingen |
Hoe is dit misbruikt?
Volgens Huntress (Andrea Hatcher, Matt Poto en Lindsey O’Donnell-Welch) kreeg een medewerker een mail van een typosquat-domein dat zich voordeed als een directeur van een ander bouwbedrijf. De link liep via Microsoft Safe Links en een Google-shortlink naar een nagebouwde Teams-planner. Na het kiezen van een tijdstip vroeg de achterkant van de pagina een echte Microsoft device code aan en toonde die als “Booking Reference”. De code ging naar het klembord en een pop-up opende de legitieme Microsoft-aanmeldpagina. Door de code daar in te voeren, keurde het slachtoffer de sessie van de aanvaller goed. Het slachtoffer kwam daarna op een Calendly-pagina terecht. Bij een MFA-fout startte de kit automatisch een nieuwe sessie, en de phishingpagina was versleuteld zodat scanners zonder JavaScript niets zagen, meldt Help Net Security.
Wat kan het gevolg zijn?
De aanvaller kreeg een geldig sessietoken voor het Microsoft 365-account en meldde zich aan via een residentiële proxy, zodat het verkeer op gewoon consumentenverkeer leek. Daarmee is toegang tot mail en bestanden mogelijk zonder dat het wachtwoord bekend is.
Wat moeten IT-beheerders nu doen?
Blokkeer of beperk de device code-flow met Conditional Access in tenants waar die niet nodig is, en dwing phishingbestendige MFA af. Zoek in de aanmeldlogs naar programmatische user agents zoals python-requests en node, naar aanmeldingen vanaf onbeheerde apparaten en residentiële proxy’s, en naar Cmsi:Cmsi-aanmeldingen bij de Microsoft Authentication Broker. Controleer bij een vermoedelijke inbraak op nieuwe MFA-methoden, onbekende apparaten, app-toestemmingen en verdachte mailboxregels.
