Deze editie draait om een kritiek Linux-kernellek waarvoor al scans zijn gezien, een Metabase-lek met CVSS 10,0 dat actief wordt misbruikt en een campagne met gestolen Entra-appsecrets bij klanten van MSP’s. Daarnaast laat SonicWall zijn GMS-beheersoftware onbeschermd achter en blijkt het eerder gepatchte Zyxel GS1900-lek al maanden te zijn misbruikt.
- Linux-kernel: kritiek TCP-lek geeft op afstand root, scans naar kwetsbare servers zijn gezien
- Metabase: kritiek SQL-injectielek geeft beheerderstoegang en wordt actief misbruikt
- Gestolen Entra-appsecrets: aanvaller logt als workload in bij klanten van MSP’s
- SonicWall GMS: kritiek lek in end-of-life-beheersoftware, er komt geen patch
- Zyxel GS1900: nu actief misbruikt, bijna 1.000 switches gehackt
Linux-kernel: kritiek TCP-lek geeft op afstand root, scans naar kwetsbare servers zijn gezien
| Kwetsbaarheid | Race condition in de IPv4 TCP-stack van de Linux-kernel (use-after-free bij het vrijgeven van IPv4-opties van een inkomende verbinding). De bekende exploit werkt op servers met een luisterende service die een Multipath TCP-socket (MPTCP) gebruikt |
| CVE-nummer | CVE-2026-98432 |
| CVSS-score | 9,8 |
| Actief misbruikt | Nog niet bevestigd. Onderzoeker Marcus Hutchins ziet wel een aanvaller die lijkt te scannen naar kwetsbare servers (4 november 2026) |
| Patch beschikbaar | Ja, upstream in onder meer 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113 en 6.18.56. Distributies leveren eigen kernelupdates; Ubuntu had op 4 november nog geen patch |
Hoe kan de kwetsbaarheid misbruikt worden?
Volgens Security.nl kan een aanvaller met speciaal samengestelde pakketten commando’s als root uitvoeren op een server met een MPTCP-listener, zonder inloggegevens of interactie. Anthropic heeft een werkende exploit gemeld. Debian en andere distributies zetten MPTCP standaard aan, en software gebouwd met Go 1.24 of nieuwer bindt MPTCP-sockets standaard, dus ook diensten waarvan je dat niet verwacht kunnen het vereiste luisterpunt leveren. Hutchins telde ongeveer 2,1 miljoen Linux-servers die via MPTCP op poort 443 bereikbaar zijn, waarvan ongeveer 763.000 met een volledige TLS-verbinding.
Wat kan het gevolg zijn?
Een aanvaller kan een kwetsbare server volledig overnemen vanaf internet. Voor MSP’s en hosters gaat het om webservers, reverse proxies en Go-diensten bij klanten. Volgens Akamai is de onderliggende fout niet specifiek voor MPTCP, dus systemen zonder MPTCP-listener zijn niet per definitie veilig.
Wat moeten IT-beheerders nu doen?
Installeer de kernelupdate van je distributie en herstart, en controleer daarna de draaiende kernelversie. Voor Ubuntu ontbreekt de patch nog, houd de tracker van Canonical in de gaten. Is patchen nog niet mogelijk, zet dan MPTCP uit op luisterende diensten (Akamai noemt de sysctl net.mptcp.enabled = 0) en beperk toegang tot vertrouwde bronnen. Dat is tijdelijk: Red Hat stelt dat geen enkele geteste mitigatie volstaat als vervanging voor patchen. Zie ook de uitleg van N-able.
Metabase: kritiek SQL-injectielek geeft beheerderstoegang en wordt actief misbruikt
| Kwetsbaarheid | SQL-injectie zonder authenticatie in Metabase (open source en Enterprise), waarmee een aanvaller beheerderstoegang tot de instantie krijgt. Getroffen: 0.58.0 tot 0.58.24, 0.59.0 tot 0.59.21, 0.60.0 tot 0.60.17, 0.61.0 tot 0.61.11, 0.62.0 tot 0.62.9 en 0.63.0 tot 0.63.5, plus de overeenkomstige 1.x-reeksen |
| CVE-nummer | CVE-2026-72898 |
| CVSS-score | 10,0 |
| Actief misbruikt | Ja, volgens het Singaporese CSA (4 november 2026); er is een publieke proof-of-concept |
| Patch beschikbaar | Ja, 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9, 0.63.5 of nieuwer (en de 1.x-equivalenten). Tijdelijk: toegang tot /api/session/reset_password blokkeren |
Hoe is dit misbruikt?
Een aanvaller zonder account kan volgens de waarschuwing van het Cyber Security Agency of Singapore willekeurige SQL uitvoeren op de applicatiedatabase van Metabase en zo beheerder worden. Een werkend voorbeeldexploit is openbaar, waardoor kopieerwerk voor aanvallers eenvoudig is.
Wat kan het gevolg zijn?
Metabase staat vaak direct gekoppeld aan databases van klanten, voor rapportages en dashboards. Met beheerderstoegang kan een aanvaller de opgeslagen verbindingen en de data daarachter benaderen. Metabase wordt bovendien vaak zelf gehost en soms rechtstreeks aan internet gehangen.
Wat moeten IT-beheerders nu doen?
Update meteen naar een gepatchte versie. Kun je niet direct updaten, blokkeer dan het endpoint /api/session/reset_password. Trek na de update actieve sessies in, controleer beheerdersaccounts en API-sleutels, roteer de databasecredentials die aan Metabase hangen en zoek in de logs naar verdachte activiteit.
Gestolen Entra-appsecrets: aanvaller logt als workload in bij klanten van MSP’s
| Kwetsbaarheid | Misbruik van gestolen applicatiegeheimen (secrets) van app-registraties in Microsoft Entra ID, waarmee een aanvaller zonder gebruiker inlogt als de applicatie bij Microsoft 365- en Azure-omgevingen. Geen softwarefout |
| CVE-nummer | Geen CVE toegekend |
| Actief misbruikt | Ja, ontdekt door Todyl en volgens het bericht van 4 november 2026 nog gaande; Huntress onderzoekt mee |
| Patch beschikbaar | Nee, het is geen softwarelek. Het bericht noemt geen vaste maatregelen; beheerders moeten zelf geheimen roteren en inlogactiviteit controleren |
Hoe is dit misbruikt?
Volgens Cybersecurity Dive richtte de aanvaller zich op 45 app-registraties bij ongeveer 18 organisaties, waarvan er minstens 33 succesvol zijn aangemeld. De activiteit komt van één operator via een server in Polen, volgens Huntress. Ongeveer 95 procent van de aanmeldingen gebeurde met scripts, met bursts van 24 logins in 10 seconden. Todyl beschrijft de campagne in een eigen rapport. De credentials zijn naar verluidt vóór 1 november verzameld. Een directe link met de eerdere ConnectWise-campagne is niet gevonden.
Wat kan het gevolg zijn?
De aanvaller kreeg toegang tot 27 organisaties, waaronder downstreamklanten van MSP’s in energie, overheid, voeding en landbouw, transport en bouw. In 25 tenants zijn zoekacties uitgevoerd, 81 bestanden gedownload en ongeveer 2.300 mailboxitems benaderd.
Wat moeten IT-beheerders nu doen?
Inventariseer de app-registraties en service principals in de tenants die je beheert, roteer clientsecrets en certificaten waar die mogelijk zijn gelekt, en audit de service principal sign-ins op logins vanaf onbekende IP-adressen. Overweeg voorwaardelijke toegang voor workload identities en het gebruik van certificaten of managed identities in plaats van secrets.
SonicWall GMS: kritiek lek in end-of-life-beheersoftware, er komt geen patch
| Kwetsbaarheid | Ongeauthenticeerde bestandsleesactie in SonicWall Global Management System (GMS), de beheersoftware voor SonicWall-firewalls. Volgens BleepingComputer gaat het om GMS 9.5.2 en eerder; daarnaast speelt een SQL-injectie na authenticatie (CVE-2026-109594, CVSS 6,8) |
| CVE-nummer | CVE-2026-109593 (advisory SNWLID-2026-0019) |
| CVSS-score | 9,1 |
| Actief misbruikt | Niet gemeld |
| Patch beschikbaar | Nee, GMS is sinds 30 september 2026 end-of-life. SonicWall adviseert migratie naar Network Security Manager (NSM) |
Hoe kan de kwetsbaarheid misbruikt worden?
Een aanvaller zonder inloggegevens kan via de beheerinterface gevoelige bestanden van het GMS-systeem lezen, aldus Security.nl. SonicWall noemt niet welke gegevens dat zijn. Zie ook het bericht van BleepingComputer en de SonicWall-advisory.
Wat kan het gevolg zijn?
GMS beheert firewalls van meerdere klanten vanaf één plek. Wie daar bestanden kan lezen, komt mogelijk aan configuraties en inloggegevens van de beheerde apparaten. Omdat er geen patch komt, blijft elke GMS-installatie kwetsbaar.
Wat moeten IT-beheerders nu doen?
Plan de migratie naar NSM, en haal GMS intussen van internet of beperk toegang tot een beheernetwerk. Roteer wachtwoorden en sleutels die in GMS zijn opgeslagen als het systeem bereikbaar was vanaf internet.
Zyxel GS1900: nu actief misbruikt, bijna 1.000 switches gehackt
| Kwetsbaarheid | Out-of-bounds write in de webbeheerinterface van tien Zyxel GS1900-switchmodellen, waarmee een aanvaller zonder authenticatie via speciaal gemaakte HTTP-verzoeken OS-commando’s uitvoert |
| CVE-nummer | CVE-2026-107441 |
| Actief misbruikt | Ja, volgens GreyNoise sinds ongeveer 17 augustus 2026; 996 apparaten in 48 landen gecompromitteerd |
| Patch beschikbaar | Ja, firmware van 22 oktober 2026; installeer de nieuwste firmware |
In de Patchwork van dinsdag 3 november meldden we de patch voor dit lek. Nieuw is dat het lek al sinds augustus als zero-day op grote schaal is misbruikt.
Hoe is dit misbruikt?
Volgens BleepingComputer zag GreyNoise een vermoedelijk Chineestalige actor, gevolgd als Kapibala, vanaf half augustus commando’s uitvoeren op switches en daarna een script downloaden dat configuraties, gehashte rootcredentials en netwerkinformatie verzamelde. GreyNoise koppelde dit eerst aan een eerder gepatcht lek. Binarly vond een open archief met een exploit die de eerdere patches omzeilde, en meldde het lek op 29 september aan Zyxel.
Wat kan het gevolg zijn?
Een aanvaller krijgt commando’s op het netwerkapparaat en kan configuraties en credentials meenemen, waarmee verder bewegen door het klantnetwerk mogelijk wordt.
Wat moeten IT-beheerders nu doen?
Installeer op alle GS1900-switches de nieuwste firmware, haal de webinterface van internet en controleer apparaten die vóór 22 oktober blootstonden op sporen van inbraak. Roteer beheerwachtwoorden na een vermoedelijke compromittering.
Het bericht Patchwork – donderdag 5 november verscheen eerst op MSP Business.
Read more here: https://mspbusiness.com/security-en-privacy/patchwork-donderdag-5-november/
