Deze editie draait om twee leveranciers die midden in het MSP-landschap staan. WatchGuard publiceerde gisteren achttien advisories voor Fireware OS, waarvan zeven kritiek, met pre-auth code-executie in onder meer de SIP-proxy en het Access Portal. Veeam dicht een ongeauthenticeerde autorisatie-bypass in Backup & Replication 13. Daarnaast staat het Brotli-lek sinds gisteren in de CISA-lijst van actief misbruikte kwetsbaarheden, met exploitverkeer vanaf een Nederlands IP-adres, zijn de patches voor de Tailscale SSH-lekken uit, en nemen we de nieuwe feiten rond PHP2Shell kort mee: CISA bevestigt misbruik en NetScaler en PAN-OS zijn nu gepatcht.
- WatchGuard dicht achttien lekken in Fireware OS, zeven kritiek
- Veeam Backup & Replication 13 kwetsbaar voor ongeauthenticeerde autorisatie-bypass
- Brotli-lek in Node.js, .NET en PAN-OS wordt actief misbruikt, CISA zet het in de KEV-catalogus
- Tailscale brengt patches uit voor SSH-lekken die root opleveren binnen een tailnet
- PHP2Shell: CISA bevestigt misbruik, NetScaler en PAN-OS nu gepatcht
WatchGuard dicht achttien lekken in Fireware OS, zeven kritiek
| Kwetsbaarheid | Achttien kwetsbaarheden in WatchGuard Fireware OS 2025.1 tot 2026.4, 12.0 tot 12.12.4 en (T15/T35) 12.0 tot 12.5.22, plus een lek in de Mobile VPN with SSL-client voor Windows. Zeven zijn kritiek, waaronder pre-auth code-executie via de SIP-proxy, het Access Portal en de AD-authenticatieservice, en ontbrekende authenticatie in de FireCluster-synchronisatie |
| CVE-nummer | CVE-2026-103594, CVE-2026-93865, CVE-2026-93866, CVE-2026-93857, CVE-2026-112709, CVE-2026-112710, CVE-2026-103593 (kritiek); daarnaast onder meer CVE-2026-90465, CVE-2026-93434, CVE-2026-111107 en CVE-2026-115495 |
| CVSS-score | 9,5 (WireGuard-configuratie), 9,2 (FireCluster, Access Portal, SIP-proxy, AD-authenticatie), 9,1 (logging) |
| Actief misbruikt | Nee, WatchGuard meldt op 27 oktober 2026 geen misbruik en er is geen publieke exploitcode bekend |
| Patch beschikbaar | Ja, Fireware OS 2026.4, 12.12.4 en 12.5.22; voor de SSL VPN-client een nieuwe clientversie |
Hoe kan de kwetsbaarheid misbruikt worden?
WatchGuard publiceerde de achttien advisories op 27 oktober op zijn PSIRT-portaal. De gevaarlijkste zitten in onderdelen die vaak aan internet hangen. Een stack overflow in de SIP-proxy en een integer overflow in het Access Portal zijn zonder inloggen te raken, zolang een policy de SIP-proxy gebruikt of het Access Portal aanstaat. De AD-authenticatieservice heeft twee heap overflows die een aanvaller kan benutten als die het verkeer naar de AD-server kan beïnvloeden. De zwaarste score, 9,5, gaat naar een stack overflow in de WireGuard-configuratie, al vraagt die wel TLS-ontsleutelde toegang tussen de Firebox en WatchGuard Cloud. Bij FireCluster-opstellingen ontbreekt authenticatie in de synchronisatiedaemon, waardoor een aanvaller met toegang tot de clusterlink rootacties kan injecteren, vat SecurityOnline samen.
Wat kan het gevolg zijn?
Code-executie op de firewall zelf, en daarmee volledige controle over het netwerkverkeer van een klant. Eerdere WatchGuard-lekken staan in de CISA KEV-catalogus, dus aanvallers kennen het product en de appliances zijn goed te vinden via internetscans. In het Nederlandse MKB staat de Firebox op veel plekken aan de rand van het netwerk, vaak bij klanten die het beheer volledig aan hun MSP overlaten.
Wat moeten IT-beheerders nu doen?
Werk alle Fireboxen bij naar 2026.4, 12.12.4 of 12.5.22 en update de Mobile VPN with SSL-client op Windows-werkplekken. Kun je nog niet patchen, zet dan het Access Portal en de SIP-proxy uit waar ze niet nodig zijn, beperk de beheerinterface tot vertrouwde adressen en isoleer de FireCluster-link. Loop ook de lijst T15- en T35-apparaten na, want die zitten op een eigen branch.
Veeam Backup & Replication 13 kwetsbaar voor ongeauthenticeerde autorisatie-bypass
| Kwetsbaarheid | Autorisatie-bypass in de CDP Coordinator Service van Veeam Backup & Replication 13.1.1.18 en ouder (13.1) en 13.0.2.29 en ouder (13.0), zowel op Windows als op de Veeam Software Appliance. Versie 12.x is niet getroffen. Dezelfde release dicht twee path traversal-lekken en een lokale privilege-escalatie in Veeam Agent for Linux 13.1.1.4 en ouder |
| CVE-nummer | CVE-2026-108142; daarnaast CVE-2026-108140, CVE-2026-108141 en CVE-2026-105477 |
| CVSS-score | 9,1 (CVSS v4); de overige 5,9 en 7,3 |
| Actief misbruikt | Nee, Veeam meldt op 27 oktober 2026 geen bekend misbruik |
| Patch beschikbaar | Ja, Backup & Replication 13.1.2 (build 13.1.2.57) en 13.0.3 (build 13.0.3.63); Agent for Linux 13.1.2 (build 13.1.2.11) |
Hoe kan de kwetsbaarheid misbruikt worden?
Volgens Veeam KB4948 kan een aanvaller zonder geldige inloggegevens de autorisatiecontrole van de CDP Coordinator Service omzeilen en zo bewerkingen op de backupserver uitvoeren. De twee path traversal-lekken vragen wel een account met de rol Restore Operator en laten bestanden buiten de bedoelde map wegschrijven. Veeam waarschuwt dat de patch snel reverse-engineered kan worden, en vorige Veeam-lekken werden binnen weken door ransomwaregroepen opgepakt.
Wat kan het gevolg zijn?
De backupserver is voor ransomwaregroepen het eerste doelwit, omdat vernietigde backups de onderhandelingspositie van het slachtoffer wegnemen. Toegang tot de CDP-coördinatie betekent toegang tot replicatiejobs en de bijbehorende omgevingen. Voor MSP’s die Veeam voor tientallen klanten draaien raakt één ongepatchte server direct meerdere omgevingen.
Wat moeten IT-beheerders nu doen?
Update naar 13.1.2 of 13.0.3 en werk de Linux-agents bij via de backupserver. Controleer of de backupserver vanaf internet of vanuit klantnetwerken bereikbaar is op de poorten van de CDP-service en sluit die toegang af waar dat niet nodig is. Het secundaire bericht over een lek in Veeam ONE (KB4951, CVSS 8,5) is op het moment van schrijven alleen uit tweede hand bekend; check dat bulletin zelf als je Veeam ONE 13.1 gebruikt.
Brotli-lek in Node.js, .NET en PAN-OS wordt actief misbruikt, CISA zet het in de KEV-catalogus
| Kwetsbaarheid | Out-of-bounds write in de Brotli-decoder van Google (versies 1.0.3 tot en met 1.2.0), meegeleverd in onder meer Node.js (vóór 22.23.4, 24.22.1 en 26.12.1), .NET (vóór 8.0.33, 9.0.22 en 10.0.14), de Windows-builds van PHP, Bun, Envoy en Istio. Palo Alto Networks PAN-OS 11.2 en 12.x met Brotli-inspectie en TLS-decryptie, en VMware SDDC Manager 9.1.1 (CVSS 9,8) zijn ook geraakt |
| CVE-nummer | CVE-2026-111497 |
| CVSS-score | 9,2 (CVSS v4, Google); Microsoft hanteert 8,1 |
| Actief misbruikt | Ja, CISA nam het lek op 27 oktober 2026 op in de KEV-catalogus; ELLIO zag exploitverkeer vanaf een Nederlands gegeolokaliseerd IP-adres, Previdian een poging op een honeypot |
| Patch beschikbaar | Ja voor Brotli (1.0.10, 1.1.1, 1.2.1), Node.js en .NET; PAN-OS deels, meerdere hotfixes volgen tussen 27 en 30 oktober; VMware SDDC Manager nog zonder patch, mitigatie in KB460732 en KB460734 |
Hoe is dit misbruikt?
Een server die met Brotli gecomprimeerde data uitpakt, kan met een geprepareerde stroom tot het schrijven buiten de buffer worden gebracht, en dat leidt tot code-executie. Volgens The Hacker News zag securitybedrijf ELLIO exploitverkeer vanaf het adres 94.154.43.7, een Nederlands gegeolokaliseerd IP dat eerder ook PHP2Shell-aanvallen uitvoerde. Help Net Security wijst erop dat het lek veel verder reikt dan Node.js: de decoder zit ook in .NET, Python-pakketten, containerimages en netwerkapparatuur. Palo Alto Networks heeft zijn advisory op 27 oktober bijgewerkt en Cisco onderzoekt nog welke producten geraakt zijn.
Wat kan het gevolg zijn?
Het NCSC waarschuwde vorige week al, toen nog zonder bekend misbruik. Met de opname in de KEV-catalogus is dat veranderd. Het lastige is dat een update van de systeembibliotheek de gebundelde kopieën in Node.js, .NET en containerimages niet raakt. Elke applicatie en elke image moet apart worden herbouwd of bijgewerkt. Op een firewall met Brotli-inspectie en TLS-decryptie is het bovendien de inspectie zelf die kwetsbaar is.
Wat moeten IT-beheerders nu doen?
Inventariseer waar Brotli meeloopt: Node.js-runtimes, .NET-services, PHP op Windows, reverse proxies en containerimages. Werk Node.js bij naar 22.23.4, 24.22.1 of 26.12.1 en .NET naar de genoemde runtimes, en herbouw images in plaats van alleen het basis-OS te patchen. Bij PAN-OS: controleer welke hotfix voor jouw versie al beschikbaar is en zet Brotli-inspectie tijdelijk uit als die er nog niet is. Voor SDDC Manager geldt de workaround van Broadcom tot er een patch is.
Tailscale brengt patches uit voor SSH-lekken die root opleveren binnen een tailnet
| Kwetsbaarheid | Elf lekken in Tailscale SSH, tailscale serve, de experimentele app connector en Headscale, samen aangeduid als Tailworm. Een geautoriseerde gebruiker kan via SSH-forwarding root-only sockets bereiken, zoals de Docker-socket en de API van tailscaled. Gevonden in Tailscale 1.104.2 en Headscale 0.29.5 |
| CVE-nummer | Geen CVE toegekend; Tailscale-bulletins TS-2026-014 tot en met TS-2026-017 |
| Actief misbruikt | Nee, Tailscale meldt geen misbruik; de proof-of-concept is niet openbaar |
| Patch beschikbaar | Ja, Tailscale 1.104.4; voor Headscale was op 28 oktober nog geen fix gemeld. Workaround: SSH-forwarding uitschakelen met TS_SSH_DISABLE_FORWARDING=1 |
Hoe kan de kwetsbaarheid misbruikt worden?
De lekken zijn gevonden door Cyberdione Labs en op 27 oktober gemeld door Security.nl en Tweakers; Tailscale bevestigde ze in een eigen blog met de fixrelease. De kern: Tailscale SSH draait als root en liet een ingelogde gebruiker via unix-socketforwarding bij sockets komen waar die gebruiker normaal geen rechten op heeft. Via de Docker-socket of de tailscaled-API is dat in een paar stappen root op de host, en vanaf die host kan een aanvaller dezelfde truc herhalen op andere nodes in dezelfde tailnet. Vandaar de wormbare naam.
Wat kan het gevolg zijn?
Veel MSP’s en kleine IT-teams gebruiken Tailscale als beheerlaag naar klantservers, juist omdat het eenvoudig is. Eén gecompromitteerd apparaat met SSH-toegang is dan genoeg om via de tailnet op andere servers root te worden. De blootstelling hangt af van de SSH-policies: hoe ruimer de toegang, hoe groter het bereik.
Wat moeten IT-beheerders nu doen?
Werk alle nodes bij naar 1.104.4 en loop de SSH-policies na, zodat alleen de accounts die het echt nodig hebben SSH-toegang krijgen. Draai je Headscale als control server, zet dan SSH-forwarding uit met de omgevingsvariabele totdat er een fix is. Controleer op nodes met Docker of de socket onbedoeld bereikbaar was en bekijk de auditlogs van Tailscale op onverwachte SSH-sessies.
PHP2Shell: CISA bevestigt misbruik, NetScaler en PAN-OS nu gepatcht
| Kwetsbaarheid | De twee PHP-lekken van vorige week, nu ook gepatcht in Citrix NetScaler en Palo Alto Networks PAN-OS |
| CVE-nummer | CVE-2026-109618, CVE-2026-109619 |
| CVSS-score | 9,2 |
| Actief misbruikt | Ja, sinds 26 oktober 2026 bevestigd door CISA (KEV-catalogus); eerste onafhankelijk bevestigde geslaagde shells op honeypots |
| Patch beschikbaar | Ja, PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35; nu ook updates voor NetScaler en PAN-OS |
Wat is er nieuw?
Patchwork schreef vorige week al over PHP2Shell; sindsdien zijn drie dingen veranderd. CISA zette beide lekken maandag in de KEV-catalogus en bevestigt daarmee misbruik, nadat het vorige week nog geen geslaagde aanvallen zag, meldt The Register. Onderzoeker Adel Karimi telde op 24 oktober 35 geslaagde shell-uitvoeringen op honeypots, en het Threat Intelligence Lab van de TU Delft registreerde ruim 50.000 exploitverzoeken vanaf meer dan 600 IP-adressen uit zeventig landen. Sophos en Palo Alto trokken eerdere claims over geslaagde inbraken juist in. Verder brachten Citrix (NetScaler, kritiek) en Palo Alto Networks (PAN-OS, hoog) hun eigen patches uit, schrijft Security.nl, waarbij Palo Alto geplande releases naar voren haalde.
Wat moeten IT-beheerders nu doen?
Had je NetScaler of PAN-OS nog op de lijst staan als “wachten op de leverancier”, dan kan dat nu van de lijst af. Het NCSC schat de kans op grootschalig misbruik inmiddels kleiner in, maar Shadowserver telt in Nederland nog bijna 20.000 PHP-installaties zonder ondersteuning die geen patch meer krijgen. Daar helpt alleen upgraden of offline halen.
