Deze editie begint met een OpenSSH-lek waarmee een te lang wachtwoord de inlog op musl-Linux omzeilt en een APT-lek in Ubuntu waarmee een aanvaller op het netwerk als root pakketten installeert. Daarnaast verspreidt een getrojaniseerde webserver van Control Web Panel een onzichtbare backdoor en lekt DigiCert identiteitsbewijzen van klanten.
- OpenSSH waarschuwt voor lek waarmee een lang wachtwoord de inlog op musl-Linux omzeilt
- Ubuntu dicht APT-lek: aanvaller op het netwerk kan een kwaadaardig pakket als root laten installeren
- CWPdoor: getrojaniseerde webserver van Control Web Panel bevat onzichtbare backdoor
- DigiCert lekt gegevens en identiteitsbewijzen van klanten door blootgesteld intern systeem
OpenSSH waarschuwt voor lek waarmee een lang wachtwoord de inlog op musl-Linux omzeilt
| Kwetsbaarheid | Authenticatiebypass in sshd op Linux-systemen met musl libc (zoals Alpine) zonder PAM. Een wachtwoord van 257 tot 1.024 bytes laat een inlog slagen op accounts zonder wachtwoord (veld “*”). Opgelost in OpenSSH 10.6p2 |
| CVE-nummer | Nog geen CVE toegekend |
| Actief misbruikt | Nee, bij publicatie op 5 november 2026 zijn geen aanvallen gemeld |
| Patch beschikbaar | Ja, OpenSSH 10.6p2 en Alpine-pakketten voor alle releases tot en met 3.16. Alternatief: PasswordAuthentication op “no” en sshd herstarten |
Hoe kan de kwetsbaarheid misbruikt worden?
De release notes van OpenSSH beschrijven een omzeiling van wachtwoordauthenticatie in de portable release, gemeld door Özgün Kültekin van Wakefield. Volgens The Hacker News faalt de functie crypt() op musl bij wachtwoorden langer dan 256 bytes en geeft ze “*” terug. Dat komt overeen met het opgeslagen “*” van accounts zonder wachtwoord, waarna de inlog slaagt. Een server is alleen kwetsbaar als vier dingen tegelijk gelden: sshd draait zonder PAM, PasswordAuthentication staat op “yes” (de standaard), minstens één account heeft “*” als wachtwoordveld en minstens één ander lokaal account heeft een $5$- of $6$-hash. Op glibc-systemen, met PAM-authenticatie en op OpenWrt met Dropbear speelt het probleem niet.
Wat kan het gevolg zijn?
Een aanvaller logt in op accounts die bedoeld zijn voor sleutelauthenticatie, zoals root op Alpine. Bij Alpine-cloudimages is het account “alpine” geraakt, dat passwordless doas heeft, dus volledige controle ligt dan binnen bereik. De onderzoeker raadt ook aan OpenWrt, Buildroot en Yocto na te lopen, omdat die vaak musl gebruiken. Voor MSP’s zijn vooral containers, cloudimages en embedded appliances van klanten het risico.
Wat moeten IT-beheerders nu doen?
Werk Alpine bij met apk upgrade -U -a en herstart sshd met rc-service sshd restart, want alleen het pakket updaten laat de draaiende sshd kwetsbaar. Kun je niet meteen updaten, zet dan PasswordAuthentication uit, controleer de configuratie met sshd -t en herstart sshd. Test eerst of inloggen met een sleutel werkt en houd je huidige sessie open. Zoek in /var/log/messages naar “Accepted password for” bij accounts zonder wachtwoord. Is een inlog niet uit te sluiten, dan beschouw je de machine als gecompromitteerd.
Ubuntu dicht APT-lek: aanvaller op het netwerk kan een kwaadaardig pakket als root laten installeren
| Kwetsbaarheid | Fout in de HTTP-backend van de APT-bibliotheek waardoor een pakket wordt geïnstalleerd terwijl de handtekeningcontrole faalt. Alle APT-frontends zijn geraakt. Ubuntu 22.04 LTS en nieuwer zijn standaard kwetsbaar, oudere releases alleen als Acquire::Retries op een waarde boven nul staat |
| CVE-nummer | CVE-2026-109518 |
| CVSS-score | 7,7 (CVSS 4.0, Ubuntu-beoordeling “High”) |
| Actief misbruikt | Nee, in de bronnen is geen misbruik vermeld |
| Patch beschikbaar | Ja, onder meer apt 2.4.15ubuntu0.1 (22.04), 2.8.4ubuntu0.1 (24.04) en 3.2.1ubuntu0.1 (26.04). Voor 14.04 tot en met 20.04 is ESM nodig |
Hoe kan de kwetsbaarheid misbruikt worden?
Volgens het bericht van Ubuntu, gemeld door Max Justicz, kan een aanvaller die HTTP-verkeer tussen APT en de archiefserver kan manipuleren een gevraagd .deb-bestand vervangen door een kwaadaardig exemplaar. Ook een kwaadaardige mirror volstaat. Exploitatie vereist dat APT een mislukte download opnieuw probeert. Snap-installaties en andere transporten dan HTTP zijn niet geraakt. Ook Security.nl meldt dat Ubuntu updates heeft uitgebracht en dat Debian eerder al patches uitgaf.
Wat kan het gevolg zijn?
Installatiescripts van pakketten draaien als root, dus een geslaagde aanval levert volledige controle over de server of werkplek op. Het risico zit vooral in netwerken die je niet vertrouwt, zoals gedeelde wifi, en bij servers die via een proxy of een publieke mirror over HTTP updaten.
Wat moeten IT-beheerders nu doen?
Controleer met apt list --installed '?source-package(^apt$)' of de gepatchte versie draait. Ubuntu adviseert om de update zelf uit te voeren met sudo apt update && sudo apt upgrade -o Acquire::Retries=0, zodat het retry-gedrag tijdens de update niet te misbruiken is. Zet archiefbronnen waar mogelijk van http:// op https://, en draai daarna apt update om te zien of de mirror HTTPS ondersteunt. Met unattended upgrades, standaard aan sinds Ubuntu 16.04, komt de fix binnen ongeveer 24 uur vanzelf binnen.
CWPdoor: getrojaniseerde webserver van Control Web Panel bevat onzichtbare backdoor
| Kwetsbaarheid | Backdoor “CWPdoor” in een vervalste versie van cwpsrv, de webserver van Control Web Panel (voorheen CentOS Web Panel). Een nepupdater-script vervangt de echte binary (versies 1.15.10 en 1.24.0) |
| CVE-nummer | Geen CVE toegekend |
| Actief misbruikt | Ja, XLab vond de malware op 29 juni 2026 en concludeert dat er echte slachtoffers zijn; de omvang is niet bekend |
| Patch beschikbaar | Nee, het is geen softwarelek. Zet een legitieme cwpsrv terug, update en roteer alle paneelcredentials |
Hoe is dit misbruikt?
Onderzoekers van XLab vonden de malware op 29 juni via een script dat zich voordoet als updater, schrijft BleepingComputer. In het onderzoeksrapport van XLab is te lezen dat de backdoor slapend blijft tot een aanvaller een HTTP-verzoek stuurt met drie speciale headers, X-Ngx-Integrity-Data, -Time en -Sig. De handtekening wordt met RSA gecontroleerd, commando’s en uitvoer zijn met AES-256-CBC versleuteld. Daarna wist de malware sporen: bestandsdatums worden hersteld, de commandogeschiedenis verdwijnt en het triggerverzoek verdwijnt uit de toegangslogs. Op 30 september verscheen een archief met CWPdoor op VirusTotal, samen met de Ebury-backdoor, zonder een enkele detectie. Het verband met Ebury is nog onduidelijk.
Wat kan het gevolg zijn?
Een aanvaller voert op afstand commando’s uit op de hostingserver en ziet vrijwel niets in de logs terug. XLab zag de afgelopen maand meer dan 340.000 CWP-instanties op het internet. Voor MSP’s en hosters die CWP als alternatief voor cPanel of Plesk beheren, kan één besmet paneel de websites en mailboxen van alle klanten op die server raken.
Wat moeten IT-beheerders nu doen?
Zoek op CWP-servers naar de Unix-socket ngx_http_integrity_helper, verdachte cwpsrv-helperprocessen, de tekenreeks “X-Ngx-Integrity” in de serverbinary en bestanden met de naam cwpsrv.suspeito. Is een server besmet, zet dan een legitieme binary terug, werk CWP bij, roteer alle wachtwoorden en credentials van het paneel en onderzoek de host op extra malware. Sluit de beheerinterface van CWP af voor het open internet.
DigiCert lekt gegevens en identiteitsbewijzen van klanten door blootgesteld intern systeem
| Kwetsbaarheid | Bij een servermigratie in februari 2025 kwam een intern bedrijfssysteem van DigiCert zonder VPN op internet. Een self-registrationfunctie en een autorisatiefout gaven onbevoegde accounts leestoegang tot gearchiveerde klantgegevens |
| CVE-nummer | Geen CVE toegekend |
| Actief misbruikt | Ja, een onbevoegd account opende tussen 27 juni en 2 juli 2026 klantgegevens; DigiCert bevestigde dat op 19 oktober 2026 |
| Patch beschikbaar | Nee, het is een configuratiefout. DigiCert zette self-registration uit en beperkte de toegang; getroffen klanten worden sinds 5 november 2026 geïnformeerd |
Hoe is dit misbruikt?
Volgens BleepingComputer was het systeem eerder alleen via VPN bereikbaar. In juni 2026 zag DigiCert onbevoegde accounts en paste het fixes toe, maar het incident werd eerst als een accountprobleem behandeld en niet als toegang tot data. Pas het onderzoek van 19 oktober liet zien dat gearchiveerde gegevens waren geraadpleegd. Het incident staat ook in een incidentrapport bij Mozilla. Volgens Security.nl hadden de accounts geen multifactorauthenticatie.
Wat kan het gevolg zijn?
Het gaat om namen, zakelijke e-mailadressen, telefoonnummers en adressen, en bij een deel van de klanten om kopieën van paspoorten, rijbewijzen of nutsrekeningen die voor validatie zijn ingediend. Een aantal getroffen klanten is niet genoemd. DigiCert zegt dat CertCentral en DigiCert ONE niet zijn gecompromitteerd, dat inloggegevens en uitgegeven certificaten veilig blijven en dat het onbevoegde account niets kon wijzigen of certificaten kon uitgeven. De gegevens zijn wel bruikbaar voor gerichte phishing en identiteitsfraude.
Wat moeten IT-beheerders nu doen?
Controleer of jouw MSP of je klanten certificaten bij DigiCert aanvragen en of daarbij identiteitsdocumenten zijn aangeleverd. Let op meldingen van DigiCert in de mailbox van de contactpersoon. Waarschuw betrokken collega’s en klanten voor phishing die zich als DigiCert of een certificaatverlenging voordoet, en controleer of de MFA-instellingen voor je CertCentral-accounts op orde zijn.
