Deze editie begint met een gekaapt updatekanaal: via cPGuard kregen duizenden hostingservers een backdoor binnen. Daarnaast worden Node-RED-installaties actief overgenomen, waarschuwt Barracuda voor twee ketenbare lekken op zijn gateways en heeft CISA het WordPress-updatelek uit de editie van zaterdag als actief misbruikt bevestigd.
- Updatekanaal van cPGuard gekaapt: backdoor en datadiefstal op duizenden hostingservers
- Node-RED: aanvallers misbruiken kritiek lek en plaatsen Linux-bot en webshells
- Barracuda waarschuwt voor twee ketenbare lekken die root geven op e-mail- en webgateways
- WordPress-updatelek: CISA bevestigt misbruik en zet het in de KEV-catalogus
Updatekanaal van cPGuard gekaapt: backdoor en datadiefstal op duizenden hostingservers
| Kwetsbaarheid | Gekaapt updatekanaal van cPGuard (OpsShield), een beveiligingssuite voor Linux-hostingservers. Versies 5.88.12 t/m 5.88.19 bevatten een kwaadaardig script dat een backdoor installeert en gegevens steelt. Het gaat om gestolen inloggegevens voor de update-CDN; er is geen softwarefout in het spel |
| CVE-nummer | Geen CVE toegekend |
| Actief misbruikt | Ja, de kwaadaardige updates gingen op 2 november 2026 vanaf 02:06 UTC de deur uit; OpsShield meldde het incident op 3 november |
| Patch beschikbaar | Ja, versie 5.88.25 of nieuwer verwijdert de backdoor en het script. Daarna moeten wachtwoorden, databasecredentials, cloudsecrets en SSH-sleutels worden vervangen |
Hoe is dit misbruikt?
Volgens Security.nl kreeg een aanvaller met gecompromitteerde inloggegevens toegang tot de update-CDN van OpsShield. Servers die tijdens het aanvalsvenster updatete, kregen een script dat een backdoor plaatste en Linux-wachtwoordhashes, de configuratie van de MariaDB- en MySQL-rootgebruiker, de shellgeschiedenis van root en de SSH-bestanden van root verzamelde. De buit ging naar de licentieserver van OpsShield. BleepingComputer schreef over hetzelfde incident. OpsShield zegt de verspreiding binnen 12 uur te hebben gestopt.
Wat kan het gevolg zijn?
Een woordvoerder van OpsShield noemt volgens BleepingComputer 2.946 getroffen servers, met 32 bestanden per klant, en ook de billingdatabase is gekopieerd. OpsShield kan niet bevestigen dat elke server het script heeft uitgevoerd, omdat updatecontroles met tussenpozen plaatsvinden. Draai je cPGuard op shared-hosting of cPanel-servers, dan kunnen root-geheimen zijn buitgemaakt. Voor MSP’s die hostingomgevingen van klanten beheren is dat een directe aanleiding om te kijken wat er is meegelezen.
Wat moeten IT-beheerders nu doen?
Werk elke cPGuard-server bij naar versie 5.88.25 of nieuwer. Ga ervan uit dat gegevens zijn buitgemaakt als op 2 of 3 november een versie tussen 5.88.12 en 5.88.19 is binnengekomen: vervang root- en gebruikerswachtwoorden, database- en cloudsecrets en SSH-sleutels. OpsShield werkt aan een aparte update die eerder geïnstalleerde supporttoegangssleutels verwijdert. Meer over de aanpak staat ook bij The Hacker News.
Node-RED: aanvallers misbruiken kritiek lek en plaatsen Linux-bot en webshells
| Kwetsbaarheid | Ontbrekende authenticatie in de HTTP-interface van Node-RED, waarmee een aanvaller op afstand en zonder inloggen flows aanmaakt en code uitvoert. Siemens waarschuwde in augustus voor Industrial OS-apparaten met Node-RED vóór V4.3.4.1, waaronder de SIMATIC IoT2050 Advanced |
| CVE-nummer | CVE-2026-58115 |
| CVSS-score | 10,0 (score van Siemens) |
| Actief misbruikt | Ja, VulnCheck zag het eerste volledige exploit op 30 oktober 2026. Het staat in de KEV-catalogus van VulnCheck; CISA had het bij het verschijnen van het bericht nog niet opgenomen |
| Patch beschikbaar | Ja voor Siemens Industrial OS: V4.3.4.1 of nieuwer. Voor andere Node-RED-installaties geldt: afschermen met authenticatie (adminAuth) en niet rechtstreeks aan internet blootstellen |
Hoe is dit misbruikt?
Volgens Help Net Security ving een canary van VulnCheck op 30 oktober een compleet exploit op in één POST-verzoek. Dat plaatste een flow die vanzelf draaide en met inject- en exec-nodes een binary met de naam bot-linux-amd64 downloadde, verborgen in een geheugenlocatie. Latere verzoeken leverden een shellscript, een bestand dat zich voordeed als kernel worker thread en webshells. Het bronadres, in een Microsoft-range die naar Brazilië wijst, deed tussen 30 oktober en 1 november 16 pogingen. VulnCheck noemt het opportunistisch massaal scannen. Ook Security.nl meldde de aanvallen.
Wat kan het gevolg zijn?
De bot verdwijnt na een herstart, tenzij die zichzelf persistent maakt, maar de webshells blijven staan. Een aanvaller heeft op de server de hoogste rechten. Node-RED draait veel op IoT-gateways, gebouwbeheer en industriële omgevingen, dus bij MSP’s met zulke klanten kan een vergeten instantie een toegangspoort naar het klantnetwerk zijn.
Wat moeten IT-beheerders nu doen?
Controleer of Node-RED van buiten het netwerk bereikbaar is, ook in OT-omgevingen. VulnCheck waarschuwt dat instanties zonder adminAuth automatisch worden gevonden en misbruikt. Installeer beschikbare updates, zoek naar de indicatoren uit het VulnCheck-bericht en controleer op onbekende flows en webshells.
Barracuda waarschuwt voor twee ketenbare lekken die root geven op e-mail- en webgateways
| Kwetsbaarheid | Twee kwetsbaarheden in Barracuda-appliances: een autorisatiebypass in de Email Security Gateway (ESG) en een command injection in ESG, Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall en Web Security Gateway. Samen geven ze root-toegang |
| CVE-nummer | CVE-2026-116606 (autorisatiebypass, alleen ESG) en CVE-2026-111560 (command injection) |
| CVSS-score | 9,3 voor CVE-2026-116606 en 8,6 voor CVE-2026-111560 |
| Actief misbruikt | Nee, Barracuda en The Hacker News melden geen misbruik in het wild |
| Patch beschikbaar | Ja. Voor ESG: BNSF-40425 (vanaf firmware 9.4.017) en BNSF-40430 (ouder dan 9.4.017); verder BNADC-16586 (Load Balancer ADC en WAF), BNMA-32468 (Message Archiver), BNWF-60060 (WAF Control Center) en BNYF-24789 (Web Security Gateway) |
Hoe kan de kwetsbaarheid misbruikt worden?
Volgens de advisory van Barracuda leiden de twee lekken alleen in combinatie tot root-toegang: de autorisatiecontroles worden omzeild en daarna volgt het uitvoeren van commando’s. Een aanvaller heeft daarvoor toegang tot de beheerinterface van het apparaat nodig. De advisory noemt geen ontdekker. Barracuda spreekt van een pre-authenticatielek, terwijl dezelfde pagina ook beheerdersrechten noemt, dus controleer bij Barracuda hoe dat precies zit. The Hacker News en BleepingComputer schreven eerder op 3 november over de waarschuwing.
Wat kan het gevolg zijn?
Een aanvaller met root op een e-mailgateway of webapplicatiefirewall ziet verkeer van alle klanten erachter en kan het apparaat als springplank gebruiken. Barracuda-apparatuur staat bij veel Nederlandse MSP’s en MKB’ers bij de rand van het netwerk.
Wat moeten IT-beheerders nu doen?
Zorg dat beheerinterfaces nooit vanaf internet bereikbaar zijn en beperk ze tot vertrouwde interne netwerken. Installeer de patch voor jouw product. Loopt de firmware meerdere versies achter, dan zijn volgens Barracuda mogelijk meerdere updates nodig.
WordPress-updatelek: CISA bevestigt misbruik en zet het in de KEV-catalogus
| Kwetsbaarheid | TOCTOU-race condition in het updateproces van WordPress Core. Tijdens een volledige core-update staan bestanden kort in een voorspelbare map onder wp-content/upgrade, waar een aanvaller code kan laten uitvoeren. Geraakt zijn onder meer 7.1.0 t/m 7.1.3 en 7.0.0 t/m 7.0.7 |
| CVE-nummer | CVE-2026-119977 |
| CVSS-score | 8,1 (Wordfence als CNA) |
| Actief misbruikt | Ja, CISA nam de kwetsbaarheid op 3 november 2026 op in de KEV-catalogus |
| Patch beschikbaar | Ja, 7.1.4 voor de 7.1-tak en 7.0.8 voor de 7.0-tak; ook oudere takken hebben een fix, zoals 6.9.11 en 6.8.12 |
Wat is er nieuw?
Dit lek stond al in de Patchwork-editie van zaterdag 31 oktober, toen nog zonder CVE-nummer en met pogingen vlak na de patch. Nieuw is dat CISA het inmiddels als actief misbruikte kwetsbaarheid heeft toegevoegd aan de catalogus van bekende misbruikte kwetsbaarheden.
Hoe kan de kwetsbaarheid misbruikt worden?
Tijdens een volledige update pakt WordPress de nieuwe bestanden uit in een voorspelbare map onder wp-content/upgrade, die op veel servers via het web bereikbaar is. Vraagt een aanvaller het installatiebestand in die staging-kopie op het juiste moment op, dan kan die er PHP-code mee uitvoeren. Dat venster duurt meestal seconden, dus aanvallers pollen herhaaldelijk. Volgens de analyse van Rescana zag Wordfence in de eerste 21 uur meer dan 18.500 verzoeken naar installer-paden in de staging-map. De fix in 7.1.4 maakt de mapnaam willekeurig en voegt indexbescherming toe.
Wat moeten IT-beheerders nu doen?
Controleer of de update naar 7.1.4, 7.0.8 of de fixversie van de eigen tak daadwerkelijk is uitgevoerd, vooral op sites met uitgeschakelde automatische updates en bij beheerde sites van klanten. Blokkeer daarnaast webtoegang tot wp-content/upgrade/ in de serverconfiguratie en zoek in logs naar verzoeken naar PHP-bestanden in die map, onbekende beheerdersaccounts en nieuwe plugins. Een PHP-firewall alleen is volgens Wordfence niet genoeg, omdat het verzoek WordPress omzeilt.
Het bericht Patchwork – woensdag 4 november verscheen eerst op MSP Business.
Read more here: https://mspbusiness.com/security-en-privacy/patchwork-woensdag-4-november/
