Het InfraTrust Pulse-rapport van beveiligingsbedrijf Eclypsium waarschuwt dat aanvallers actief kwetsbaarheden misbruiken in firewalls, vpn’s, application delivery controllers en andere kritieke netwerkapparatuur. Het rapport over oktober bekijkt 133 advisories van 18 leveranciers met in totaal 2.813 kwetsbaarheden, uitgebracht tussen 18 september en 14 oktober. Volgens Eclypsium zijn 37 advisories kritiek, hebben vijf daarvan de maximale CVSS-score van 10.0, zijn 58 kwetsbaarheden op afstand en zonder authenticatie te misbruiken, en bevatten 16 nieuwe advisories kwetsbaarheden die al in de Amerikaanse KEV-catalogus van actief misbruikte lekken staan.
Onder de actief misbruikte kwetsbaarheden noemt het rapport CVE-2026-88771 en CVE-2026-88772 in Citrix NetScaler ADC en Gateway, plus een derde NetScaler-lek, CVE-2026-88779, dat appliances met een SAML-configuratie treft en inmiddels ook in de KEV-catalogus staat. Bij Ivanti Connect Secure gaat het om CVE-2026-104935, waarmee een niet-geauthenticeerde aanvaller willekeurige commando’s op vpn-gateways kan uitvoeren. Check Point meldde gerichte aanvallen op Spark-klanten via CVE-2026-93616 in de Security Management Server, waarmee scripts geüpload en uitgevoerd kunnen worden. Verder noemt het rapport een authenticatiebypass in Cisco Catalyst SD-WAN Manager (CVE-2026-76504), twee actief misbruikte lekken in Arista VeloCloud Orchestrator (CVE-2026-93952 en CVE-2026-114625), een kritieke path traversal in FortiMail (CVE-2026-104286), een lek in Cisco Secure Email Gateway dat via een kwaadaardige bijlage tot root-toegang leidt (CVE-2026-76519), een heap overflow in F5 BIG-IP APM die ongeauthenticeerde code-uitvoering mogelijk maakt (CVE-2026-94127), en een kwetsbaarheid in de beheerinterface van Palo Alto Networks’ PAN-OS (CVE-2026-0322) waarmee een geauthenticeerde beheerder als root code kan uitvoeren.
Het rapport legt ook een directe link met PHP2Shell, de twee RCE-kwetsbaarheden in PHP (CVE-2026-109618 en CVE-2026-109619) die PHP op 21 oktober patchte en die eerder al de Tweede Kamer en andere overheidssites platlegden. Veel firewalls, application delivery controllers, vpn-appliances en nas-apparaten gebruiken PHP in hun webgebaseerde beheerinterface. Omdat leveranciers die PHP-versie in hun firmware compileren, kunnen klanten die niet zelf updaten en moeten ze wachten op nieuwe firmware. Palo Alto Networks, F5, NetScaler, Check Point en QNAP bevestigden dat delen van hun producten getroffen zijn, terwijl de fixes nog in ontwikkeling waren.
Eclypsium signaleert verder dat een Linux-kernel kwetsbaarheid die het zelf “Copy Fail” noemt (CVE-2026-31431) in de onderzochte periode in 29 advisories van acht leveranciers opdook, tegen 19 advisories van zes leveranciers de maand ervoor. Het rapport concludeert dat aanvallers zich steeds vaker richten op edge-apparaten en beheersystemen, omdat die directe toegang tot bedrijfsnetwerken geven, en dat kwetsbaarheden in gebundelde componenten zoals PHP en de Linux-kernel zich daardoor over veel verschillende producten tegelijk verspreiden.
Eclypsium adviseert organisaties om PHP-beheerinterfaces offline te houden totdat patches beschikbaar zijn, en geeft als prioriteit eerst NetScaler en Ivanti Connect Secure te patchen, dan de Fortinet-updates van 22 oktober op internet-gerichte apparaten, en daarna Check Point, Cisco Catalyst SD-WAN Manager, VeloCloud Orchestrator, FortiMail, Cisco Secure Email Gateway, BIG-IP APM en PAN-OS-beheerinterfaces.
Voor Nederlandse organisaties met dit soort apparatuur aan de rand van het netwerk is de les dat beheerinterfaces van firewalls, vpn’s en mailgateways nooit vanaf het publieke internet bereikbaar zouden moeten zijn, en dat een actueel overzicht van welke apparaten PHP in de firmware gebruiken nu net zo belangrijk is als de reguliere patchcyclus.
Bron: BleepingComputer (Eclypsium InfraTrust Pulse)
Zelfde kwetsbaarheid
Aanvallers koppelen drie Ivanti Connect Secure-lekken aan elkaar voor root-toegang zonder inloggegevens
DreigingenPHP2Shell gecombineerd met Linux-lek 'Fragnesia': 25 servers geroot, ook Palo Alto's eigen PAN-OS geraakt
DreigingenCISA bevestigt actief misbruik PHP2Shell: eerste succesvolle hack vastgesteld, federale patchplicht
DreigingenArista patcht actief misbruikte zero-day in VeloCloud Orchestrator
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.