Overzicht van actuele beveiligingsincidenten

Incidenten van 22 oktober 2026

Ongeautoriseerde AI-agenten in accounts bij grote Amerikaanse banken

  • Status: Gedeeltelijke fix (Sinds 22 okt 2026)
  • Ernst: Medium
  • Getroffen systemen: Online bankrekeningen bij grote Amerikaanse banken (Morgan Stanley, Bank of America, JPMorgan Chase, Wells Fargo, Citi)

Axios meldt dat grote Amerikaanse banken, waaronder Morgan Stanley, Bank of America, JPMorgan en Wells Fargo, AI-agenten van derden detecteren die actief zijn binnen klantaccounts. In de meeste gevallen logt de agent in met de eigen inloggegevens en toestemming van de klant, wat de bankregels overtreedt die vereisen dat mensen zelf inloggen. Sommige banken zagen AI-agenten contact opnemen met callcenters of acties ondernemen die onafhankelijk leken van de instructies van de gebruiker. Executives geven aan dat ze vaak geen onderscheid kunnen maken tussen een mens en een agent, of tussen een geautoriseerde agent en een kwaadaardige. Er zijn geen account-overnames, fraudeverliezen of specifieke AI-agent-producten gemeld. Morgan Stanley blokkeert AI-agenten van derden; JPMorgan, Bank of America en Citi beperken deze. Gebruikers wordt geadviseerd om geen bankgebruikersnaam en wachtwoord te delen met een AI-agent.

Categorieën: AI / LLM tooling, #JPMorgan, #Bank of America, #Morgan Stanley, #Wells Fargo, #Citi, #Banking, #AI agents

---

GitLab: Ongeauthentiseerde RCE via regex-compiler (CVE-2026-110264)

  • Status: Gepatcht (Sinds 21 okt 2026)
  • Ernst: Kritiek
  • Getroffen systemen: GitLab CE/EE (self-managed)

GitLab heeft op 21 oktober 2026 een kritieke patch uitgebracht voor CVE-2026-110264. Er is sprake van een integer overflow in de gebundelde Onigmo / regex-compiler, waardoor een ongeauthentiseerde aanvaller code kan uitvoeren op self-managed GitLab-instanties. De CVSS-score is 10.0. Alle CE/EE-versies vanaf 7.0 (uit 2014) zijn kwetsbaar. Instanties die alleen de regex-fix van 12 oktober hebben toegepast, blijven kwetsbaar en moeten opnieuw upgraden.

CVE: CVE-2026-110264 Categorieën: Dev tools & CI, GitLab, RCE

---

Linux kernel: Gelekte ZDI-bugrapporten met repro-details (ksmbd RCE, CVSS 9.0)

  • Status: Ongepatcht (Sinds 21 okt 2026)
  • Ernst: Kritiek
  • Getroffen systemen: Linux kernel: ksmbd (in-kernel SMB server), SMB Direct, skbuff/NFQUEUE networking, vmwgfx, nvmet

Op 21 oktober stuurde de Zero Day Initiative (ZDI) van Trend Micro verschillende rapporten over ongepatchte Linux-kernelkwetsbaarheden naar security@kernel.org, maar plaatste deze in Cc naar de publieke linux-kernel en subsystem-lijsten. Hierdoor zijn volledige technische details (codepaden, KASAN traces) publiek voordat er fixes zijn uitgebracht. De ernstigste zijn twee remote code execution (RCE) bugs in ksmbd (in-kernel SMB server) met een CVSS-score van 9.0: een SMB Direct integer underflow (vereist een RDMA-apparaat en een schrijfbare share) en een protocol-dispatch race (vereist een guest share). Daarnaast zijn er lekken over een skb_zerocopy local privilege escalation (CVSS 7.8), een vmwgfx out-of-bounds write LPE, en een nvmet info leak. Er zijn nog geen CVE's en geen vaste mainline- of stable-releases; de ksmbd race fix bevindt zich in de ksmbd maintainer tree en een SMB Direct fix is in een branch voor Linux 7.5. Er is geen exploitatie gemeld. Alleen machines die ksmbd draaien, zijn blootgesteld aan de RCE's.

Categorieën: Linux, ksmbd, ZDI, RCE

---

LiteLLM 1.107.0 PyPI/Docker supply-chain compromis

  • Status: Gepatcht (Sinds 21 okt 2026)
  • Ernst: Kritiek
  • Getroffen systemen: LiteLLM (PyPI + officiële Docker/GHCR images)

Op 21 oktober 2026 hebben aanvallers de release-pipeline van LiteLLM gecompromitteerd en kwaadaardige litellm==1.107.0 gepubliceerd op PyPI (actief gedurende ongeveer 2 uur) en gecompromitteerde Docker Hub/GHCR tags (v1.107.0, latest, main-latest, main-stable). De wheels installeren cook.pth / cook.py / sitecustomize.py die bij elke Python-startup cloud-, developer- en AI-tool-credentials stelen en een remote-code loader openen. Dit is het tweede LiteLLM-compromis van 2026.

ID: MAL-2026-2144 Categorieën: Python, PyPI, Docker, AI / LLM tooling, LiteLLM, Supply chain

---

ISC BIND 9: Geherhaalde GSS-TSIG berichten corrumperen geheugen (CVE-2026-94300)

  • Status: Gedeeltelijke fix (Sinds 21 okt 2026)
  • Ernst: Hoog
  • Getroffen systemen: ISC BIND 9 (named) DNS server

ISC meldde op 21 oktober een op afstand exploiteerbare memory-corruption bug in BIND 9's named. Een aanvaller die een GSS-TSIG ondertekend UDP-bericht onderschept (de Kerberos-ondertekening gebruikt voor Active Directory-stijl dynamische DNS-updates), kan dit opnieuw afspelen zolang de onderhandelde sleutel geldig is. In combinatie met speciaal geformuleerde queries naar een zone die de aanvaller controleert, kan dit leiden tot remote code execution (RCE) of het crashen van 'named'. CVSS 8.1 (Hoog). Er is geen workaround. Het treft BIND 9.11.0 t/m 9.18.50, 9.20.0 t/m 9.20.29 en 9.21.0 t/m 9.21.26. Opgelost in 9.20.30 en 9.21.27; ISC meldt geen fix voor 9.18. Debian trixie heeft een gefixte package; Debian bookworm en Ubuntu wachten nog.

CVE: CVE-2026-94300 Categorieën: Linux, BIND, DNS, RCE

---

Node.js Beveiligingsupdates oktober 2026 (Brotli RCE + TLS/DNS)

  • Status: Gepatcht (Sinds 21 okt 2026)
  • Ernst: Hoog
  • Getroffen systemen: Node.js

Op 21 oktober 2026 heeft Node.js beveiligingsupdates uitgebracht voor 22.x, 24.x en 26.x waarin tien kwetsbaarheden zijn opgelost. Het belangrijkste probleem is CVE-2026-111497, een high-severity Brotli decoder out-of-bounds write die remote code execution mogelijk maakt wanneer door een aanvaller gecontroleerde Brotli-data wordt gedecodeerd. Dezelfde release lost TLS hostname/IP bypasses en DNS NUL truncation op, en vernieuwt de gebundelde CA store naar aanleiding van het eMudhra-incident.

CVE's: CVE-2026-111497, CVE-2026-105482, CVE-2026-105483, CVE-2026-106069 (+6 anderen) Categorieën: Node.js, #eMudhra, TLS, RCE

---

Railway: Ongeautoriseerde toegang tot omgevingsvariabelen van klanten

  • Status: Gedeeltelijke fix (Sinds 21 okt 2026)
  • Ernst: Hoog
  • Getroffen systemen: Railway (hosted platform)

Op 21 oktober 2026 meldde Railway afwijkende activiteit op systemen die omgevingsvariabelen (env vars) van klanten opslaan. Een ongeautoriseerde derde partij kan toegang hebben gehad tot versleutelde omgevingsvariabelen en, in sommige gevallen, de gedecrypteerde inhoud hebben verkregen (API-sleutels, DB/registry credentials). Railway gelooft dat dit deel uitmaakt van een reeks aanvallen op platformbedrijven met als doel AI-inference providers te compromitteren, en heeft upstream providers gevraagd sleutels in te trekken. Builds werden platformbreed voor ongeveer een dag gepauzeerd; op 22 oktober werden deze hersteld voor Enterprise en Pro, terwijl Hobby/Free/Trial nog in afwachting zijn. Alle gebruikers wordt geadviseerd geheimen te roteren.

Categorieën: Cloud & hosting, Railway

---

Incidenten van 20 oktober 2026

EG Secure Solutions SiteGuard Server Edition: OS Command Injection

  • Status: Gepatcht
  • Ernst: Hoog
  • Beschrijving: SiteGuard Server Edition bevat een OS command injection kwetsbaarheid waarmee een aanvaller willekeurige OS-commando's kan uitvoeren met root- of SYSTEM-privileges. Toegevoegd aan CISA KEV op 2026-10-20.
  • CVE: CVE-2026-106931

GMO Onamae Desktop Cloud: Malware op customer VPS

  • Status: Gedeeltelijke fix
  • Ernst: Hoog
  • Beschrijving: De Japanse VPS-dienst Onamae Desktop Cloud meldde dat een aanvaller kwaadaardige programma's in klantomgevingen heeft geïnstalleerd, wat leidde tot de uitschakeling van ongeveer 26.739 servers.

Siemens Software Center: Uncontrolled Search Path Element

  • Status: Gepatcht
  • Ernst: Hoog
  • Beschrijving: Bevat een kwetsbaarheid in het zoekpad waardoor een geauthentiseerde lokale aanvaller een speciaal vervaardigde DLL in een directory kan plaatsen, wat leidt tot willekeurige code-executie met de privileges van de applicatie. Toegevoegd aan CISA KEV op 2026-10-20.
  • CVE: CVE-2026-110936

HTTP/3 QPACK “Header Accordions” Memory-Amplification DoS

  • Status: Gedeeltelijke fix (Sinds 20 okt 2026)
  • Ernst: Medium
  • Getroffen systemen: HTTP/3 / QPACK stacks (quic-go, Cloudflare quiche, lsquic, Bun, aioquic, h3, Wireshark, …)

FoxIO publiceerde onderzoek (20 okt 2026) waaruit blijkt dat ontbrekende of late gedecodeerde-headerlimieten in QPACK ervoor zorgen dat een klein HTTP/3 HEADERS-frame kan uitbreiden naar een enorm servergeheugengebruik (tot ~4000× bij Bun). Zeven van de tien geteste implementaties waren kwetsbaar; quic-go, Cloudflare quiche, lsquic en Wireshark zijn gepatcht, terwijl Bun, aioquic/mitmproxy en h3 op het moment van publicatie ongepatcht bleven.

CVE's: CVE-2025-64702, CVE-2026-12523, CVE-2025-13945 Categorieën: Go, Rust, Python, Cloudflare, HTTP/3

---

Incidenten van 19 oktober 2026

OpenCode: Kwaadaardige MCP server kan code uitvoeren op Windows/WSL

  • Status: Gepatcht (Sinds 19 okt 2026)
  • Ernst: Kritiek
  • Getroffen systemen: OpenCode AI coding agent (Anomaly) op Windows en WSL

Een command-injection fout in de OpenCode AI coding agent stelde een kwaadaardige of later gekaapte remote MCP-server in staat om PowerShell-commando's uit te voeren op de Windows- of WSL-machine van een developer tijdens het MCP OAuth sign-in proces. Het door de server geleverde autorisatie-endpoint werd ongefilterd doorgegeven aan een oude versie van het open-pakket. Anomaly heeft dit op 28 september opgelost in versie 1.18.33 zonder CVE of advisory. macOS en Linux zijn niet getroffen. Pillar Security ontdekte de fout en geeft een score van 9.8; er is geen exploitatie in het wild gemeld.

Categorieën: AI / LLM tooling, Dev tools & CI, Windows, OpenCode, MCP

---

Capcom ID breach: 11,7 miljoen e-mailadressen blootgesteld

  • Status: Gepatcht (Sinds 19 okt 2026)
  • Ernst: Hoog
  • Getroffen systemen: CAPCOM ID (Capcom online account service)

Capcom meldt dat een derde partij ongeautoriseerde toegang heeft gekregen tot CAPCOM ID. 11.774.247 records wereldwijd met e-mailadressen, tijdstip van accountcreatie, laatste login, login-count en laatste-login IP zijn blootgesteld. Bij 43 accounts waren ook geboortedatum, geslacht, land/regio en bijnaam zichtbaar. Wachtwoorden werden bij 196 accounts zonder autorisatie gewijzigd (reeds gereset). Capcom heeft geen lek van door klanten ingestelde wachtwoorden of creditcardgegevens bevestigd. Gedetecteerd op 19 oktober; gemeld aan de politie van Osaka en de Japanse PPC op 21 oktober. Er wordt gewaarschuwd voor phishing die Capcom imiteert.

Categorieën: #Capcom, #Gaming, Data breach

---

Incidenten van 18 oktober 2026

eMudhra intermediate CA private keys gecompromitteerd

  • Status: Gedeeltelijke fix (Sinds 18 okt 2026)
  • Ernst: Kritiek
  • Getroffen systemen: eMudhra / emSign Global TLS intermediates; clients met Mozilla-stijl CA stores

Acht private keys van eMudhra Global TLS intermediate CA's bleken cryptografisch zwak / herleidbaar (onderzoekersrapport 18 okt). Mozilla, Chrome, Apple en Microsoft hebben de intermediates geblokkeerd; eMudhra trok ze op 19 oktober in en de ECC root werd preventief niet langer vertrouwd. Runtimes die eigen trust stores leveren (Go, Node.js, Electron, Python certifi, curl, etc.) hebben nood-updates van de CA-bundle nodig.

CVE's: CVE-2026-111943, CVE-2026-91403 Categorieën: #eMudhra, TLS

---

Incidenten van 17 oktober 2026

ConnectWise Cloud Backup stopgezet na M365 app-identity hijack

  • Status: Gedeeltelijke fix (Sinds 17 okt 2026)
  • Ernst: Kritiek
  • Getroffen systemen: ConnectWise Cloud Backup / Microsoft 365 app identity

ConnectWise heeft Cloud Backup uitgeschakeld nadat een gecompromitteerde credential aanvallers in staat stelde zich te authenticeren als de applicatie en in te loggen bij ten minste 173 klant-tenants van Microsoft 365.

Categorieën: #ConnectWise, Microsoft, Microsoft 365

---

PHP2Shell: Kritieke ongeauthentiseerde RCE in PHP core

  • Status: Gedeeltelijke fix (Sinds 17 okt 2026)
  • Ernst: Kritiek
  • Getroffen systemen: PHP

Twee kritieke remote-code-execution fouten in de PHP core (CVE-2026-109618 en CVE-2026-109619, ook wel “PHP2Shell”) werden vroegtijdig onthuld na een lek in het embargo. Beiden scoren CVSS 9.2 en kunnen een ongeauthentiseerde aanvaller code laten uitvoeren op servers die PHP-webverzoeken afhandelen, met name Apache mod_php. Patches zijn uitgebracht op 21 oktober 2026 (appliance-leveranciers zoals QNAP bereiden fixes voor); exploitatiepogingen werden waargenomen vóór en na de patch. watchTowr / AWS melden actieve scanning.

CVE's: CVE-2026-109618, CVE-2026-109619 Categorieën: PHP, Apache, CISA KEV, RCE

---

OpenCode Console breach: API-sleutels van OpenAI / Anthropic / Google blootgesteld

  • Status: Gedeeltelijke fix (Sinds 17 okt 2026)
  • Ernst: Hoog
  • Getroffen systemen: OpenCode Console (hosted service door Anomaly)

In de nacht van 16 oktober 2026 kreeg een indringer toegang tot een legacy OpenCode Console-systeem dat werd uitgefaseerd. Hierdoor kunnen API-sleutels van externe AI-providers die in Console-workspaces waren opgeslagen, zijn blootgesteld. OpenCode stelt dat 1,4% van de Console-gebruikers (zij met gekoppelde externe providers) zijn getroffen en koppelt dit aan een grootschalige distillation attack. Gebruikers meldden ongeautoriseerde kosten tot ~$1.700 en sommige Google Cloud project-schorsingen. Anthropic en Google hebben blootgestelde sleutels ingetrokken/geblokkeerd; OpenAI heeft verbruikte credits terugbetaald. De OpenCode-app zelf (lokale sleutels) was niet getroffen.

Categorieën: AI / LLM tooling, OpenCode, Data breach

---

Plex2Shell: Geketende Plex Media Server RCE gebruikt voor miners

  • Status: Gepatcht (Sinds 16 okt 2026)
  • Ernst: Kritiek
  • Getroffen systemen: Plex Media Server

Vier Plex Media Server fouten (CVE-2026-96652/96654/96655/96656), samen "Plex2Shell" genoemd, kunnen worden geketend voor ongeauthentiseerde admin-token diefstal en code-executie. Onderzoeker Zach Main publiceerde op 16 oktober details en kort daarna een PoC; exploitatie van internet-exposed servers (cryptominers + residential proxies) begon op 17 oktober. Gefixt in 1.43.3.10861. CISA heeft de keten toegevoegd aan KEV met een federale deadline van 23 oktober.

CVE's: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656 Categorieën: Plex, CISA KEV, RCE

---

Incidenten van 14 t/m 16 oktober 2026

Fortinet Multiple Products: Path Traversal Vulnerability

  • Status: Gepatcht (16 okt)
  • Ernst: Hoog
  • Beschrijving: FortiOS, FortiPAM, FortiProxy, en FortiSwitchManager bevatten een path traversal kwetsbaarheid waarmee een geauthentiseerde aanvaller met een admin-profiel willekeurige bestanden kan schrijven of verwijderen via specifieke CLI-commando's. Toegevoegd aan CISA KEV op 2026-10-16.
  • CVE: CVE-2025-61624

Atlassian Multiple Products: Bestanden toegankelijk voor externen

  • Status: Gepatcht (15 okt)
  • Ernst: Hoog
  • Beschrijving: Meerdere Atlassian-producten (o.a. Bitbucket, Confluence, Jira, Bamboo, Crowd, Crucible, Fisheye) bevatten een kwetsbaarheid waardoor een ongeauthentiseerde aanvaller specifieke bestanden in de root directory van de webapplicatie kan inzien. Toegevoegd aan CISA KEV op 2026-10-15.
  • CVE: CVE-2026-21589

Next.js: Twee ongeauthentiseerde RCE's opgelost

  • Status: Gepatcht (Sinds 14 okt 2026)
  • Ernst: Kritiek
  • Getroffen systemen: Next.js (next on npm), sharp / librsvg

Op 14 oktober 2026 bracht Vercel Next.js 16.4.1 en 15.5.28 uit met twee kritieke fixes voor ongeauthentiseerde remote code execution: CVE-2026-96889 (een use-after-free in librsvg via sharp, bereikbaar via de Image Optimization API bij SVG's op glibc-gebaseerde Linux) en GHSA-673q-mjm6-r5xr (RCE in App Router apps met Cache Components wanneer een use cache functie meerdere typed arrays teruggeeft). Ook is een high-severity Server Actions DoS (GHSA-p3m5-59mp-jv5r) opgelost. Er is geen exploitatie bekend.

CVE: CVE-2026-96889 Categorieën: Node.js, npm, Next.js, Vercel, #sharp, RCE

Zeabur breach: 3,2 miljoen records met omgevingsvariabelen blootgesteld

  • Status: Gedeeltelijke fix (Sinds 14 okt 2026)
  • Ernst: Kritiek
  • Getroffen systemen: Zeabur (PaaS)

Zeabur meldde een incident op 14–15 oktober 2026 waarbij een aanvaller gebruikmaakte van gelekte interne credentials in platte tekst om gedeelde clusters in 9 regio's te benaderen, root-toegang te krijgen tot 101 Zeabur-managed GCP servers en de platformdatabase uit te lezen. Hierdoor zijn ~3,22 miljoen records van omgevingsvariabelen van 321.810 accounts blootgesteld. Zeabur stopt met haar activiteiten: vanaf 1 december 2026 pauzeren gedeelde cluster-services en vanaf 31 december stoppen alle services en worden data verwijderd. Gebruikers moeten alle geheimen roteren en migreren.

Categorieën: Cloud & hosting, #Zeabur, Data breach

Ahsay AhsayCBS: Command Injection Vulnerability

  • Status: Gepatcht (14 okt)
  • Ernst: Hoog
  • Beschrijving: Bevat een command injection kwetsbaarheid waarmee een remote aanvaller OS-commando's kan uitvoeren via de /rps/api/json/UpdateReceivers.do endpoint. Kan worden geketend met CVE-2026-105133. Toegevoegd aan CISA KEV op 2026-10-14.
  • CVE: CVE-2026-105134, CVE-2026-105133

Cisco Secure Email Gateway: Relative Path Traversal

  • Status: Gepatcht (14 okt)
  • Ernst: Hoog
  • Beschrijving: Bevat een relative path traversal kwetsbaarheid waarmee een ongeauthentiseerde remote aanvaller willekeurige bestanden kan schrijven op het onderliggende besturingssysteem. Toegevoegd aan CISA KEV op 2026-10-14.
  • CVE: CVE-2026-76519

Palo Alto Networks PAN-OS: Code Injection Vulnerability

  • Status: Gepatcht (14 okt)
  • Ernst: Hoog
  • Beschrijving: Bevat een code injection kwetsbaarheid waarmee een geauthentiseerde aanvaller met netwerktoegang willekeurige code kan uitvoeren met root-privileges op de firewall. Toegevoegd aan CISA KEV op 2026-10-14.
  • CVE: CVE-2026-0322

GoDaddy: Massale intrekking van 404.607 TLS-certificaten

  • Status: Gedeeltelijke fix (Sinds 14 okt 2026)
  • Ernst: Medium
  • Getroffen systemen: GoDaddy / Starfield TLS certificaten (DV, OV, EV)

GoDaddy (Starfield) ontdekte dat 404.607 TLS-certificaten beleidsinformatie (policy OIDs, CPS URI) bevatten die niet overeenkwamen met de gepubliceerde CP/CPS. Volgens de Baseline Requirements van het CA/Browser Forum moesten deze binnen vijf dagen worden ingetrokken. GoDaddy miste de deadline van 18 oktober en trok de certificaten in op 21 oktober 2026. Er is geen sprake van hacking of gelekte sleutels, maar sites die een ingetrokken certificaat blijven gebruiken, kunnen browserwaarschuwingen tonen of onbereikbaar worden.

Categorieën: Cloud & hosting, GoDaddy, TLS

---

Incidenten van begin oktober 2026

PwnEscape: Linux networking guest-to-host escape (CVE-2026-99999)

  • Status: Gepatcht (Sinds 8 okt 2026)
  • Ernst: Kritiek
  • Getroffen systemen: Linux kernel networking (host-zijde van KVM/Firecracker en vergelijkbaar)

Paulos Yibelo / pwn.ai ontdekte een kritieke Linux networking flaw (CVE-2026-99999, CVSS 9.3) tijdens de $1M Sandbox challenge van Vercel. Door de gast gecontroleerde checksum-metadata kan een IPv4-header overschrijven na validatie, wat leidt tot host-memory disclosure en, in labomstandigheden, guest-to-host code-executie op KVM/Firecracker. Upstream fix is in oktober 2026 samengevoegd; host-kernels hebben een patch en reboot nodig. Dit treft multi-tenant VPS / sandbox providers meer dan consumenten-desktops.

CVE: CVE-2026-99999 Categorieën: Linux, Vercel, KVM, Firecracker

GhostAction: Gekaapte GitHub accounts pushen 'security audit' workflows

  • Status: Gedeeltelijke fix (Sinds 8 okt 2026)
  • Ernst: Hoog
  • Getroffen systemen: GitHub repositories / GitHub Actions (gecompromitteerde maintainer accounts)

GhostAction, een campagne die voor het eerst in september 2025 werd gedocumenteerd, is terug in 2026. Tussen 8 en 12 oktober pushten ongeveer 1.900 gecompromitteerde GitHub-accounts nep 'security audit' workflows naar meer dan 30.000 repositories. De payload exfiltreert Actions secrets en alle credentials in de git-historie naar 193.32.204.199 via platte HTTP. GitHub begon de workflow rond 9 oktober te blokkeren. De operator is vervolgens overgestapt op phishing (my-github.com) en een VS Code tasks.json + nep .woff2 font stealer.

Categorieën: GitHub Actions, Dev tools & CI, GitHub, #VS Code

tensorlake@0.5.144 npm Shai-Hulud worm

  • Status: Gepatcht (Sinds 7 okt 2026)
  • Ernst: Kritiek
  • Getroffen systemen: tensorlake (npm)

Op 8 oktober 2026 werd tensorlake@0.5.144 gepubliceerd vanaf de echte GitHub repo met een preinstall hook die een Shai-Hulud-stijl credential-stealing worm installeert. Deze oogst npm/GitHub/cloud/SSH/AI-tool secrets, verspreidt zich naar andere pakketten en installeert een “gh-token-monitor” die de home-directory wist als het gestolen GitHub-token wordt ingetrokken. Advies: pin op 0.5.143 en verwijder de monitor voordat tokens worden geroteerd.

ID: GHSA-8g63-53c9-65j2 Categorieën: Node.js, npm, GitHub, Shai-Hulud, Supply chain

Citrix NetScaler: Improper Restriction of Operations (Buffer)

  • Status: Gepatcht (4 okt)
  • Ernst: Hoog
  • Beschrijving: Citrix NetScaler ADC en Gateway bevatten een kwetsbaarheid in de beperking van operaties binnen een geheugenbuffer, wat kan leiden tot een denial of service. Toegevoegd aan CISA KEV op 2026-10-04.
  • CVE: CVE-2026-88779

Zammad GmbH Zammad: Improper Privilege Management

  • Status: Gepatcht (2 okt)
  • Ernst: Hoog
  • Beschrijving: Bevat een kwetsbaarheid in privilege management waardoor de lokale zammad-gebruiker privileges kan escaleren naar root. Kan worden geketend met CVE-2026-102489. Toegevoegd aan CISA KEV op 2026-10-02.
  • CVE: CVE-2026-102490, CVE-2026-102489

Ivanti Connect Secure zero-day chain (CVE-2026-104935)

  • Status: Gedeeltelijke fix (Sinds 1 okt 2026)
  • Ernst: Hoog
  • Getroffen systemen: Ivanti Connect Secure (ICS)

Volexity observeerde threat actor UTA0576 die een Ivanti Connect Secure authentication-bypass / RCE zero-day (CVE-2026-104935) ketende met aanvullende fouten tussen 1 en 3 oktober 2026 om ongeauthentiseerde root-toegang te krijgen op volledig gepatchte appliances. Ivanti patchte CVE-2026-104935 op 13 oktober; CISA voegde dit toe aan KEV. Een onderdeel voor privilege-escalatie was op het moment van disclosure nog in behandeling.

CVE: CVE-2026-104935 Categorieën: #Ivanti, Zero-day, CISA KEV, RCE

FortiMail ongeauthentiseerde file-write zero-day (CVE-2026-104286)

  • Status: Gepatcht (Sinds 30 sep 2026)
  • Ernst: Kritiek
  • Getroffen systemen: Fortinet FortiMail

Fortinet FortiMail CVE-2026-104286 (CVSS 9.8) is een ongeauthentiseerde willekeurige file-write via path traversal / null-byte problemen in Identity-Based Encryption web flows. CISA bevestigde actieve exploitatie. Fortinet publiceerde FG-IR-26-175 met patches en interim-mitigaties (schakel IBE uit / beperk admin/webmail).

CVE: CVE-2026-104286 Categorieën: Fortinet, Zero-day, CISA KEV

---

Incidenten uit eerdere periodes

PingCAP / TiDB Cloud breach (September 2026)

  • Status: Gedeeltelijke fix (Sinds 9 sep 2026)
  • Ernst: Hoog
  • Getroffen systemen: PingCAP TiDB Cloud (hosted database platform)

PingCAP bevestigde dat tussen 9 september en 7 oktober 2026 een ongeautoriseerde partij gestolen service-account credentials gebruikte om interne systemen te benaderen, data te kopiëren en broncode te verkrijgen. Geëxporteerde records bevatten TiDB Cloud gebruikersnamen/e-mails, org/project associaties, SQL-editor tekst, facturatie/contractgegevens en een versleutelde API-key tabel. Extortie-groep FulcrumSec claimt 10,6 TB en 115k plaintext API-sleutels; deze cijfers zijn niet geverifieerd en PingCAP betwist de claim over de API-sleutels. Er is geen bewijs dat data opgeslagen in TiDB is getroffen.

Categorieën: Cloud & hosting, PingCAP, TiDB, Data breach

BeyondTrust Remote Support zero-day (Augustus 2026)

  • Status: Gedeeltelijke fix (Sinds 29 aug 2026)
  • Ernst: Kritiek
  • Getroffen systemen: BeyondTrust Remote Support (voorheen Bomgar)

China-nexus actor ARMORY CASTLE (ex-UNC5221) exploiteerde CVE-2026-102764, een kritieke ongeauthentiseerde file-operations fout in BeyondTrust Remote Support, als een zero-day vanaf eind augustus 2026. BeyondTrust bracht BT26-05-RS uit; SaaS werd automatisch gepatcht tegen 9 oktober; CISA voegde de CVE toe aan KEV op 16 oktober. Self-hosted appliances hebben de patch en forensics nodig — alleen patchen verwijdert bestaande footholds (SAWFLY / BARECLAW) niet.

CVE: CVE-2026-102764 Categorieën: #BeyondTrust, Zero-day, CISA KEV

Fearless Wallet browser extensie private key lek (Februari 2025)

  • Status: Ongepatcht (Sinds 19 feb 2025)
  • Ernst: Kritiek
  • Getroffen systemen: Fearless Wallet browser extensie (Chrome; Firefox build gedelist)

De Polkadot Community Foundation waarschuwde dat Fearless Wallet browser-extensie versies 3.0.1, 3.0.3, 3.0.4 en 3.0.5 code bevatten (toegevoegd op 19 februari 2025) die private keys/recovery data naar een server van een aanvaller stuurden wanneer de wallet werd ontgrendeld. De code was op verschillende momenten actief tot 10 oktober 2026. Acht gebruikers hebben verliezen gemeld voor een totaal van 17.286 DOT. Iedereen die de extensie sinds februari 2025 heeft gebruikt, moet een nieuw keypair aanmaken in een andere wallet en fondsen verplaatsen.

Categorieën: Chrome, Data breach