Deze editie gaat over PHP, FortiSIEM en Palo Alto Networks. Voor twee kritieke PHP-lekken staat vandaag een noodrelease gepland, voor FortiSIEM is een publieke exploit verschenen en ransomwaregroepen Qilin en INC misbruiken een PAN-OS-lek om MFA te omzeilen en via de VPN binnen te komen.
- PHP2Shell: twee kritieke PHP-lekken wachten op een noodrelease
- Publieke exploit voor kritiek FortiSIEM-lek met onbeveiligde code-uitvoering
- Qilin en INC misbruiken PAN-OS-lek om MFA te omzeilen
PHP2Shell: twee kritieke PHP-lekken wachten op een noodrelease
| Kwetsbaarheid | Twee kritieke lekken in PHP waarmee code op afstand kan worden uitgevoerd (bijnaam PHP2Shell). Welke versies geraakt zijn, is nog niet officieel bevestigd; een gelekt bericht noemt alle versies vanaf PHP 5 |
| CVE-nummer | CVE-2026-109618 en CVE-2026-109619 (afkomstig uit een gelekt bericht van 20 oktober; PHP zelf noemt ze nog niet) |
| CVSS-score | 9,2 (CVSS v4.0, volgens PHP). Het gelekte bericht noemde 10,0, wat niet is bevestigd |
| Actief misbruikt | Nee, op 21 oktober 2026 is geen misbruik gemeld en staan de lekken niet in de CISA KEV-catalogus |
| Patch beschikbaar | Gepland: noodrelease op 21 oktober 2026 om 14:00 UTC, alleen voor de ondersteunde branches PHP 8.2 tot en met 8.5. Voor oudere versies komt geen fix |
Hoe kan de kwetsbaarheid misbruikt worden?
Over de technische werking is nog niets openbaar. Volgens The Hacker News staan de lekken onder embargo en bevestigde watchTowr dat het gelekte bericht echt was. Huntress zag op 20 oktober geen misbruik in de omgevingen van partners en kent geen publieke exploitcode.
Wat kan het gevolg zijn?
PHP draait onder een groot deel van het mkb-web: WordPress, webshops, hostingplatformen en beheerpanelen. Mallory telde op 20 oktober ongeveer 884.000 internetgerichte hosts die PHP 8.1 of ouder melden, plus ongeveer 740.000 hosts zonder versiegegevens. Dat zijn banners en geen bevestigde kwetsbare systemen, maar het laat zien hoe groot het speelveld is. Zodra de patch uitkomt, kunnen aanvallers die vergelijken met de oude code en een exploit bouwen.
Wat moeten IT-beheerders nu doen?
Maak een inventaris van alle PHP-installaties, ook die in appliances, Windows-software en hostingpanelen. Upgrade internetgerichte systemen direct nadat de release verschijnt en controleer of je distributie of hoster een backport levert. Systemen op PHP 8.1 of ouder krijgen geen fix: upgrade ze, haal ze offline of zet ze achter een VPN of WAF. Zet een alert op php-fpm, php-cgi, httpd of apache2 die shells of downloadtools starten.
Publieke exploit voor kritiek FortiSIEM-lek met onbeveiligde code-uitvoering
| Kwetsbaarheid | Path traversal in de gRPC-service (TCP-poort 27918) van Fortinet FortiSIEM 7.5.0, waarmee een ongeauthenticeerde aanvaller bestanden kan overschrijven en zo code kan uitvoeren. FortiSIEM 7.6 is niet geraakt |
| CVE-nummer | CVE-2026-106173 (Fortinet-advisory FG-IR-26-180) |
| CVSS-score | 9,4 |
| Actief misbruikt | Nog niet bevestigd, maar er is sinds 20 oktober 2026 een publieke proof-of-concept |
| Patch beschikbaar | Ja, upgrade naar FortiSIEM 7.5.1 of hoger. Er zijn geen workarounds genoemd |
Hoe kan de kwetsbaarheid misbruikt worden?
Horizon3.ai (Zach Hanley) publiceerde de exploit. Volgens The Hacker News gebruikt de functie SendQueryResult() de door de gebruiker aangeleverde “query-id” in een bestandspad zonder voldoende controle. Met directory traversal en een nulbyte om het door het programma toegevoegde achtervoegsel af te kappen, kan een aanvaller een bestand overschrijven. Het voorbeeld richt zich op een Redis-healthcheckscript dat een cronjob elke 60 seconden uitvoert, waardoor de aanvaller direct code draait.
Wat kan het gevolg zijn?
Een SIEM bevat logs en vaak ook inloggegevens en toegang tot veel systemen. Een aanvaller die dit overneemt, kan meekijken in het netwerk van een MSP of van de klanten en sporen wissen. Omdat de exploit openbaar is, is misbruik een kwestie van tijd.
Wat moeten IT-beheerders nu doen?
Controleer of je FortiSIEM 7.5.0 draait en upgrade naar 7.5.1 of hoger. Zorg dat poort 27918 niet vanaf internet of vanuit onvertrouwde netwerken bereikbaar is. Zoek op de appliance naar onverwachte wijzigingen in scripts zoals /opt/charting/redishb.sh.
Qilin en INC misbruiken PAN-OS-lek om MFA te omzeilen
| Kwetsbaarheid | Authenticatiebypass in Palo Alto Networks PAN-OS en Prisma Access, waarmee aanvallers ongeautoriseerde VPN-verbindingen opzetten en MFA omzeilen. Versiebereiken zijn in de bron niet genoemd |
| CVE-nummer | CVE-2026-0257 |
| CVSS-score | 7,8 |
| Actief misbruikt | Ja, door Qilin en INC volgens Unit 42 (update van 20 oktober 2026). Sinds 13 mei 2026 opgenomen in de CISA KEV-catalogus |
| Patch beschikbaar | Ja, Palo Alto Networks patchte het lek in mei 2026 (zie de advisory van de leverancier voor de exacte versies) |
Hoe is dit misbruikt?
Volgens The Hacker News noemt Unit 42 de groepen Spikey Scorpius (Qilin) en Tarnished Scorpius (INC). ReliaQuest meldde eerder al activiteit van Qilin en Settra en Arctic Wolf zag Qilin het lek in juli al misbruiken. Na de VPN-toegang volgt verkenning met RMM-tools, lateral movement via RDP en SMB en het klaarzetten van tools voor het stelen van inloggegevens, data-exfiltratie en ransomware.
Wat kan het gevolg zijn?
In één geval gingen de aanvallers van de VPN-gateway naar een vCenter-appliance, schakelden ze beveiliging op ESXi uit en haalden ze offline inloggegevens uit de virtuele schijf van een domeincontroller. Ook werd het Veeam-lek CVE-2023-27532 in de keten gebruikt. Gedupeerde sectoren zijn onder meer zorg, financiële dienstverlening, onderwijs, productie en juridische dienstverlening, dus precies de klanten van veel MSP’s.
Wat moeten IT-beheerders nu doen?
Installeer de meest recente fixes van Palo Alto Networks op PAN-OS en Prisma Access. Zoek terug naar succesvolle gateway-verbindingen die je niet herkent en start incident response als je die vindt. Controleer ook of je Veeam-servers gepatcht zijn en let op onverwachte RMM-tools in het netwerk.
