Deze editie bundelt de ontwikkelingen van het weekend met die van vandaag. Het zwaarst weegt de ConnectWise-inbraak in Microsoft 365, die inmiddels ongeveer 300 omgevingen blijkt te raken en waarvoor ConnectWise meerdere diensten offline heeft gehaald. Daarnaast misbruikte een Chinese spionagegroep een zero-day in BeyondTrust Remote Support, plaatsten aanvallers een onzichtbare backdoor in FortiOS, wordt een lek in de SiteGuard-firewall actief misbruikt, deelden de updateservers van AOMEI Backupper een backdoor uit en zijn tientallen Nederlandse Danfoss-koelsystemen via internet over te nemen.
- ConnectWise zet Cloud Backup en andere diensten offline: ongeveer 300 Microsoft 365-omgevingen binnengedrongen
- Chinese spionagegroep misbruikte zero-day in BeyondTrust Remote Support om appliances over te nemen
- PEERSTITCH: onzichtbare backdoor in FortiOS na inbraak bij telecom-MSP
- Actief misbruikt lek in SiteGuard-firewall geeft root- of SYSTEM-rechten
- Aanvallers verspreidden backdoor via gemanipuleerde updateservers van AOMEI Backupper
- Tientallen Nederlandse Danfoss-koelsystemen te kraken met “code van de dag”
ConnectWise zet Cloud Backup en andere diensten offline: ongeveer 300 Microsoft 365-omgevingen binnengedrongen
| Kwetsbaarheid | Gecompromitteerde Microsoft 365-applicatiecredentials van ConnectWise (onder meer Cloud Backup, voorheen SkyKick, SaaS Security en Cloud Management), waarmee aanvallers zich als de app aanmelden bij Microsoft Graph en bij Exchange, Teams en SharePoint van klanten komen. Het gaat om gestolen sleutels, niet om een softwarefout |
| CVE-nummer | Geen CVE toegekend |
| Actief misbruikt | Ja, ontdekt op 14 oktober 2026. Eerst bevestigd in 173 tenants; Huntress meldt inmiddels ongeveer 1.000 pogingen tegen Entra-omgevingen, waarvan ongeveer 300 succesvol |
| Patch beschikbaar | Nee, het is geen softwarelek. ConnectWise heeft zeven applicatie-identiteiten uitgeschakeld en de diensten tijdelijk offline gehaald; beheerders moeten zelf achtergebleven toegang opruimen |
Hoe is dit misbruikt?
Volgens The Hacker News meldde Huntress (onderzoeker Jonathan Semon) eerst bevestigde aanmeldingen in 173 tenants, terwijl Todyl (Nicholas Koken) los daarvan zag dat een onbekende partij zich als de ConnectWise-app aanmeldde bij Microsoft Graph. Cloud Backup heeft ruime rechten op mail, OneDrive, SharePoint, Teams en de directory van elke tenant waar het is geplaatst. Op 15 oktober haalde een scriptmatig werkende aanvaller tussen 06:13 en 08:34 UTC vanaf IP-adres 144.172.64.128 tokens op, tenant na tenant, een paar seconden na elkaar. In minstens een partnertenant voegde een andere ConnectWise-app (Cloud Management voor Teams) zichzelf toe aan de rol Global Administrator en maakte vervolgens nieuwe clientsecrets aan voor een MSP-beheerapplicatie en voor de eigen applicatie van Huntress. Het beeld is daarna flink uitgebreid. Volgens Dutch IT Channel zag Huntress inlogpogingen tegen ongeveer 1.000 Entra-omgevingen, waarvan er ongeveer 300 slaagden, en trof een latere, gerichte en handmatige aanvalsgolf 16 organisaties in gevoelige sectoren.
Wat kan het gevolg zijn?
De sleutels werken in alle tenants tegelijk, dus een diefstal bij de leverancier raakt elke MSP-klant die de app gebruikt. Met die toegang is mail en bestandsdata te lezen. ConnectWise heeft zeven identiteiten uitgeschakeld en onder meer Cloud Backup, SaaS Security en Cloud Management tijdelijk offline gehaald. Dat stopt nieuwe aanmeldingen, maar haalt niet weg wat aanvallers al hebben aangemaakt: extra clientsecrets en beheerdersrechten blijven werken en kunnen de aanval doorzetten naar andere tenants. ConnectWise ziet geen aanwijzingen dat bestaande back-ups, die versleuteld en geïsoleerd zijn opgeslagen, zijn aangetast.
Wat moeten IT-beheerders nu doen?
Houd de betrokken applicaties uitgeschakeld totdat ConnectWise anders meldt. Zoek in het Entra-beheercentrum onder service principal sign-ins naar applicatie-ID 506e08f9-6e9a-4da4-942b-a099a03644ae en naar aanmeldingen vanaf IP-adressen buiten de Microsoft- en Azure-bereiken. Zet Microsoft Graph-activiteitenlogs aan, controleer sinds 13 oktober op nieuwe credentials en op ConnectWise- of SkyKick-apps die zichzelf aan directoryrollen toevoegen. Een tenant die op basis van het eerdere, kleinere aantal als schoon gold, verdient een nieuwe controle. Sessies van gebruikers intrekken helpt niet, en uitgegeven tokens kunnen na het uitschakelen nog tot 90 minuten geldig blijven.
Chinese spionagegroep misbruikte zero-day in BeyondTrust Remote Support om appliances over te nemen
| Kwetsbaarheid | Onjuiste controle van de herkomst van berichten in een intern berichtencomponent, waardoor een aanvaller op afstand bestandsbewerkingen kan uitvoeren op de appliance – BeyondTrust Remote Support (voorheen Bomgar), zelfgehoste versies 24.3.1 t/m 26.2.3 en oudere uitvoeringen |
| CVE-nummer | CVE-2026-102764 |
| CVSS-score | 9,3 |
| Actief misbruikt | Ja, als zero-day. Het eerste bekende misbruik dateert van 29 augustus 2026 |
| Patch beschikbaar | Ja. SaaS-klanten zijn sinds 9 oktober 2026 automatisch bijgewerkt. Zelfgehoste omgevingen op 24.3.1 t/m 26.2.3 installeren handmatig de patch BT26-05-RS; oudere versies moeten upgraden |
Hoe kan de kwetsbaarheid misbruikt worden?
Volgens The Hacker News en de analyse van Google Threat Intelligence Group en Mandiant gebruikte de groep Armory Castle, ook bekend als UNC5221 of Warp Panda, de fout om bestanden op een zelfgehoste appliance te manipuleren. Daarna plaatsten de aanvallers de PHP-webshell SAWFLY voor interactieve toegang en de proxytool BARECLAW om verkeer via de appliance door te sturen. Ze kregen rootrechten door een kopie van de shell met SUID-rechten neer te zetten, probeerden wachtwoorden uit de interne secrets-database te halen en wisten de logbestanden. De groep staat bekend om eerdere zero-days in Citrix NetScaler en Ivanti Connect Secure. Wie de kwetsbaarheid als eerste ontdekte, vermeldt de bron niet.
Wat kan het gevolg zijn?
Een Remote Support-server heeft toegang tot de systemen die eraan gekoppeld zijn. De aanvallers startten met gestolen beheerdersgegevens sessies naar systemen uit de Jump Item-lijst en haalden daar interne documenten van het bestandssysteem. Voor een MSP betekent dat een directe route naar klantomgevingen, via precies het gereedschap dat voor vertrouwde toegang is bedoeld. Het misbruik begon ruim een maand voordat de patch kwam, dus een appliance die internet-facing was en een kwetsbare versie draaide, moet als mogelijk gecompromitteerd worden beschouwd.
Wat moeten IT-beheerders nu doen?
Installeer BT26-05-RS of upgrade naar een nieuwere versie. Zoek op appliances naar SAWFLY, BARECLAW, het bestand /usr/bin/dbus-authd en onverwachte wijzigingen in /ns/config/haproxy.conf, en controleer op ontbrekende logs. Vervang bij verdachte sporen de wachtwoorden die op de appliance zijn opgeslagen of gebruikt, en bekijk welke sessies naar klantsystemen zijn gestart. De indicatoren staan in de publicaties van Google en Mandiant en in het BeyondTrust-advies BT26-05.
PEERSTITCH: onzichtbare backdoor in FortiOS na inbraak bij telecom-MSP
| Kwetsbaarheid | Path traversal in de command line interpreter, waarmee een aanvaller met beheerrechten via speciaal samengestelde argumenten willekeurige bestanden kan schrijven of verwijderen – FortiOS, FortiPAM, FortiProxy en FortiSwitchManager. De aanvallers gebruikten deze fout voor de malware PEERSTITCH, na een eerste inbraak via FortiJump (CVE-2024-47575) in FortiManager |
| CVE-nummer | CVE-2025-61624 |
| CVSS-score | 5,4 |
| Actief misbruikt | Ja, in een langdurige inbraakcampagne (CL-STA-0954 / UNC5820) |
| Patch beschikbaar | Ja, Fortinet bracht de fix uit in april 2026. De bron noemt geen versienummers; raadpleeg het Fortinet-advies voor de juiste build |
Hoe kan de kwetsbaarheid misbruikt worden?
Onderzoekers Daniel Gott en Shawn Westfall van Palo Alto Networks Unit 42 troffen de activiteit aan tijdens een langdurige inbraak bij een telecommunicatie-MSP, die volgens het bericht in september 2024 begon. De aanvallers kwamen binnen via FortiJump in FortiManager en haalden configuraties, wachtwoorden en certificaten met privésleutels van meer dan vijfhonderd beheerde FortiGate-firewalls binnen. PEERSTITCH draait alleen in het geheugen: er blijft geen bestand op schijf achter, er opent geen luisterende poort en de malware maakt zelf geen uitgaande verbindingen. Via ptrace past hij de FortiOS-processen miglogd en iked aan, zodat sessies met een bepaalde markering de standaard beveiligingscontroles van FortiOS overslaan. Verder zetten de aanvallers via de Apache-module mod_md een reverse shell op, deden ze zich voor als FortiManager om configuraties op te halen en wisten ze logs en tijdelijke beheeraccounts.
Wat kan het gevolg zijn?
Wie de configuraties en certificaatsleutels van honderden firewalls heeft, kan VPN-verkeer onderscheppen of zich als de firewall voordoen. Het geval laat zien hoe riskant een centrale beheerlaag is: een gecompromitteerde FortiManager geeft toegang tot alle apparaten die eraan hangen. Omdat PEERSTITCH niets op schijf achterlaat en normale logging is verstoord, vinden gebruikelijke controles de infectie waarschijnlijk niet.
Wat moeten IT-beheerders nu doen?
Controleer of de Fortinet-patch van april 2026 op alle FortiOS-, FortiPAM-, FortiProxy- en FortiSwitchManager-apparaten staat, en of FortiManager is beschermd tegen FortiJump. Wie een FortiManager voor klanten beheert, doet er verstandig aan te onderzoeken of er configuraties zijn opgehaald door onbekende systemen, en bij twijfel wachtwoorden en certificaten van de beheerde firewalls te vervangen. Het volledige rapport van Unit 42 bevat de indicatoren van de compromittering, waaronder het IP-adres waarvan de malware onderdelen downloadt.
Actief misbruikt lek in SiteGuard-firewall geeft root- of SYSTEM-rechten
| Kwetsbaarheid | OS-commando-injectie in de statistiekfunctie, die na installatie standaard aan staat, waardoor een gebruiker met lage lokale rechten commando’s uitvoert met root- of SYSTEM-rechten – SiteGuard Server Edition (host-based waf voor Apache httpd, Nginx en IIS) vanaf versie 2.20 tot 8.00 Update 5 (FreeBSD: tot 7.00 Update 6) |
| CVE-nummer | CVE-2026-106931 |
| CVSS-score | 8,5 (CVSS 4.0) |
| Actief misbruikt | Ja, JPCERT/CC waarschuwde op 14 oktober 2026 voor misbruik |
| Patch beschikbaar | Ja. Voor systemen die niet direct kunnen upgraden levert de leverancier een patchbestand |
Hoe kan de kwetsbaarheid misbruikt worden?
De fout zit in de statistiekfunctie van SiteGuard Server Edition, een webapplicatiefirewall van EG Secure Solutions die als module op de webserver zelf draait. Omdat de functie standaard actief is, is elke installatie op een kwetsbare versie in principe vatbaar. Volgens Daily Security Review, dat de JPCERT/CC-melding aanhaalt, bevestigt de leverancier misbruik, maar is niet bekend hoe aanvallers aan de vereiste lokale toegang komen en wat ze daarna deden. Klanten met een direct supportcontract werden volgens het bericht al op 29 september ingelicht, ruim twee weken voor de openbare waarschuwing.
Wat kan het gevolg zijn?
Een waf staat per definitie tussen internet en de applicatie. Wie op deze server root- of SYSTEM-rechten krijgt, kan het verkeer meelezen en de beveiligingsregels uitzetten. Berichten over gebruik buiten Japan zijn er niet, maar MSP’s die webhosting of waf-beheer met dit product aanbieden, doen er goed aan hun installaties na te lopen.
Wat moeten IT-beheerders nu doen?
Upgrade naar 8.00 Update 5 of hoger, op FreeBSD naar 7.00 Update 6, of pas het patchbestand van de leverancier toe. Download vooraf de diagnostische informatie via de webbeheeromgeving, want de update kan sporen van een eventuele aanval wissen.
Aanvallers verspreidden backdoor via gemanipuleerde updateservers van AOMEI Backupper
| Kwetsbaarheid | Gemanipuleerde updatebestanden (down_html.ini en Notifycfg.ini) op de updateservers van AOMEI, die niet zijn ondertekend. Het checksum staat in hetzelfde bestand als de downloadnaam en bewijst daarom niets – AOMEI Backupper (dezelfde updatestroom gebruikt ook AnyViewer) |
| CVE-nummer | Geen CVE, de aanval vereist geen kwetsbaarheid |
| Actief misbruikt | Ja, in korte vensters van 5 tot 10 minuten op onder meer 28 mei, 16 juli en 20 juli 2026. Mogelijk waren er meer vensters |
| Patch beschikbaar | Nee. AOMEI zegt de servers te hebben hersteld, maar een gefixte versie of bevestiging van de verificatie van updates ontbreekt. Besmette systemen blijven gecompromitteerd |
Hoe is dit misbruikt?
Google Threat Intelligence Group met Mandiant en het Threat Analysis Lab van ManageEngine beschrijven, via The Hacker News, dat de aanvallers (gevolgd als UNC7017) twee bestanden op de updateserver aanpasten. Wie in zo’n venster op updates controleerde, kreeg de downloader CROSSROAD, die een ondertekende Radmin-installatie klaarzet met daarbij de implant SHINYROAD voor een remote shell, plus een geplande taak die elke drie uur draait. Op sommige machines kwam daar de tool Adaptix C2 bij, vermomd als Nitro PDF. Op 20 juli kon een verborgen pop-up naar een WebDAV-share van de aanvaller bovendien NetNTLMv2-authenticatiegegevens laten weglekken zonder dat er een programma werd uitgevoerd. Getroffen organisaties zaten in IT-dienstverlening, telecom en hoger onderwijs in elf landen.
Wat kan het gevolg zijn?
Backupsoftware draait vaak met hoge rechten en heeft toegang tot veel data, dus een backdoor erin is een directe route naar systemen en klantgegevens. Omdat de manipulatie maar minuten duurde en de leverancierspagina nu schone bestanden toont, is besmetting achteraf lastig vast te stellen. Voor MSP’s die AOMEI op beheerde systemen gebruiken, is dit een reden voor een onderzoek, ook zonder alarm.
Wat moeten IT-beheerders nu doen?
Zoek over de periode april tot en met juli, niet alleen rond de datum van een melding. Let op de geplande taken RadminComponentRuntime en NitroRuntime, het ongetekende bestand upgrade-now.exe met AOMEI-uitgeversgegevens en bestanden in de lokale Radmin-map. Blokkeer de domeinen storage-data[.]com, promotion.storage-data[.]com en aomei.storage-data[.]com en de IP-adressen 8.210.84[.]56, 8.218.65[.]184 en 47.239.60[.]117, en blokkeer uitgaand SMB (poort 445) en WebDAV naar externe adressen. Google (YARA) en ManageEngine (Sigma) publiceerden detectieregels.
Tientallen Nederlandse Danfoss-koelsystemen te kraken met “code van de dag”
| Kwetsbaarheid | Naast het zelf ingestelde wachtwoord is inloggen mogelijk met een door Danfoss-software gegenereerde “code van de dag” die buitenstaanders kunnen reproduceren – Danfoss-koelregelaars, onder meer de niet langer ondersteunde AK-SM 800 (de opvolger AK-SM 800A heeft eveneens meerdere kwetsbaarheden) |
| CVE-nummer | Niet genoemd in het bericht |
| Actief misbruikt | Ja, in Frankrijk zijn honderden supermarkten getroffen |
| Patch beschikbaar | Ja, de fout is sinds maart 2026 bekend en met een software-update verholpen. Volgens Censys hebben de meeste systemen die niet geïnstalleerd |
Hoe is dit misbruikt?
Onderzoekers ontdekten hoe de dagcode wordt gegenereerd. Volgens Dutch IT Channel, dat de bevindingen van RTL Z en de analyse van Censys aanhaalt, zijn in Nederland ten minste 75 inlogpagina’s bereikbaar vanaf internet, waarvan 57 systemen op deze manier te kraken zijn. Het gaat onder meer om een viswinkel, een bakkerij en een groothandel.
Wat kan het gevolg zijn?
Een aanvaller kan de koeling bedienen. In Frankrijk gingen units in de ontdooistand en liepen temperaturen op tot 50 graden, waarna miljoenen gekoelde producten weggegooid moesten worden. Ethisch hacker Chris Kubecka waarschuwt voor afpersing en voor misbruik van de systemen als opstap naar andere bedrijven.
Wat moeten IT-beheerders nu doen?
Installeer de update van Danfoss en haal de inlogpagina van internet. Kubecka raadt af zulke pagina’s openbaar bereikbaar te maken, omdat er mogelijk nog andere kwetsbaarheden zijn. MSP’s met klanten in retail, horeca of food kunnen nagaan of er koelregelaars via het klantnetwerk bereikbaar zijn en deze achter een VPN plaatsen. Systemen die niet meer ondersteund worden, zoals de AK-SM 800, horen vervangen te worden.
