Kiteworks heeft in één keer 61 kwetsbaarheden verholpen in zijn productlijn, blijkt uit een advisory die het NCSC vandaag publiceerde. Het gaat om fouten in de kernproducten Kiteworks Core, Email Protection Gateway (EPG) en Secure Data Forms, variërend van kleine risico’s tot meerdere kritieke kwetsbaarheden die zonder inloggegevens te misbruiken zijn.
De ernstigste fout is CVE-2026-102115, met een CVSS-score van 9,8. Kiteworks Core controleerde een parameter in het wachtwoordresetproces niet goed, waardoor een aanvaller die het e-mailadres van een gebruiker kent diens wachtwoord kan resetten zonder de resetlink uit de e-mail nodig te hebben. Dat werkt ook bij accounts met beheerdersrechten, wat in het ergste geval volledige overname van een Kiteworks-omgeving mogelijk maakt. De fout is verholpen in versie 9.5.0.
Meer kritieke fouten in dezelfde ronde
Andere kritieke kwetsbaarheden in dezelfde advisory: CVE-2026-102147 (CVSS 9,3) is een opgeslagen cross-site scripting-fout in Kiteworks Core waarmee een aanvaller zonder account JavaScript laat uitvoeren in de sessie van een beheerder, met als mogelijk gevolg de aanmaak van nieuwe, kwaadaardige adminaccounts. CVE-2026-102149 (CVSS 9,4) laat aanvallers certificaten aan andermans account koppelen binnen de Email Protection Gateway, wat de vertrouwelijkheid van versleutelde e-mail ondermijnt. Daarnaast telt de advisory een cluster van vier SSRF-kwetsbaarheden in de Email Protection Gateway, CVE-2026-102095 en CVE-2026-102102 tot en met 102105, allemaal met een CVSS-score van 9,1, waarmee een aanvaller zonder inloggegevens de gateway verzoeken naar interne netwerkbronnen laat sturen.
De overige tientallen kwetsbaarheden zijn vooral te misbruiken door een al geauthenticeerde beheerder en variëren van SQL-injectie en command-injectie tot privilege-escalatie tussen clusterknopen. Het NCSC noteert dat uitbuiting van sommige fouten in combinatie met elkaar kan leiden tot handelingen met beheerdersrechten, ook als de losse kwetsbaarheden zelf alleen al-geauthenticeerde toegang vereisen. Er zijn geen aanwijzingen dat een van de 61 kwetsbaarheden al actief wordt misbruikt.
Voor Kiteworks is dit al de nodige keer in korte tijd dat er gepatcht moet worden: begin oktober verhielp het bedrijf nog een kritieke code-injectiefout, nadat eind september een dreiging van buitenaf zelfs tot een tijdelijke noodafsluiting leidde. Voor organisaties die Kiteworks gebruiken voor het uitwisselen van gevoelige bestanden is updaten naar versie 9.5.0 of hoger dit keer geen vrijblijvend advies: de combinatie van een ongeauthenticeerde wachtwoordreset en meerdere SSRF-fouten in de gateway raakt precies de onderdelen die extern bereikbaar zijn. Controleer ondertussen of er recent wachtwoorden zijn gereset die u niet zelf heeft aangevraagd, en beperk tot die tijd waar mogelijk de externe bereikbaarheid van de beheerinterface.
Bron: NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Gebruikt u Kiteworks Core of de Email Protection Gateway? Update naar versie 9.5.0 of hoger, controleer op wachtwoordresets die u niet zelf heeft aangevraagd en beperk tot die tijd waar mogelijk de externe bereikbaarheid van de beheerinterface.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.