ThreatsDay: Adobe RCE, walletdiefstal via DNS, NVIDIA-containerontsnapping, zelfherstellende achterdeur + 23 andere

De ransomwaregroepen Qilin en Settra misbruiken actief CVE-2026-0257, een authenticatie-omzeilingskwetsbaarheid in PAN-OS GlobalProtect en Prisma Access. De kwetsbaarheid, in mei 2026 openbaar gemaakt, wordt sindsdien actief uitgebuit. “Omdat deze toegang via de VPN van een organisatie zelf wordt verkregen, kan kwaadaardige activiteit lijken op legitiem werken op afstand en onopgemerkt blijven totdat credentialdiefstal, laterale beweging, datadiefstal of ransomware-implementatie aan de gang is,” zei ReliaQuest. “Organisaties moeten getroffen implementaties onmiddellijk upgraden, authentication-override-cookies uitschakelen waar die niet nodig zijn, alle actieve GlobalProtect-sessies beëindigen na patchen en ongewone verbindingen onderzoeken, inclusief sessies die hostnamen gebruiken zoals ‘kali’. Alleen patchen verwijdert mogelijk geen toegang die voor de remediatie al is verkregen.”

Rusland zou zijn gebruik van hybride, asymmetrische oorlogvoering in heel Europa hebben opgevoerd sinds de grootschalige invasie van Oekraïne in februari 2022. “Het gaat niet om troepen die een landsgrens oversteken of militaire eenheden die bommen droppen op de hoofdstad van een tegenstander,” zei Recorded Future. “In plaats daarvan is het een complex arsenaal van psychologische, cyber- en fysieke tactieken met meerdere doelen: (1) de verdedigingscapaciteiten van de vijand testen, terwijl Rusland beoordeelt of het de agressie wil opschalen naar een formeel, kinetisch conflict, (2) de kritieke infrastructuur van de vijand aantasten, en (3) angst zaaien bij de regering en bevolking van de vijand om het reactievermogen te ondermijnen.”

Infoblox heeft een cryptocurrency-wallet-drainerkit geanalyseerd, zelf gepositioneerd als Noir, die DNS TXT-records gebruikt om zijn gehoste pool te vinden, die momenteel op Cloudflare Pages draait. De levering gebeurt via een loader die het TXT-record bevraagt via openbare DoH-diensten om te ontdekken welke backend-pool actief is. “De drainer heeft geen seed phrase, wachtwoord of private key nodig,” zei Infoblox. “Hij past content aan de gebruiker aan nadat hij initieel leesrechten heeft gekregen en ontwikkelt een plan voor de specifieke wallet. Vervolgens verkrijgt hij uitgavepermissies die minder alarmerend kunnen lijken dan een directe overdracht en voert de diefstal uit vanaf aanvaller-gecontroleerde infrastructuur.” Er wordt vermoed dat de malware met AI-ondersteuning is gemaakt en onderhouden.

Een Rust-gebaseerde remote access-trojan genaamd CikaBika Bot is waargenomen bij levering via een document-achtige lokmiddel die een kwaadaardig LNK-bestand en een PDF met een ingebedde payload bevat. “De malware gebruikt een Nim-loader, PowerShell UAC-omzeiling en DLL search-order hijacking voordat hij Discord inzet voor C2, verkenning, remote-executie en data-exfiltratie via ngrok in waargenomen kwaadaardige activiteiten,” zei Darktrace. De malware ondersteunt ook het maken van screenshots en bestandsoverdrachten.

Een Windows-remote-access-trojan (RAT) genaamd KGB RAT wordt sinds eind 2025 op underground-forums als volledig ondetecteerbaar aangeprezen. Hij bevat een ingebouwde crypter, HVNC, credentialdiefstal, ransomware en een ongebruikelijke set psychologische intimidatie-mogelijkheden, aldus Group-IB. “KGB RAT is in de praktijk een compleet malwarepakket dat aanvallers stille en persistente controle over geïnfecteerde Windows-machines geeft,” zei de onderneming. “Wat het onderscheidt van vergelijkbare RAT-families is niet alleen de technische breedte — het combineren van credentialdiefstal, keylogging, verborgen desktop-overname en ransomware in één builder — maar ook een gewijd pakket psychologische intimidatiefuncties, waaronder ‘screamer’-functies, jump scares en geforceerde blue screens of death. Deze ‘plezierinstellingen’, zoals de ontwikkelaars ze zelf omschrijven, wijzen op een dreigingsactorprofiel dat gemakkelijk angst bij slachtoffers wapenbaar maakt naast datadiefstal.” Een publieke verwijzing naar een KGB RAT-server op versie 0.1 dateert uit eind januari 2022, wat aangeeft dat de ontwikkelaar jarenlang aan de malware bouwde en testte voordat deze op de markt kwam.

Een meerfasig infectieketen op Windows is waargenomen die een voorheen niet-gedocumenteerde .NET RAT met live schermbewakingscapaciteit aflevert. De malware kreeg de codenaam BotHelper RAT. “De eerste fase is een native x64 stager die de host-computernaam, ingelogde gebruiker, processorconfiguratie en geïnstalleerd geheugen fingerprint, vervolgens via HTTPS contact maakt met easyllms.xyz en een bestand payload.bin ophaalt van een pad dat wordt beschermd door een lange hexadecimale identifier, nadat TLS-certificaatvalidatie is uitgeschakeld,” zei Point Wild. “De tweede fase is BotHelper RAT. Hij kopieert zichzelf naar een verborgen locatie, registreert een scheduled task om elke 30 minuten opnieuw te starten, patcht de Antimalware Scan Interface en registreert zich bij dezelfde host die hem eerder heeft geleverd voordat hij een set PHP-endpoints pollt voor taakuitvoering.”

Google zegt dat het meervoudige lagen bescherming uitrolt in Google Messages en derden-berichtenapps om Android-gebruikers te beschermen tegen mobiele scams. Dit omvat verbeterde Scam Detection met Private AI Compute, linkveiligheidscontroles met Gemini Nano en herontworpen waarschuwingen voordat onbekende links worden aangetikt. Google zei ook Scam Detection in chatmeldingen naar andere Android-apparaten te brengen in samenwerking met apparaatfabrikanten, zodat gebruikers direct in hun notificatiepaneel worden gewaarschuwd voor verdachte berichten. Andere beveiligingsverbeteringen zijn automatische schermdelingsprivacy om gevoelige informatie in native apps, Chrome en Android WebView te verbergen, het blokkeren van apps die stilletjes doorschakelen naar beldoorsturing op de achtergrond en realtime verificatie voor bankgesprekken in samenwerking met Banco do Brasil, Itaú Unibanco en andere toonaangevende banken. “Android controleert binnenkomende oproepen in realtime om te verifiëren of de bank daadwerkelijk het gesprek is begonnen,” zei Google. “Als een binnenkomende beller die beweert een bank te vertegenwoordigen deze verificatie niet doorstaat, hangt Android de oproep op en waarschuwt je onmiddellijk.” Sinds de introductie van deze functie in juni 2026 heeft Android meer dan 3 miljoen gespoofte oproepen van alleen Banco do Brasil en Itaú Unibanco geblokkeerd.

Anthropic heeft bekendgemaakt dat nieuwe maatregelen zoals preserved thinking, twee-fasen-classifiers en het in rekening brengen van verzoeken die door onze safeguards worden geblokkeerd voordat Claude reageert in de Fable 5.1- en Opus 5.5-modellen, het verzamelen van data via distillatie-aanvallen met ongeveer 90% tot 99% hebben verminderd.

Mozilla heeft Firefox Enterprise gelanceerd, een browservariant “gebouwd voor organisaties met strenge beveiligings-, governance- en compliance-eisen.” Mozilla voegde toe: “IT- en securityteams krijgen meer controle over hun gegevens, IT-infrastructuur en browseromgeving — wat helpt om technologische onafhankelijkheid en operationele veerkracht te versterken.”

Wordfence heeft een ongebruikelijke malware beschreven die wordt geïnstalleerd als een must-use WordPress-plugin en gebruikmaakt van “meerdere zelfherstellende mechanismen om verwijdering te overleven. Het gebruikt ook EtherHiding, een techniek die de locatie van de servers van de aanvaller verbergt achter een smart contract op de Ethereum-blockchain, waardoor het commandokanaal veerkrachtig wordt tegen take-downs.” De malware kan administrator-toegang vestigen, het rogue administrator-account verbergen, administratorwachtwoorden oogsten, sites op afstand aanpassen, data exfiltreren en zich verspreiden naar andere WordPress-installaties op het bestandssysteem.

Meta zegt ongeveer 1.500 mensen te informeren, de meesten daarvan eigen medewerkers in de VS, nadat onbekende dreigingsactoren in enkele van de GitHub-repositories van het bedrijf waren ingebroken. De inbraak, enkele weken geleden gedetecteerd, maakte gebruik van de gestolen inloggegevens van een medewerker. De toegang is sindsdien afgesloten, aldus SecurityWeek.

De malware bekend als XWorm is geëvolueerd van een infostealer naar een volwaardige surveillanceplatform. Het aantal plugins van de malware is uitgebreid van 35 naar 46. De nieuwste versies die sinds juli 2025 zijn gedetecteerd, zijn V6.4, V6.5 “XWorm Reborn”, V7.2 en V7.4. “De Maps-plugin levert GPS-locatie van slachtoffers zonder een gebruikersprompt te triggeren,” zei Netskope. “De Microphone-plugin streamt live audio van het apparaat van het slachtoffer. HBrowser geeft operators interactieve controle over geauthenticeerde browsersessies zonder inloggegevens aan te raken, waarmee MFA volledig wordt omzeild. Webcam-opnames zijn ook op aanvraag beschikbaar.”

Google heeft aangekondigd dat het bug-bountybeloningen verhoogt voor sommige Chrome-kwetsbaarheden, met focus op memory-safetyproblemen. Hoewel het bedrijf in april de standaarduitbetalingen voor sommige kwetsbaarheden had verlaagd, bijvoorbeeld een basisbeloning van $500 voor memory-safety-issues, heeft het nu de basisbedragen voor memory-safety-kwetsbaarheden verviervoudigd naar $2.000. Kwetsbaarheden in Chrome’s browser-, GPU- en netwerkprocessen kunnen onderzoekers nu tot $20.000 opleveren.

Microsoft dringt er bij organisaties op aan hun certificaatsystemen voor te bereiden op post-quantum-authenticatie en stelt dat public key infrastructure (PKI), hardware security modules (HSM’s) en beveiligingsapparaten getest moeten worden voordat ze worden ingezet. “Organisaties moeten nu beginnen met het inventariseren van certificaatsafhankelijkheden, het beoordelen van leveranciersroadmaps, het identificeren van langlopende infrastructuur en het creëren van testomgevingen buiten productie,” zei Microsoft. “Vroege tests kunnen compatibiliteits- en proceslacunes blootleggen voordat post-quantum-authenticatie op grote schaal vereist is.”

Een nieuwe malware-as-a-service (MaaS) infostealer geschreven in Rust wordt geleverd met een eigen loader en een ingebouwde cryptocurrency-clipper. “Warden Stealer is een van de eerste infostealers die configuratiebestanden en lokale data van AI-assistenten en agentachtige codeertools target,” zei Gen Digital. “De builds zijn sterk geobfusceerd, gemorpht en worden regelmatig bijgewerkt om detectie te ontwijken.”

Nieuwere versies van CastleStealer kunnen “app-bound encryptie in Chromium-gebaseerde browsers omzeilen, opdrachten op afstand uitvoeren en gestolen informatie exfiltreren in kleine versleutelde transmissies in plaats van een enkele grote archiefbestand,” aldus Flashpoint. De C#-gebaseerde stealer werd voor het eerst ontdekt in april 2026.

De infostealer bekend als Aoki (ook bekend als Aokigahara) richt zich op credential- en sessiebestanden die gebruikt worden door AI-codeerassistenten, waaronder Claude, OpenAI’s Codex, Cursor, Codeium en Gemini. De stealer werd voor het eerst eerder dit jaar gezien. “API-sleutels en Open Authorization (OAuth)- of sessietokens stellen kwaadwillenden in staat acties uit te voeren onder de identiteit en het API-quota van een legitieme ontwikkelaar,” zei het Symantec Threat Hunter-team. “Ze kunnen ook gekoppelde repositories, cloudservices en CI/CD-pijplijnen blootleggen die aan dat account gekoppeld zijn, en kunnen safeguards omzeilen die ervan uitgaan dat verzoeken afkomstig zijn van een vertrouwde gebruiker.” In een rapport dat vorige maand werd gepubliceerd, zei Google-eigenaar Wiz dat API-sleutels van AI-dienstverleners een gewild product zijn. “Deze AI-referenties zijn zeer lucratief; ze stellen aanvallers in staat vrij hun eigen workloads uit te voeren of de toegang door te verkopen als onderdeel van de illegale LLM-resale-markt,” aldus het rapport. “Bovendien kunnen deze sleutels mogelijk toegang geven tot historische chatlogs die gevoelige bedrijfsgegevens bevatten, maar ons zijn geen publieke gevallen van dit scenario bekend.”

K7 Labs heeft een Python-gebaseerde builder beschreven die onder een MaaS-model wordt verkocht en wordt gebruikt om een infostealer-payload in te sluiten. “In plaats van te opereren als een zelfstandige stealer-script, volgt de builder een MaaS-stijl model,” zei men. “Het stelt operators in staat aangepaste Windows-executables te genereren met Nuitka of PyInstaller, met webhook-configuratie geïntegreerd in het buildproces.” De stealer-capaciteiten omvatten anti-analysetechnieken, persistentie, credential-harvesting en data-exfiltratie.

Een SSRF-kwetsbaarheid (GHSA-2phj-cp9f-qq6w, CVSS-score: 8.5) in Harbor, de CNCF open-source container registry, kan door een geregistreerde gebruiker misbruikt worden om cloudreferenties te stelen. “Elke geregistreerde gebruiker die een project kan aanmaken, kan een webhook richten op de cloud-metadata-endpoint en weggaan met de IAM-referenties van de server,” zei OX Security.

Een reeks van high-impact kwetsbaarheden in Adobe Experience Manager (AEM) kan worden misbruikt om unauthenticeerde remote code execution (RCE) te bereiken. De keten combineert vier fouten: unauthenticated DAM bulk import, opgeslagen cross-site scripting (XSS), onveilige XML-parsing en Groovy-executie via /bin/asynccommand. De fouten treffen alleen de cloudversie van AEM en zijn gepatcht.

Samsung heeft een kritieke veiligheidsfout (CVE-2026-110392, CVSS-score: 9.8) in QA-Board gepatcht die unauthenticeerde RCE toestaat. Samsung’s QA-Board is een experiment-trackingtool die gebruikt wordt om onderzoeksruns te organiseren, visualiseren, vergelijken en delen, specifiek voor algoritme- en prestatieafstemming. Het probleem ontstaat door het onjuist neutraliseren van door de gebruiker gecontroleerde data, wat kan leiden tot shell command-injectie. De kwetsbaarheid werd gesignaleerd door Claude Opus 5.5.

Securityonderzoeker Ziyi Guo heeft details bekendgemaakt over een kritieke Linux-kwetsbaarheid in NVIDIA’s GPU Display Driver voor Linux (CVE-2026-47595, CVSS-score: 7.5, aka Bad UVM) die een niet-geprivilegieerde gebruiker in staat zou kunnen stellen naar alleen-lezen geheugen te schrijven door misbruik van het feit dat de rechten van dat geheugen niet behouden blijven. De kwetsbaarheid kan worden uitgebuit voor code-executie, privilege-escalatie, denial-of-service, informatielek, datamanipulatie en zelfs een container-escape. “Door onze exploitcode in nvidia-persistenced te injecteren, dwingen we eerst het gekaapte proces een UVM-gebaseerde lokale privilege-escalatie (LPE) uit te voeren,” zei de onderzoeker. “Zodra de privilegebarrière is doorbroken, activeren we de volgende operaties, waardoor we uiteindelijk in staat zijn commando’s op de host uit te voeren met volledige root-toegang.”

Een command-injectie-kwetsbaarheid in EG Secure Solutions SiteGuard Server Edition (CVE-2026-106931, CVSS-score: 8.5) wordt actief in het wild uitgebuit. De fout treft klanten die versie 2.20 of hoger gebruiken met statistieken ingeschakeld, wat standaard aan staat. Succesvolle exploitatie kan een aanvaller toestaan willekeurige OS-commando’s uit te voeren met root- of SYSTEM-privileges op getroffen systemen. Het is momenteel niet bekend hoe de fout wordt uitgebuit, door wie en wie het doelwit zijn.

Rapid7 heeft details vrijgegeven van een kritieke SQL Injection-kwetsbaarheid in Channel Software WebAlliance eCommerce (CVE-2026-108065, CVSS-score: 9.8). “De exploit stelt een kwaadwillende actor in staat gevoelige gegevens uit de database te lezen of, als de databasegebruiker hoge privileges heeft, systeemcommando’s op de databaseserver uit te voeren,” zei Rapid7. “De SQL Injection-exploit kan worden gebruikt om gevoelige informatie in de database te bekijken, zoals PII van gebruikers en wachtwoorden. Als is ingelogd met DB-adminrechten, kan de kwetsbaarheid worden uitgebuit om systeemcommando’s op de server die de database draait uit te voeren.”

NSD heeft patches uitgebracht voor vier beveiligingsfouten (CVE-2026-101341, CVE-2026-101339, CVE-2026-101338 en CVE-2026-101337) die zouden kunnen worden misbruikt om willekeurige commando’s uit te voeren. De kwetsbaarheden, toegekend aan Qifan Zhang van Palo Alto Networks en Gaurang Maheta, zijn gepatcht in NSD 4.15.3 of nieuwer.

Het Xen-project heeft details gepubliceerd over CVE-2026-79610, een raceconditie in Xen’s grant-table-mechanisme die misbruikt zou kunnen worden om de beveiliging van een virtuele machine-host te compromitteren en een niet-geprivilegieerde gast de privileges van de host te laten verkrijgen. Alle Xen-versies vanaf 4.0 zijn kwetsbaar. Het probleem is aangepakt in xsa517.patch. Als mitigatie wordt geadviseerd de hypervisor-opstartoptie “gnttab=max-ver:1” of de gastconfiguratieoptie “max_grant_version=1” te gebruiken voor gasten. De projectonderhouders gaven Anthropic’s Claude Opus krediet voor de ontdekking en Teddy Astie van Vates voor het diagnosticeren ervan als een beveiligingsprobleem.

Een Windows-beveiligingskwetsbaarheid in MyReport Updater 2.1.1 kan een aanvaller in staat stellen de controle over een machine te grijpen, inclusief op afstand, zonder authenticatie. “Een aanvaller met standaardgebruikersrechten kan een willekeurige referentieserver instellen,” zei Quarkslab. “Als MyReportUpdaterService deze server kan contacteren via gRPC op TCP-poort 9095, kan de aanvaller bestanden wegschrijven naar een gekozen map met NT AUTHORITYSYSTEM-privileges. De aanvaller kan dit file-write-toegang gebruiken om een DLL te plaatsen die door een geprivilegieerd proces wordt geladen. De DLL-code wordt dan met hoge privileges uitgevoerd. Deze kwetsbaarheid geeft volledige controle over de Citrix-server. Het kan ook andere machines beïnvloeden waar de kwetsbare MyReport-oplossing is geïnstalleerd.”