Deze editie draait om VPN, NAS en netwerkapparatuur. Aanvallers ketenen drie lekken in Ivanti Connect Secure tot root-toegang en omzeilen de integriteitscheck, terwijl duizenden GitLab-servers het actief misbruikte CI/CD-lek nog niet hebben gepatcht. Synology waarschuwt voor C3RB3R-ransomware op verouderde NAS-systemen, het NCSC meldt aanvallen op koelinstallaties in Europa en Zyxel dicht een lek in GS1900-switches.
- Ivanti Connect Secure: aanvallers ketenen drie lekken tot root-toegang en omzeilen de Integrity Checker
- GitLab: kritiek lek in CI/CD-regexcompiler wordt actief misbruikt, ook in Nederland staan nog servers open
- Synology waarschuwt voor C3RB3R-ransomware op NAS-systemen met verouderde DSM-versies
- Aanvallen op koelinstallaties in Europa: ook Nederlandse systemen geraakt via internetblootstelling en standaardwachtwoorden
- Zyxel dicht lek in GS1900-switches waarmee een aanvaller op het LAN commando’s kan uitvoeren
Ivanti Connect Secure: aanvallers ketenen drie lekken tot root-toegang en omzeilen de Integrity Checker
| Kwetsbaarheid | Keten van drie lekken in Ivanti Connect Secure: een authenticatie-bypass met command-uitvoering, een lokale privilege-escalatie en een bestandsupload naar een bekend pad. Samen geven ze een aanvaller zonder account root-toegang. Getroffen zijn 25.1.1.2 en eerder en 22.8R2.5 en eerder |
| CVE-nummer | CVE-2026-104935, CVE-2026-111357 en CVE-2026-118527 |
| CVSS-score | 8,6 (CVE-2026-104935), 8,8 (CVE-2026-111357) en 4,3 (CVE-2026-118527), volgens Ivanti |
| Actief misbruikt | Ja, sinds 3 oktober 2026 volgens Volexity. CISA nam twee van de lekken op 30 oktober op in de KEV-catalogus |
| Patch beschikbaar | Ja. 25.1.1.3 of 22.8R2.6 verhelpt de twee nieuwe lekken. De fixes van 13 oktober (25.1.1.2 en 22.8R2.5) dekken die niet |
Volgens Rapid7 gebruikte de dreigingsgroep UTA0576 een exploitketen om ongeauthenticeerde root-toegang te krijgen tot een Connect Secure-appliance. Volexity zag het misbruik op een apparaat met 22.8R2.4, waarna de aanvallers wachtwoorden verzamelden en Active Directory bevraagden op Windows LAPS-wachtwoorden en BitLocker-herstelsleutels. Ivanti meldt dat het misbruik bij een beperkt aantal klanten al plaatsvond voordat de advisory verscheen. Het eerste lek uit de keten kreeg al op 13 oktober een patch, de twee nieuwe lekken werden op 29 oktober aan de advisory toegevoegd.
Hoe is dit misbruikt?
De aanvallers sturen een gemanipuleerd verzoek naar de inlogpagina van de VPN en schakelen daarna de andere twee lekken in om root te worden. Volgens Volexity omzeilt de activiteit Ivanti’s Integrity Checker Tool en worden logs selectief aangepast, dus een schone scan bewijst niets. Het verzoek loopt via /dana-na/auth/url_default/welcome.cgi, met een afwijkende X-DSCGI-PATH-header.
Wat kan het gevolg zijn?
Een VPN-gateway staat tussen internet en het interne netwerk van je klant. Een aanvaller die de appliance overneemt, ziet inloggegevens van medewerkers en kan zich vanaf daar door het netwerk bewegen. Het Rapid7-bericht noemt de diefstal van AD-gegevens uitdrukkelijk. Het NCSC waarschuwde op 13 oktober al voor het eerste lek in de keten.
Wat moeten IT-beheerders nu doen?
Update buiten de normale patchcyclus naar 25.1.1.3 of 22.8R2.6. Bewaar waar mogelijk geheugen en logs voordat je een apparaat herstart of reset. Zoek in de logs naar verzoeken aan het hierboven genoemde pad met afwijkende headers, controleer /tmp/ en /data/.icscap/ op vreemde bestanden en blokkeer het IP-adres 108.165.147[.]64. Bij een vermoeden van inbraak volg je de herstelstappen van Ivanti en vervang je de wachtwoorden die de appliance kan hebben gezien, waaronder die van serviceaccounts en LAPS.
GitLab: kritiek lek in CI/CD-regexcompiler wordt actief misbruikt, ook in Nederland staan nog servers open
| Kwetsbaarheid | Integer overflow in de Regular Expression Compiler voor CI/CD-configuraties van GitLab CE/EE, waarmee een aanvaller zonder account op afstand code kan uitvoeren. Een tweede lek in dezelfde compiler is eerder gepatcht |
| CVE-nummer | CVE-2026-97229 (tweede lek: CVE-2026-110264) |
| Actief misbruikt | Ja, CISA nam het lek eind oktober op in de KEV-catalogus. Shadowserver ziet meer dan 1.000 ongepatchte servers die worden aangevallen |
| Patch beschikbaar | Ja, GitLab 19.4.2, 19.3.5 en 19.2.8 (12 oktober 2026). GitLab.com is al gepatcht en GitLab Dedicated hoeft niets te doen |
BleepingComputer meldt dat de patch al drie weken beschikbaar is, terwijl er volgens Shadowserver nog meer dan 1.000 internet-blootgestelde servers kwetsbaar zijn en worden aangevallen. Het tweede lek (CVE-2026-110264), dat een maand eerder werd gepatcht, staat volgens Shadowserver nog open op meer dan 11.300 instanties. Security.nl meldt op basis van dezelfde scans dat het in Nederland om 14 servers gaat voor het eerste lek en 175 voor het tweede.
Hoe kan de kwetsbaarheid misbruikt worden?
Een aanvaller zet een speciaal gemaakte reguliere expressie in een CI/CD-configuratie. Bij het verwerken ervan loopt de compiler over, waarna de aanvaller code kan uitvoeren op de GitLab-server. Onder bepaalde voorwaarden is daar geen account voor nodig.
Wat kan het gevolg zijn?
Op een GitLab-server staan broncode, pipelinegeheimen en vaak toegangssleutels tot productie- en klantomgevingen. Een overname geeft aanvallers dus een opstap naar alles wat de pipelines mogen bereiken. GitLab-servers zijn eerder in ransomware-aanvallen gebruikt, en CISA heeft inmiddels zes GitLab-lekken in de KEV-catalogus staan.
Wat moeten IT-beheerders nu doen?
Controleer bij jezelf en bij klanten welke self-managed GitLab-installaties draaien en update naar een van de gefixte versies of nieuwer. Draait een installatie al maanden ongepatcht, behandel haar dan als mogelijk gecompromitteerd: roteer CI/CD-variabelen, deploy-sleutels en tokens, en kijk in de pipelinegeschiedenis naar vreemde configuraties.
Synology waarschuwt voor C3RB3R-ransomware op NAS-systemen met verouderde DSM-versies
| Kwetsbaarheid | Ransomware-aanvallen (C3RB3R, ook Cerber genoemd) op Synology NAS-apparaten met verouderde DiskStation Manager. Synology zegt dat een kwetsbaarheid wordt misbruikt die in december 2024 is gepatcht, maar noemt niet welke |
| CVE-nummer | Niet bevestigd. Het verwezen advies SA-24-20 noemt CVE-2024-10441, CVE-2024-50629 en CVE-2024-10445 |
| Actief misbruikt | Ja, Synology meldt lopende aanvallen. De eerste meldingen kwamen ruim twee weken voor de waarschuwing |
| Patch beschikbaar | Ja, DSM 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7 of 6.2.4-25556-8, of nieuwer |
Volgens BleepingComputer heeft Synology sinds augustus 2019 geen vergelijkbare waarschuwing meer gegeven. Getroffen gebruikers vinden een losgeldbrief (read-me3.txt) en versleutelde bestanden met de extensie .L0CK3D. Voor de “C3rb3r Decryptor” vragen de aanvallers duizenden dollars. Het aantal getroffen apparaten is niet bekend.
Hoe is dit misbruikt?
De aanvallers richten zich op apparaten die niet zijn bijgewerkt en via internet bereikbaar zijn. Shadowserver telt meer dan 380.000 Synology-systemen die vanaf internet te bereiken zijn, al is onbekend hoeveel daarvan kwetsbaar zijn of een honeypot zijn.
Wat kan het gevolg zijn?
Een NAS is bij veel MKB’ers de plek voor bestandsshares en back-ups. Wordt die versleuteld en staan de back-ups op hetzelfde apparaat, dan is er niets meer om van terug te zetten. De aanvallers waarschuwen bovendien dat herstel met software van derden de bestanden onherstelbaar kan beschadigen.
Wat moeten IT-beheerders nu doen?
Inventariseer de Synology-apparaten bij je klanten en werk DSM bij naar de gefixte versie of nieuwer. Zet automatische updates aan en haal de beheerinterface van internet. Bewaar daarnaast minstens één back-upkopie buiten het NAS zelf, zodat een versleuteld apparaat niet ook je enige herstelpunt is.
Aanvallen op koelinstallaties in Europa: ook Nederlandse systemen geraakt via internetblootstelling en standaardwachtwoorden
| Kwetsbaarheid | Koelinstallaties van verschillende leveranciers die direct aan internet hangen of standaard- of zwakke wachtwoorden gebruiken, waardoor aanvallers op afstand instellingen zoals temperatuur en ontdooicycli kunnen wijzigen |
| CVE-nummer | Geen CVE toegekend |
| Actief misbruikt | Ja, op 2 november 2026 meldt het NCSC aanvallen in Europa, waaronder in Nederland |
| Patch beschikbaar | Nee, er is geen centrale patch. Het NCSC adviseert de leverancier te vragen of de installatie kwetsbaar is en direct te updaten, en de installatie van internet te halen |
Het NCSC onderzoekt meerdere aanvallen op koelinstallaties in Europa en volgt de situatie. Security.nl meldde eerder op de dag dat bij Belgische supermarkten de temperatuurinstellingen zijn aangepast.
Hoe is dit misbruikt?
Aanvallers loggen in op koelsystemen die vanaf internet bereikbaar zijn, of misbruiken kwetsbaarheden of zwakke en standaardwachtwoorden. Daarmee wijzigen ze temperatuur of ontdooicycli zodat de koeling niet meer goed werkt.
Wat kan het gevolg zijn?
Producten kunnen oververhit raken en bederven, wat een voedselveiligheidsrisico geeft. Daar komen financiële schade, weggegooide voorraad en mogelijk stilstand van het bedrijf bij. Voor MSP’s met klanten in retail, horeca of voedselproductie ligt hier een nieuwe verantwoordelijkheid: apparatuur van een installateur hangt vaak ongezien op hetzelfde netwerk of op eigen internetverbinding.
Wat moeten IT-beheerders nu doen?
Vraag klanten en hun leveranciers welke koelinstallaties met internet verbonden zijn en vraag de leverancier of de installatie kwetsbaar is. Haal systemen van internet of beperk toegang tot vertrouwde IP-adressen, vervang standaardwachtwoorden door sterke wachtwoorden, installeer beveiligingsupdates en houd de systemen in de gaten. Incidenten kun je vrijwillig melden bij het NCSC.
Zyxel dicht lek in GS1900-switches waarmee een aanvaller op het LAN commando’s kan uitvoeren
| Kwetsbaarheid | Out-of-bounds write in het CGI-programma van de firmware van de Zyxel GS1900-serie (GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48 en -48HPv2), firmware 2.90(xxxx.2)C0 en eerder |
| CVE-nummer | CVE-2026-107441 |
| Actief misbruikt | Nee, Zyxel meldt geen misbruik |
| Patch beschikbaar | Ja, firmware 2.90(xxxx.3)C0 (voor de GS1900-8 is dat 2.90(AAHH.3)C0), alleen voor modellen die nog binnen de ondersteuningsperiode voor kwetsbaarheden vallen |
Volgens het advies van Zyxel, dat op 3 november verscheen, kan een aanvaller op het LAN zonder authenticatie via een speciaal opgesteld HTTP-verzoek mogelijk OS-commando’s uitvoeren. Het probleem is gemeld door Yegor Vasilenko van Binarly. Zyxel publiceerde op dezelfde dag ook een advies over een bufferoverflow in diverse access points, FWA7-apparaten en een security router.
Hoe kan de kwetsbaarheid misbruikt worden?
De aanvaller moet toegang hebben tot het lokale netwerk en stuurt een gemaakt HTTP-verzoek naar de beheerinterface van de switch. Een account is niet nodig.
Wat kan het gevolg zijn?
De GS1900 is een veelgebruikte switch in het MKB. Een aanvaller die al op het netwerk zit, bijvoorbeeld via een gehackte laptop of gastpoort, kan met deze switch een vaste plek in het netwerk veroveren en van daaruit verkeer inzien of omleiden.
Wat moeten IT-beheerders nu doen?
Controleer welke GS1900-modellen bij klanten hangen en installeer de gefixte firmware. Modellen buiten de ondersteuningsperiode krijgen geen patch, dus beperk daar de toegang tot de webinterface tot een apart beheernetwerk en plan vervanging.
