Deze editie draait om drie beveiligingsproblemen die direct raken aan tools die MSP’s beheren. Een gecompromitteerde update van de WordPress-plugin Rank Math PRO plaatste een zichzelf herstellende backdoor op websites, Cisco waarschuwt voor actief misbruik van een kritieke kwetsbaarheid in de Secure Email Gateway en Palo Alto Networks dicht een actief misbruikt lek in de beheerinterface van PAN-OS.
- Rank Math PRO 3.0.123 bevatte een backdoor die zichzelf herstelt: WordPress-sites van klanten als gecompromitteerd behandelen
- Cisco Secure Email Gateway wordt aangevallen via een kritiek lek in de bijlagescan
- Palo Alto Networks patcht actief misbruikt RCE-lek in de beheerinterface van PAN-OS
Rank Math PRO 3.0.123 bevatte een backdoor die zichzelf herstelt: WordPress-sites van klanten als gecompromitteerd behandelen
| Kwetsbaarheid | Backdoor in Rank Math PRO 3.0.123, de betaalde versie van de WordPress SEO-plugin, in pakketten die tussen 20:02 UTC op 15 oktober en 07:12 UTC op 16 oktober 2026 zijn gedownload of als update zijn geleverd |
| CVE-nummer | CVE-2026-111862 |
| CVSS-score | 9,8 (beoordeeld door Wordfence) |
| Actief misbruikt | Ja, de malware zat in het officiële pakket van de leverancier. Rank Math publiceerde op 16 oktober 2026 een beveiligingsmelding |
| Patch beschikbaar | Ja, versie 3.0.124 is schoon, maar verwijdert bestaande backdoors, beheerdersaccounts en geplande taken niet |
Hoe is dit misbruikt?
Volgens The Hacker News bevatten betaalde exemplaren van Rank Math PRO die in een venster van ongeveer elf uur zijn gedownload, malware. Volgens de beveiligingsmelding van Rank Math kan de backdoor zichzelf opnieuw aanmaken zodra iemand de site bezoekt, waardoor het weghalen van bestanden alleen niet genoeg is. Rank Math heeft nog niet verteld hoe de kwaadaardige bestanden in het leveringskanaal terechtkwamen of hoeveel klanten ze kregen.
Wat kan het gevolg zijn?
Aanvallers kunnen PHP-backdoors in andere plugins, thema’s en mu-plugins achterlaten, beheerdersaccounts toevoegen, .htaccess aanpassen en SSH-sleutels en geplande taken plaatsen. Voor MSP’s die WordPress-sites hosten of beheren betekent dat een mogelijke compromittering van de volledige server, ook als de plugin zelf al is vervangen.
Wat moeten IT-beheerders nu doen?
Controleer welke klantsites Rank Math PRO 3.0.123 hebben geïnstalleerd en geactiveerd in het genoemde venster. Behandel die sites als gecompromitteerd. De voorkeursroute van Rank Math is een back-up terugzetten van vóór 20:02 UTC op 15 oktober, scannen, alle wachtwoorden wijzigen en dan pas 3.0.124 installeren. Zonder schone back-up verwijder je de hele map rank-math-pro (deactiveren is onvoldoende), wis je de wp_options-vermeldingen _uf6qdn2hmm, t8krdk990phb en _np5pvf754c en blokkeer je uitgaand verkeer naar rank1cdn[.]com. Zoek daarna naar het bestand wp-includes/class-wp-cache-util.php, gebruikers die beginnen met “wpsupport_”, accounts met e-mailadressen op wp-mail[.]net, .htaccess-regels die .cache-bestanden als PHP uitvoeren, cronregels met #ms6v46 en onbekende authorized_keys. Wijzig alle wachtwoorden, databasegegevens, salts en API-sleutels. Zie ook de analyse van Wordfence.
Cisco Secure Email Gateway wordt aangevallen via een kritiek lek in de bijlagescan
| Kwetsbaarheid | Een afzender zonder inloggegevens kan via een speciaal opgemaakte bijlage bestanden naar het besturingssysteem van Cisco Secure Email Gateway (AsyncOS) schrijven en zo commando’s als root uitvoeren. Alleen kwetsbaar als File Reputation (onderdeel van AMP) aan staat en aan een mailbeleid is gekoppeld, en Content Scanner Tools ouder is dan 25.3.0.5525. Secure Email and Web Manager en Secure Web Appliance zijn niet geraakt |
| CVE-nummer | CVE-2026-76519 |
| CVSS-score | 9,8 |
| Actief misbruikt | Ja, Cisco meldt actieve aanvallen sinds oktober 2026 |
| Patch beschikbaar | Ja, Content Scanner Tools 25.3.0.5525 of nieuwer, of AsyncOS 15.5.5-014 en 16.5.0-780. Voor release 16.0 bestaat geen fixed build, migreer naar een gefixte release. Er is geen workaround |
Hoe kan de kwetsbaarheid misbruikt worden?
Volgens The Hacker News volstaat een e-mail met een gemanipuleerde bijlage. Cisco ontdekte de fout zelf bij interne beveiligingsscans en weet inmiddels van actief misbruik. Het Cisco-advisory noemt geen aantallen, geen dader en geen bevestiging dat aanvallers root-rechten kregen. Cisco heeft wel beheerde Secure Email Cloud-klanten benaderd bij wie sporen van mogelijke compromittering zichtbaar waren.
Wat kan het gevolg zijn?
Een gateway die mail van het hele internet accepteert, ligt op een gevoelige plek in het netwerk van je klant. Met root-toegang kan een aanvaller mail meelezen of omleiden en de appliance als springplank gebruiken. Cisco waarschuwt daarnaast voor een eerder gepatcht SQL-injectielek in dezelfde producten (CVE-2026-76461) dat ook actief wordt misbruikt, zonder dat Cisco beide aanvallen aan elkaar koppelt.
Wat moeten IT-beheerders nu doen?
Werk Content Scanner Tools bij met het CLI-commando contentscannerupdate (of zet automatische updates aan onder Security Services > Service Updates) en controleer de versie met contentscannerstatus. Zoek op elk clusterlid naar compromittering met grep “System Security” system_logs. Een schone uitkomst sluit misbruik niet uit, dus bekijk ook firewall- en netwerklogs. Bij een gecompromitteerde virtuele appliance bewaar je eerst forensische data, zet je een nieuwe VM op een gefixte release neer, bouw je de configuratie opnieuw op zonder het oude configbestand te importeren en vernieuw je inloggegevens en cryptografisch materiaal. Is één clusterlid geraakt, herstel dan alle leden, omdat de SSH-sleutels van het cluster toegang tot de andere leden geven.
Palo Alto Networks patcht actief misbruikt RCE-lek in de beheerinterface van PAN-OS
| Kwetsbaarheid | Code-uitvoering als root via de beheerinterface van PAN-OS op PA-Series- en VM-Series-firewalls en op Panorama. De aanvaller moet geauthenticeerd zijn en netwerktoegang tot de interface hebben. Cloud NGFW en Prisma Access zijn niet geraakt |
| CVE-nummer | CVE-2026-0322 |
| CVSS-score | 8,6 |
| Actief misbruikt | Ja, Palo Alto Networks meldt “very limited exploitation”. CISA nam de kwetsbaarheid op 14 oktober 2026 op in de KEV-catalogus |
| Patch beschikbaar | Ja, onder meer PAN-OS 12.2.4, 12.1.4-h12, 11.2.4-h22, 11.1.4-h37 en 10.2.7-h38 (zie het advisory voor alle builds). Tot die tijd: beheerinterface beperken tot vertrouwde interne IP-adressen |
Hoe is dit misbruikt?
Volgens The Hacker News richt het beperkte misbruik zich op de beheerinterface. Palo Alto Networks geeft geen details over de aanvallers, de aard van de activiteit of het begin ervan. Onderzoeker Suraj Siddharudh van Palo Alto Networks zelf ontdekte de fout. Als verdachte IP-adressen worden 66.42.72[.]14, 208.83.239[.]114 en 149.248.47[.]234 genoemd. Zie ook het advisory van Palo Alto Networks.
Wat kan het gevolg zijn?
Voor misbruik is een geldig account nodig, maar daarna krijgt de aanvaller root op de firewall. Dat is een centrale plek waar verkeer, VPN-configuratie en logging samenkomen. Voor een MSP die firewalls voor meerdere klanten beheert, is een overgenomen beheerinterface een route naar het netwerk van de klant.
Wat moeten IT-beheerders nu doen?
Installeer de gepatchte PAN-OS-versie voor jouw branch. Beperk de beheerinterface direct tot vertrouwde interne IP-adressen, bij voorkeur alleen bereikbaar via een jump box. Controleer logs op verbindingen vanaf de genoemde IP-adressen en roteer beheerdersgegevens als je blootstelling vermoedt.
