Deze editie draait om PHP, dat op de meeste webservers draait: twee kritieke lekken zijn bevestigd actief misbruikt en staan sinds gisteren in de CISA-catalogus. Daarnaast stelen aanvallers Microsoft 365-tokens waarmee MFA geen drempel meer is, en wacht Tailscale SSH op een patch voor ernstige privilege-escalatie.
- Kritieke PHP2Shell-lekken in PHP worden actief misbruikt: CISA geeft Amerikaanse overheidsdiensten tot 29 oktober
- Token-replay in Microsoft 365: 97 accounts bij 79 organisaties overgenomen ondanks MFA
- Tailscale SSH: onderzoeker toont privilege-escalatie tot root, patch wordt binnen 24 uur verwacht
Kritieke PHP2Shell-lekken in PHP worden actief misbruikt: CISA geeft Amerikaanse overheidsdiensten tot 29 oktober
| Kwetsbaarheid | Twee kritieke kwetsbaarheden in PHP (PHP2Shell) die zonder authenticatie code-uitvoering op afstand mogelijk maken: een beschadiging van het geheugen bij te weinig geheugen en een verouderde interne requeststatus |
| CVE-nummer | CVE-2026-109618 en CVE-2026-109619 |
| CVSS-score | 9,2 (beide) |
| Actief misbruikt | Ja. CISA nam beide op in de KEV-catalogus op 26 oktober 2026; succesvolle code-uitvoering op een honeypot gemeld op 24 oktober |
| Patch beschikbaar | Ja, PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 (uitgebracht op 21 oktober 2026) |
Hoe is dit misbruikt?
Volgens The Hacker News meldde Adel Karimi van Perplexity op 24 oktober dat hij op honeypots met een publiek exploit succesvol code kon uitvoeren. Hij waarschuwt wel dat dit gebeurde in een bewust gunstige opstelling met één mod_php-worker, dus de betrouwbaarheid bij andere configuraties is nog onbekend. Unit 42 van Palo Alto Networks trok ondertussen de bewering in dat een inbraak bij een Europese overheid met deze lekken te maken had.
Wat kan het gevolg zijn?
PHP draait op ongeveer 70 procent van alle websites en Censys telt meer dan 32,5 miljoen PHP-diensten met een kwetsbare versie. Voor MSP’s met hosting- of webklanten betekent dit dat CMS-sites, webshops en klantportalen direct overgenomen kunnen worden. Daarnaast waarschuwen de PHP-ontwikkelaars voor een derde RCE-risico waarvoor nog geen patch is. Bij Windows-builds kwam bovendien een tweede update vanwege een Brotli-fout, die via cURL bereikbaar is als automatische decompressie van HTTP-antwoorden aanstaat.
Wat moeten IT-beheerders nu doen?
Inventariseer alle PHP-servers van jezelf en je klanten, inclusief shared hosting en containers, en werk bij naar een van de gepatchte versies. Op Windows installeer je de herbouwde pakketten met de gefixte Brotli-bibliotheek. Zet automatische decompressie in cURL uit waar je die niet nodig hebt, en kijk in logs naar ongebruikelijke requests met grote cookies sinds 21 oktober.
Token-replay in Microsoft 365: 97 accounts bij 79 organisaties overgenomen ondanks MFA
| Kwetsbaarheid | Misbruik van gestolen Microsoft 365-aanmeldtokens via phishing-pagina’s die tussen gebruiker en Microsoft inzitten (adversary-in-the-middle) en via device-code-phishing. Het gaat om misbruik van legitieme aanmeldstromen, niet om een softwarefout |
| CVE-nummer | Geen CVE toegekend |
| Actief misbruikt | Ja, waargenomen door Huntress van 14 juli tot 22 september 2026 (gepubliceerd op 26 oktober) |
| Patch beschikbaar | Nee, het is geen softwarelek. Beperken kan met Conditional Access en het opruimen van achtergebleven toegang |
Hoe is dit misbruikt?
Volgens The Hacker News baseert Huntress zich op bijna 200.000 mislukte inlogpogingen vanaf het bereik 193.26.115.0/24, wat resulteerde in 497 geslaagde aanmeldingen. De aanvallers stalen tokens via nagemaakte inlogpagina’s, device-code-phishing en social engineering, en speelden die binnen enkele minuten af vanaf eigen systemen. Huntress noemt dit “token spraying”. Omdat het token al na de MFA-stap is uitgegeven, heeft de aanvaller geen tweede factor meer nodig.
Wat kan het gevolg zijn?
In totaal raakte het 97 accounts bij 79 organisaties. In minstens 19 organisaties verwijderden de aanvallers bestaande MFA-methoden en registreerden ze binnen drie uur een eigen methode. Er werden 48 nepapparaten in Entra geregistreerd die toegang blijven geven tot je de apparaten verwijdert. Verborgen inboxregels wisten of verplaatsten mail over salaris, stortingen en bonussen, en één mailbox verstuurde spam naar honderden externe ontvangers. Dat past bij voorbereiding van factuur- en betaalfraude.
Wat moeten IT-beheerders nu doen?
Trek sessies in en reset wachtwoorden van verdachte accounts. Controleer Entra op onbekende apparaten, gewijzigde MFA-methoden, nieuwe enterprise-applicaties en inboxregels met cryptische namen. Beperk de device-code-flow met Conditional Access en dwing MFA af voor alle gebruikers, alle cloud-apps en alle clienttypen.
Tailscale SSH: onderzoeker toont privilege-escalatie tot root, patch wordt binnen 24 uur verwacht
| Kwetsbaarheid | Meerdere kwetsbaarheden (“Tailworm”, 11 bevindingen) in Tailscale SSH en omliggende onderdelen. Een gecompromitteerd apparaat kan in het lab root bereiken op andere servers als SSH-forwarding aanstaat. Getest op Tailscale 1.104.2 en headscale 0.29.5 |
| CVE-nummer | Geen CVE toegekend |
| Actief misbruikt | Nee, geen misbruik gemeld; bevindingen komen uit labtests van 25 oktober 2026 en de proof-of-concept is niet openbaar |
| Patch beschikbaar | Nog niet. Tailscale bevestigde op 27 oktober ernstige problemen en mikt op een release binnen 24 uur; tot dan gelden de maatregelen hieronder |
Hoe kan de kwetsbaarheid misbruikt worden?
Volgens The Hacker News publiceerde Erica Windisch van Cyberdione Labs het onderzoek. De aanvaller moet al een apparaat in het netwerk beheersen dat volgens de toegangsregels bij het doel mag. Via SSH-forwarding, een verwisseld socket en een race condition kwam ze in het lab bij root en bij het opnemen van een eigen machine als vertrouwde server. De claim dat het “wormable” is, wordt door andere onderzoekers betwist, en de laatste stap werkte niet met Tailnet Lock aan.
Wat kan het gevolg zijn?
Voor MSP’s die Tailscale gebruiken voor beheertoegang tot klantservers kan één gecompromitteerd apparaat uitgroeien tot rootrechten op meerdere systemen. Tailscale-VP Mike Shaver raadt niet aan om Tailscale SSH uit te zetten, en Tailscale beschrijft de problemen als vooral privilege-escalatie.
Wat moeten IT-beheerders nu doen?
Zet SSH-forwarding uit, per regel in de gehoste dienst of met TS_SSH_DISABLE_FORWARDING=1 in de omgeving van tailscaled (de enige optie op headscale 0.29.5). Schrijf toegangsregels als losse bron-doelparen en haal brede identiteits- of tag-grants weg. Verwijder app-connectorrechten en tailscale serve-doorverwijzingen naar een Unix-socket als je ze niet nodig hebt, en zet node-key-expiry aan. Installeer de update zodra die er is.
