Deze editie draait om het beheergereedschap van MSP’s zelf. N-able heeft N-central offline gehaald na de publicatie van meer dan 30 zero-days, aanvallers gebruiken twee lekken in de AhsayCBS-backupserver voor webshells en cryptominers, en het OpenSSH-lek SSHole wordt nu actief misbruikt. Daarnaast dicht Google een actief misbruikte zero-day in Chrome en misbruiken aanvallers een Qubole-koppeling om AWS-omgevingen van klanten leeg te trekken.
- N-able haalt N-central offline na publicatie van meer dan 30 zero-days in de RMM-software
- AhsayCBS-backupservers gehackt via twee lekken: webshells, cryptominers en jacht op Veeam-credentials
- SSHole: eerder gemeld OpenSSH-lek op musl-Linux nu actief misbruikt en door CISA op de lijst gezet
- Chrome-update dicht actief misbruikte zero-day in de XML-component, de achtste van dit jaar
- Aanvallers misbruiken Qubole-koppeling naar AWS-omgevingen van klanten om secrets en S3-data te stelen
N-able haalt N-central offline na publicatie van meer dan 30 zero-days in de RMM-software
| Kwetsbaarheid | 33 beweerde kritieke kwetsbaarheden in N-able N-central (hosted en on-premises), te koppelen tot vier exploitketens onder de naam “Able2Shell”: authenticatieomzeiling, credential disclosure, willekeurig bestanden schrijven, XXE, RCE en privilege escalatie. Getest op N-central Appliance 2026.4.0.31, oudere versies zijn waarschijnlijk ook geraakt |
| CVE-nummer | Geen CVE toegekend |
| Actief misbruikt | Nee, N-able zag op 9 november (15:15 UTC) geen misbruik. De proof-of-concept-exploits staan wel openbaar op GitHub |
| Patch beschikbaar | Nee, N-able werkt aan een hotfix zonder datum. N-able heeft de hosted omgevingen offline gehaald en adviseert on-premises servers uit te zetten tot nader bericht |
Wat is er gebeurd?
Onderzoeker Sean Bales publiceerde zondagavond 8 november op GitHub de repository “Able2Shell” met proof-of-concept-exploits, naar eigen zeggen deels met hulp van AI gevonden. Volgens BleepingComputer is de gevaarlijkste keten een ongeauthenticeerde XXE-kwetsbaarheid die uitloopt op code-uitvoering en het aanmaken van een extra beheerdersaccount. N-able meldde een “critical security incident”, nam het gehoste N-central in Amerika, Europa en Azië-Pacific offline en belooft elke vier uur een update.
Wat kan het gevolg zijn?
N-central is een RMM-platform waarmee MSP’s de systemen van al hun klanten beheren. Met controle over het beheerplatform zijn scripts en tools naar alle gekoppelde omgevingen te sturen. Dat is in eerdere N-central-aanvallen dit jaar al gebeurd, zoals Huntress aanstipt. Zolang de hotfix ontbreekt, valt bovendien je eigen monitoring en patchbeheer uit als je de server offline haalt.
Wat moeten IT-beheerders nu doen?
Haal on-premises N-central-servers offline en houd ze offline totdat N-able meldt dat herstel veilig is. Bij de hosted dienst reken je op een storing en volg je de statuspagina van N-able. Controleer authenticatielogs vanaf 8 november op onverwachte toegang, en kijk in de auditlogs naar afwijkende remote sessies, nieuw uitgerolde scripts en onbekende beheeraccounts. Pas de hotfix pas toe als N-able dat aangeeft, het versienummer kan afwijken van 2026.4.0.31. Bereid ook klantcommunicatie voor, want je kunt tijdelijk geen beheer op afstand leveren.
AhsayCBS-backupservers gehackt via twee lekken: webshells, cryptominers en jacht op Veeam-credentials
| Kwetsbaarheid | Authenticatieomzeiling en ongeauthenticeerde remote code execution als SYSTEM (via /rps/api/json/UpdateReceivers.do) in Ahsay AhsayCBS, de backupserver van Ahsay (v10 en v7 tot en met v9) |
| CVE-nummer | CVE-2026-105133 (authenticatieomzeiling) en CVE-2026-105134 (remote code execution) |
| Actief misbruikt | Ja, sinds begin oktober 2026. Huntress zag tussen 8 en 11 oktober drie servers in één omgeving gecompromitteerd; de eerste melding dateert van 8 oktober, het vervolgonderzoek verscheen op 9 november |
| Patch beschikbaar | Ja, AhsayCBS 10.3.4.45 (v10) en 9.15.2.70 (v7 tot en met v9). Huntress heeft alleen 10.3.4.45 geverifieerd. Patchen verwijdert geplaatste bestanden niet |
Hoe is dit misbruikt?
Aanvallers kwamen binnen via internet-bereikbare AhsayCBS-servers. Volgens het onderzoek van Huntress plaatsten ze vijf families JSP-webshells, installeerden ze een XMRig-cryptominer met een SYSTEM-taak die elke minuut draait en zetten ze een Python-implant neer dat via HTTPS en DNS-over-HTTPS met een C2-server praat. Daarnaast verschenen tunneltools (gost, chisel), AnyDesk, Atera en Splashtop, een lokaal account “wdguest”, Mimikatz en brede Defender-uitsluitingen. Een webshell verstopte payloads in PNG-pixeldata.
Wat kan het gevolg zijn?
De aanvallers zochten gericht naar backupinfrastructuur. Op een gerelateerde Veeam-server probeerden ze opgeslagen credentials uit de database te halen. Een gehackte backupserver geeft toegang tot klantdata, opgeslagen wachtwoorden en de herstelmogelijkheid zelf. Of er daadwerkelijk data is gestolen, is onbekend. Een webshell met downloadfunctie kan als exfiltratiekanaal dienen.
Wat moeten IT-beheerders nu doen?
Update naar de genoemde versies en zoek daarna op elke server naar onbekende .jsp-bestanden, mappen als ahsay_*, onbekende geplande taken, Defender-uitsluitingen en een Python-installatie onder het SYSTEM-profiel. Doorzoek de AhsayCBS-logs op verzoeken naar UpdateReceivers.do. Bij een bevestigde compromittering adviseert Huntress een volledige herinstallatie vanaf een vertrouwde back-up en het roteren van alle credentials die via de server bereikbaar waren, inclusief die van andere backupsoftware in het netwerk.
SSHole: eerder gemeld OpenSSH-lek op musl-Linux nu actief misbruikt en door CISA op de lijst gezet
| Kwetsbaarheid | Authenticatieomzeiling in OpenSSH op musl-gebaseerde Linux-systemen zoals Alpine: een te lang wachtwoord laat de hashfunctie van musl een “*” teruggeven, wat OpenSSH als geldige match behandelt bij accounts met een “*” in /etc/shadow |
| CVE-nummer | CVE-2026-123158 |
| CVSS-score | 8,1 (volgens The Hacker News) |
| Actief misbruikt | Ja, eerste pogingen op 5 november, eerste succesvolle aanvallen op 6 en 7 november. CISA nam het lek op 9 november op in de KEV-catalogus |
| Patch beschikbaar | Ja, OpenSSH 10.6p2 (uitgebracht op 5 november). Alternatief: wachtwoordauthenticatie voor SSH uitschakelen |
Hoe is dit misbruikt?
Dit lek stond al in Patchwork van vrijdag 6 november. Nieuw is het bevestigde misbruik. Volgens BleepingComputer verscheen vier uur na de patch een proof-of-concept en zag GreyNoise ongeveer 40 uur na de fix de eerste succesvolle aanval, met 16 aanvalsketens vanaf zes IP-adressen. Previdian telde pogingen vanaf 13 IP-adressen in negen landen, watchTowr zag botnet- en cryptominer-activiteit. Na de inlog verkennen aanvallers het systeem en de container, vragen ze cloud-metadata op, proberen ze wachtwoordhashes en root-SSH-sleutels te lezen en passen ze authorized_keys aan voor persistentie. In één geval landde de Python-implant “TAC Agent”.
Wat kan het gevolg zijn?
Accounts met een “*” in het wachtwoordveld, zoals service-accounts, zijn zonder geldig wachtwoord te benaderen. Bij accounts met passwordless admin-rechten leidt dat tot root. Volgens The Hacker News staat het lek samen met drie andere kwetsbaarheden in de KEV-catalogus, met 12 november als deadline voor Amerikaanse overheidsinstanties. Het misbruik is volgens Defused Cyber nog niet wijdverspreid.
Wat moeten IT-beheerders nu doen?
Update OpenSSH naar 10.6p2 of nieuwer, of schakel SSH-wachtwoordauthenticatie uit. Zoek naar onverwachte wachtwoordlogins bij accounts met een “*” in /etc/shadow, controleer authorized_keys op onbekende sleutels en zoek naar TAC Agent-bestanden en bijbehorende startup-services. Let vooral op Alpine-containers en andere musl-gebaseerde images.
Chrome-update dicht actief misbruikte zero-day in de XML-component, de achtste van dit jaar
| Kwetsbaarheid | Use-after-free in de XML-component van Google Chrome, onderdeel van een update die negen kwetsbaarheden dicht |
| CVE-nummer | CVE-2026-125350 |
| Actief misbruikt | Ja, volgens Google. Details over de aanvallen zijn niet gedeeld en CISA had het lek op 10 november nog niet in de KEV-catalogus opgenomen |
| Patch beschikbaar | Ja, Chrome 157.0.8103.50 of nieuwer (Linux), 157.0.8103.50/.51 (Windows en Mac) |
Wat is er gebeurd?
Een anonieme onderzoeker meldde het lek op 6 november. Google bracht maandag 9 november de fix uit en meldt dat er al misbruik is, aldus SecurityWeek. Het is de achtste Chrome-zero-day van 2026. De update dicht verder zes high-severity bugs in onder meer WebGL, FileSystem, Compositing, GPU en V8, en twee medium-severity bugs.
Wat kan het gevolg zijn?
Chrome staat op vrijwel elke beheerde werkplek. Een use-after-free in de browser is vaak de eerste stap in een aanval die via een kwaadaardige pagina begint. Omdat Google nog geen details deelt, is onduidelijk wie het lek misbruikt en tegen wie.
Wat moeten IT-beheerders nu doen?
Rol Chrome 157.0.8103.50 of nieuwer zo snel mogelijk uit via je patchmanagement en controleer of de browser na de update ook echt is herstart.
Aanvallers misbruiken Qubole-koppeling naar AWS-omgevingen van klanten om secrets en S3-data te stelen
| Kwetsbaarheid | Misbruik van cross-account IAM-rollen die klanten voor de dataplatformleverancier Qubole in AWS hadden aangemaakt. Aanvallers gebruikten IAM-credentials van een aan Qubole gekoppeld AWS-account en namen de rollen over met de ExternalId. Hoe die credentials zijn buitgemaakt, is niet bekendgemaakt |
| CVE-nummer | Geen CVE toegekend |
| Actief misbruikt | Ja, van 14 tot 26 oktober 2026 in meerdere klantomgevingen. Wiz, Sentra en Mandiant publiceerden de bevindingen op 9 november |
| Patch beschikbaar | Nee, het is geen softwarelek. Beheerders moeten rollen aanscherpen, secrets roteren en CloudTrail doorzoeken |
Hoe is dit misbruikt?
Volgens het onderzoek van Wiz krijgen leveranciers toegang via een rol in het account van de klant, met een trust policy die het leveranciersaccount toestaat die rol aan te nemen, meestal beveiligd met een ExternalId. De aanvaller riep sts:AssumeRole aan met die ExternalId en alle pogingen slaagden. Wiz wijst erop dat de ExternalId geen geheim is: hij staat in CloudTrail en in infrastructuur-als-code. Een beperking op bron-IP had alle waargenomen aanvallen geblokkeerd. De aanvaller inventariseerde S3, EC2, RDS, IAM en KMS, las Lambda-omgevingsvariabelen, Secrets Manager en SSM Parameter Store uit, testte gevonden sleutels met TruffleHog (ook voor Entra ID en Okta) en las soms complete S3-buckets.
Wat kan het gevolg zijn?
Het patroon past bij de eerdere aanvallen via vertrouwde leveranciersidentiteiten: een inbreuk bij één partij opent de omgevingen van al zijn klanten. Gevonden secrets geven toegang tot weer andere systemen, en het intrekken van sessies beëindigt bestaande tijdelijke credentials niet.
Wat moeten IT-beheerders nu doen?
Inventariseer alle IAM-rollen die externe accounts vertrouwen en verwijder wat niet meer nodig is. Beperk de vertrouwde principal tot de specifieke IAM-principal van de leverancier en voeg aws:SourceIp of aws:SourceVpce toe. Gebruik de ExternalId niet als enige controle. Zoek in CloudTrail vanaf 1 oktober naar AssumeRole vanuit account 805246085872 met een niet-AWS-bron-IP, naar sessies met de naam “quiam-” en naar GetCallerIdentity met een TruffleHog-user-agent. Roteer bij een treffer alle secrets, parameters en Lambda-variabelen die de rol kon lezen.
