In deze editie staat een actief misbruikte zero-day in Check Point-gateways voorop. Aanvallers kwamen binnen via de Mobile Access-portal, werkten zich op tot root en wisten bij een deel van de slachtoffers ook ESXi-hosts. Daarnaast duiken op meer dan honderd zelf gehoste ScreenConnect-servers nep-sessies met namen van cryptobeurzen op, waarschuwt het NCSC voor kritieke lekken in Zoom Workplace voor Windows en zit er een ongepatcht lek in Tactical RMM waarmee aanvallers commando’s naar alle beheerde agents kunnen sturen.
- Check Point-gateways via zero-day overgenomen: aanvallers krijgen root en wissen ESXi-hosts
- Nep-sessies met cryptobeursnamen op meer dan honderd zelf gehoste ScreenConnect-servers
- NCSC waarschuwt voor kritieke lekken in Zoom Workplace voor Windows
- Ongepatcht lek in Tactical RMM geeft toegang tot alle beheerde agents
Check Point-gateways via zero-day overgenomen: aanvallers krijgen root en wissen ESXi-hosts
| Kwetsbaarheid | Lokale privilege-escalatie naar root in de DynamicCLI-daemon (dynamic_server) van Gaia OS. Getroffen zijn Check Point Security Gateway, Security Management Server, Multi-Domain Security Management, Scalable Platforms en Maestro Orchestrator, versies R81 tot en met R82.20 |
| CVE-nummer | CVE-2026-123039 (eerste toegang via de PHP2Shell-lekken CVE-2026-109618 en CVE-2026-109619) |
| CVSS-score | 7,8 |
| Actief misbruikt | Ja, bij enkele tientallen klanten van Check Point, sinds 30 oktober 2026. CISA zette het lek op 13 november in de Known Exploited Vulnerabilities-catalogus |
| Patch beschikbaar | Ja, hotfixes via sk1000362, onder meer in R82.20 Take 14, R82.10 Take 52, R82 Take 132 en R81.20 Take 174. Tijdelijke maatregel: het proces dynamic_server stoppen en herstarten voorkomen |
Hoe is dit misbruikt?
Volgens het onderzoek van Check Point Research kwamen de aanvallers binnen via de PHP2Shell-lekken in de Mobile Access-portal, ongeveer een week nadat daarvoor een update was verschenen. Vanuit het serviceaccount van de portal gebruikten ze vervolgens de nieuwe zero-day om root te worden. De DynamicCLI-daemon draait als root en luistert op een lokale socket waar elk proces naar mag schrijven, zonder te controleren wie er verbinding maakt. Een eerste golf op 30 oktober trof Israëlische organisaties, een tweede op 2 november was breder en raakte organisaties in meerdere landen en sectoren. Volgens BleepingComputer zag Check Point het misbruik bij “a couple of dozen customers”.
Wat kan het gevolg zijn?
Na de overname plaatsten de aanvallers webshells, de backdoor TSGA met de proxycomponent TSProxy en de scanner gogo. Bij een deel van de slachtoffers uit de eerste golf gingen ze via SSH met het account vpxuser door naar een VMware ESXi-host en draaiden ze de wiper destroy_v6, die bestanden met nullen overschrijft en daarna verwijdert. Volgens The Hacker News lijken TSGA en TSProxy op onderdelen van de PhiliKit-toolkit die ESET eerder aan een Chinese groep koppelde. Check Point vindt het bewijs te mager om de campagne aan die groep toe te schrijven.
Wat moeten IT-beheerders nu doen?
Installeer de hotfix uit sk1000362 op gateways en managementservers, en controleer of de PHP2Shell-updates voor Mobile Access ook geïnstalleerd zijn. Kun je nog niet patchen, stop dan dynamic_server en voorkom dat het proces herstart; dat schakelt wel de DynamicCLI-commando’s uit. Zoek op de gateway naar zz*.tpl-bestanden in de templatemap van de portal, naar /lib/libcpfwcommon.so, naar slot_CPconfigdaemon en naar een onbekende listener op TCP-poort 11072. Controleer ESXi-hosts op SSH-aanmeldingen met vpxuser en blokkeer de IP-adressen 130.94.19.204 en 130.94.19.168. Het Duitse CERT-Bund heeft de gepatchte versies op een rij gezet.
Nep-sessies met cryptobeursnamen op meer dan honderd zelf gehoste ScreenConnect-servers
| Kwetsbaarheid | Misbruik van publiek downloadbare guest-installers van zelf gehoste ConnectWise ScreenConnect-servers. Een geautomatiseerde client meldt zich aan als nep-endpoint met namen als KUCOIN-SRV en LAPTOP-BINANCE. Vermoedelijk aas voor technici met een ongepatchte ScreenConnect-client |
| CVE-nummer | Geen CVE toegekend voor de nep-sessies. Het vermoedelijke doelwit is CVE-2026-84869 in de technician-client |
| Actief misbruikt | Ja, nep-sessies sinds 3 november 2026 op ten minste 118 servers bij 109 organisaties (Huntress, 13 november). Vanuit de sessies is nog geen kwaadaardige activiteit gezien |
| Patch beschikbaar | Ja, voor CVE-2026-84869: technician-clients naar 26.6.5 of hoger. Tijdelijk alternatief: de permissie TransferFiles intrekken. De nep-sessies zelf moet je handmatig opruimen |
Hoe is dit misbruikt?
Huntress-onderzoeker John Hammond beschrijft in een analyse hoe een MSP vroeg naar onbekende machines in de eigen ScreenConnect-console. Bij nader onderzoek bleken er sinds 3 november duizenden nep-sessies te zijn aangemaakt, met meer dan duizend verschillende namen die een cryptobeurs combineren met een rol, zoals SRV-BINANCE of BACKUP-PROBIT. Bijna 98 procent van de verbindingen kwam van één IP-adres bij hostingpartij IONOS. Huntress noemt geen softwarelek als oorzaak: de guest-installer bevat het relay-adres van de server en is standaard zonder inlog te downloaden. Op de eerste onderzochte server was de Access-installer al half oktober door een online scandienst opgehaald. De campagne staat los van de SCKit-aanvallen op klanten van zes MSP’s; Huntress vond geen overlap in indicatoren.
Wat kan het gevolg zijn?
De nep-sessies stuurden geen bestanden en voerden geen commando’s uit. Ze blijven wel zichtbaar als online, omdat de aanvaller ongeveer elk uur opnieuw verbinding maakt. De belangrijkste hypothese van Huntress is dat ze technici moeten verleiden een sessie te openen. Een kwaadaardige guest kan via CVE-2026-84869 een ongepatchte technician-client bestanden laten uitvoeren, mogelijk met verhoogde rechten. In een paar gevallen openden technici zo’n sessie, en een van hen stuurde twee keer tekst door. Huntress behandelt dat als mogelijk gelekte inloggegevens.
Wat moeten IT-beheerders nu doen?
Werk alle technician-clients bij naar 26.6.5 of hoger, inclusief getroffen Access-agents. Maak een kopie van App_Data\Session.db en het bijbehorende WAL-bestand voordat je nep-sessies verwijdert, en kijk in de sessiegeschiedenis of iemand er een heeft geopend. Zoek naar nieuwe guest-sessies met clientversie 25.3.4.9288 of een lege publieke sleutel, en naar veel nieuwe guests vanaf 74.208.158.106. Houd installerlinks privé, bouw mogelijk gelekte installers opnieuw en spreek af dat technici geen sessie openen die ze niet aan een klant kunnen koppelen.
NCSC waarschuwt voor kritieke lekken in Zoom Workplace voor Windows
| Kwetsbaarheid | Twee lekken in Zoom Workplace voor Windows waarmee een aanvaller zonder account via het netwerk hogere rechten krijgt: onvoldoende invoercontrole in versies 7.1.0 tot 7.1.8 en een fout in de controle van de herkomst in versies vóór 7.1.5 |
| CVE-nummer | CVE-2026-108186 en CVE-2026-108187 |
| CVSS-score | 9,6 (CVE-2026-108186) en 8,1 (CVE-2026-108187) |
| Actief misbruikt | Nee, volgens het NCSC (13 november 2026) is geen misbruik bekend |
| Patch beschikbaar | Ja, Zoom Workplace voor Windows 7.1.8 of hoger dicht beide lekken |
Hoe kan de kwetsbaarheid misbruikt worden?
Zoom publiceerde op 10 november de bulletins ZSB-26023 en ZSB-26024. Het zwaarste lek zit in de invoercontrole van de Windows-client en laat een aanvaller zonder inlog via het netwerk zijn rechten verhogen. Volgens de CVSS-vector is daarvoor wel een handeling van de gebruiker nodig. Het tweede lek is een fout in de controle van de herkomst van verzoeken. Het NCSC bracht op 13 november een aparte alert uit en schat de kans op misbruik als middelgroot en de schade als hoog.
Wat kan het gevolg zijn?
Volgens het NCSC kan een aanvaller met de verkregen rechten bijvoorbeeld instellingen wijzigen of bij gevoelige informatie komen. Zoom draait op veel werkplekken die MSP’s beheren, vaak in een versie die gebruikers zelf bijwerken of juist laten staan.
Wat moeten IT-beheerders nu doen?
Rol Zoom Workplace voor Windows 7.1.8 of hoger uit via je RMM- of softwaredistributietool. Gebruik je een versie vóór 7.1.5, dan ben je kwetsbaar voor beide lekken. Controleer ook werkplekken waar gebruikers Zoom zelf hebben geïnstalleerd en automatische updates hebben uitgeschakeld.
Ongepatcht lek in Tactical RMM geeft toegang tot alle beheerde agents
| Kwetsbaarheid | Willekeurig bestanden lezen via het endpoint /reporting/templates/preview/ in Tactical RMM van AmidaWare, versies 0.17.0 tot en met 1.6.1. Vereist een account met rechten om rapporten te beheren |
| CVE-nummer | CVE-2026-129165 |
| CVSS-score | 9,4 (CVSS 4.0, VulnCheck) |
| Actief misbruikt | Nee, er is geen misbruik bekend en het lek staat niet in de KEV-catalogus van CISA (13 november 2026) |
| Patch beschikbaar | Nee, de nieuwste versie 1.6.1 valt binnen het getroffen bereik en er is nog geen gepatchte versie genoemd. Beperk het recht om rapporten te beheren |
Hoe kan de kwetsbaarheid misbruikt worden?
Volgens de advisory van VulnCheck, die het lek op 13 november publiceerde, verwerkt de rapportfunctie de door de gebruiker ingevoerde template met WeasyPrint. Die volgt file://-links in de template en zet de inhoud van lokale bestanden in de PDF die terugkomt. Zo kan een gebruiker met rapportrechten de Django SECRET_KEY van de server uitlezen. Het lek is gevonden door onderzoeker Wu Yulun.
Wat kan het gevolg zijn?
Tactical RMM gebruikt dezelfde SECRET_KEY als wachtwoord voor de NATS-berichtenserver. Met die sleutel kan een aanvaller runscript-commando’s publiceren naar elke beheerde agent. Een account met beperkte rechten wordt zo een route naar code uitvoeren op alle endpoints van alle klanten in de omgeving.
Wat moeten IT-beheerders nu doen?
Zolang er geen gepatchte versie is, geef je het recht om rapporten te beheren alleen aan accounts die het echt nodig hebben, en controleer je welke accounts dat recht nu hebben. Houd de releasepagina van Tactical RMM in de gaten en installeer de update zodra die er is. Heb je reden om aan te nemen dat een account met rapportrechten misbruikt is, overweeg dan de SECRET_KEY en daarmee het NATS-wachtwoord te vervangen.
