Een vpn-appliance die al wekenlang wordt aangevallen en een Windows-lek dat misbruikt werd voordat de patch er was: dit zijn vandaag de twee punten waar beheerders hun aandacht op moeten richten. Aanvallers hebben sinds begin oktober een keten van drie zeroday-lekken in Ivanti Connect Secure gebruikt om zonder inloggegevens root-toegang te krijgen, terwijl er voor de laatste schakel nog geen patch is. Daarnaast bevat de recordgrote Patch Tuesday van Microsoft een misbruikte omzeiling van de Mark of the Web-bescherming en kritieke fouten in onder meer Exchange en Active Directory.
- Aanvallers misbruiken keten van drie zeroday-lekken in Ivanti Connect Secure, patch voor privilege-escalatie ontbreekt nog
- Recordgrote Patch Tuesday: misbruikte Windows Shell-zeroday en ernstige fouten in Exchange en Active Directory
Aanvallers misbruiken keten van drie zeroday-lekken in Ivanti Connect Secure, patch voor privilege-escalatie ontbreekt nog
| Kwetsbaarheid | Keten van drie kwetsbaarheden in Ivanti Connect Secure: een authenticatieomzeiling gecombineerd met het schrijven van een bestand (code-uitvoering als gebruiker cgi-server) en een privilege-escalatie naar root – Ivanti Connect Secure vpn-appliances |
| CVE-nummer | CVE-2026-104935 (authenticatieomzeiling en code-uitvoering). Voor de privilege-escalatie is nog geen CVE-nummer bekend |
| CVSS-score | 8,6 voor CVE-2026-104935. Voor de privilege-escalatie is geen score bekend |
| Actief misbruikt | Ja, sinds 3 oktober 2026, volgens Volexity door de groep UTA0576 |
| Patch beschikbaar | Gedeeltelijk. De fix voor de authenticatieomzeiling en code-uitvoering is uit: 22.8R2.5 is volgens het NCSC een directe oplossing, voor de 25.1-reeks noemen de bronnen 25.1.1.2 of hoger (NCSC) en 25.1.3.0 (CVE-registratie). De fix voor de privilege-escalatie volgt “in de komende weken”. Er is geen workaround |
Hoe worden de kwetsbaarheden misbruikt?
Het beveiligingsbedrijf Volexity ontdekte de aanvallen en beschrijft in een technische analyse hoe een tot dan toe onbekende groep, UTA0576, drie lekken aan elkaar koppelt. Verzoeken aan de publiek bereikbare inlogpagina welcome.cgi kunnen worden doorgestuurd naar andere cgi-scripts, ook naar scripts die normaal achter authenticatie zitten. Via een bestandsschrijffout in een van die scripts kan een aanvaller een bestand uploaden en laten uitvoeren voordat het wordt verwijderd. De derde stap verhoogt de rechten van de gebruiker cgi-server naar root. Daarvoor past de aanvaller een bibliotheek alleen in het geheugen aan, laat een onderhoudstaak zijn script als root uitvoeren en herstelt daarna de oorspronkelijke toestand. Er blijft geen backdoor of webshell achter: de aanvaller voert voor elk commando de hele keten opnieuw uit en wist sporen uit de logbestanden. Volgens The Hacker News werkte de keten ook op een volledig bijgewerkte appliance met versie 22.8R2.4. Ivanti spreekt zelf van beperkt misbruik. BleepingComputer meldt dat het beveiligingsbedrijf Defused al op 1 oktober de eerste tekenen zag en dat Shadowserver ruim 5.500 vanaf het internet bereikbare Connect Secure-instanties telt.
Wat kan het gevolg zijn?
Een vpn-appliance staat op de grens tussen het internet en het bedrijfsnetwerk en bevat vaak opgeslagen inloggegevens, waaronder die voor LDAP-koppelingen met Active Directory. Volexity zag dat de aanvaller die gegevens uitlas, in Active Directory zocht naar LAPS-wachtwoorden en BitLocker-sleutels, Kerberoasting toepaste en wachtwoorden bij accounts uitprobeerde. Volgens het onderzoeksbureau lijkt het motief eerder crimineel dan spionage, wat de kans op ransomware vergroot. Voor MSP’s die Connect Secure bij klanten beheren, is het risico groot: een gecompromitteerde appliance kan toegang geven tot meerdere netwerken.
Wat moeten IT-beheerders nu doen?
Het NCSC schat zowel de kans op misbruik als de mogelijke schade hoog in en roept op tot direct updaten. Werk Connect Secure daarom meteen bij: 22.8R2.5 is een directe oplossing en voor de 25.1-reeks noemt het NCSC 25.1.1.2 of hoger, terwijl de CVE-registratie 25.1.3.0 als eerste ongetroffen versie noemt. Kies bij twijfel de nieuwste versie en controleer het advies van Ivanti. Installeer de aanvullende update voor de privilege-escalatie zodra Ivanti die uitbrengt. Een update maakt een bestaande inbraak niet ongedaan, dus onderzoek eerst of de appliance al is gecompromitteerd. Ivanti’s Integrity Checker Tool ziet deze aanval volgens Volexity niet, dus een schone uitslag is geen bewijs dat de appliance niet is gecompromitteerd. Let op grote aantallen verzoeken naar /dana-na/auth/url_default/welcome.cgi, verzoeken waarbij de header X-DSCGI-PATH niet overeenkomt met het pad, en laterale bewegingen die vanaf de appliance beginnen. Voor zekerheid is netwerk- en geheugenonderzoek nodig. Ga bij een vermoeden van misbruik ervan uit dat opgeslagen en via de appliance gebruikte inloggegevens zijn blootgesteld en wissel ze, inclusief serviceaccounts voor Active Directory.
Recordgrote Patch Tuesday: misbruikte Windows Shell-zeroday en ernstige fouten in Exchange en Active Directory
| Kwetsbaarheid | Beveiligingsomzeiling in Windows Shell waarmee de Mark of the Web-bescherming wordt omzeild zodra een gebruiker een geprepareerd bestand opent – Windows (alle ondersteunde versies) |
| CVE-nummer | CVE-2026-96951 |
| CVSS-score | 8,8 |
| Actief misbruikt | Ja, Microsoft meldt misbruik in het wild vóór de patch. Het is volgens Tenable de derde Windows Shell-zeroday van dit jaar |
| Patch beschikbaar | Ja, via de Patch Tuesday-updates van 13 oktober 2026 |
Wat is er aan de hand?
Microsoft repareerde op 13 oktober een recordaantal van ruim 1.400 kwetsbaarheden, waaronder drie zerodays. Volgens BleepingComputer gaat het om 1.411 fouten, waarvan 70 als kritiek zijn beoordeeld. Eén zeroday werd al misbruikt: de fout in Windows Shell, waarmee Mark of the Web wordt omzeild. Die markering zorgt ervoor dat Windows waarschuwt voor bestanden die van het internet komen. Volgens Tenable moet een aanvaller een gebruiker via e-mail of berichten verleiden een geprepareerd bestand te openen. De twee andere zerodays waren publiek bekend voor de patch: een omzeiling van Windows Defender Application Control in .NET Framework, ontdekt door James Forshaw van Google Project Zero, en een denial-of-service in MessagePack-CSharp.
Wat kan het gevolg zijn?
Zonder Mark of the Web-waarschuwing is de drempel om een kwaadaardige bijlage of download te openen lager, waardoor phishing en malwareverspreiding effectiever worden. Voor MSP’s met veel eindgebruikers is dit daarom de eerste update om uit te rollen. Daarnaast noemt Tenable meerdere kritieke fouten die Microsoft als “Exploitation More Likely” aanmerkt, waaronder een Exchange-kwetsbaarheid voor remote code-uitvoering via een kwaadaardige e-mail (CVSS 8,1), een Exchange-spoofingfout (9,3) en een kritieke fout voor code-uitvoering in Active Directory Domain Services (8,1). Ook zijn er kritieke fouten in AD FS en Azure App Service verholpen. Voor Exchange en Active Directory geldt dat een succesvolle aanval op identiteits- en mailsystemen vaak de weg opent naar het hele netwerk.
Wat moeten IT-beheerders nu doen?
Rol de updates zo snel mogelijk uit op werkstations en servers, met voorrang voor eindgebruikersapparaten vanwege de misbruikte Windows Shell-fout, en daarna voor Exchange-servers, domeincontrollers en AD FS. Let op de einddata van ondersteuning: met deze release kregen Windows 11 24H2 Home en Pro en Windows 10 Enterprise LTSB 2016 hun laatste beveiligingsupdate, en Windows 11 23H2 Enterprise, Education en IoT Enterprise volgen volgende maand. Controleer of klantapparaten nog op die versies draaien en plan de overstap.
Het bericht Patchwork – woensdag 14 oktober verscheen eerst op MSP Business.
Read more here: https://mspbusiness.com/security-en-privacy/patchwork-woensdag-14-oktober/
