Fortinet heeft een kwetsbaarheid verholpen in FortiClient EMS. De kwetsbaarheid betreft een onjuiste toegangscontrole in FortiClient EMS. Ongeauthenticeerde aanvallers kunnen door het versturen van speciaal opgemaakte verzoeken beveiligingscontroles omzeilen en ongeautoriseerde code of commando's uitvoeren. De kwetsbaarheid kan op afstand worden misbruikt zonder authenticatie, wat kan leiden tot ongeautoriseerde manipulatie van het systeem.
Fortinet meldt informatie te hebben dat de kwetsbaarheid actief wordt misbruikt. Er is (nog) geen publieke Proof-of-Concept-code of exploit bekend. Het NCSC verwacht op korte termijn wel publieke Proof-of-Concept-code of exploits, waardoor de kans op scanverkeer en grootschalig misbruik toeneemt.
Cisco heeft meerdere kwetsbaarheden verholpen in Cisco Integrated Management Controller (IMC). De kwetsbaarheden bevinden zich in de webgebaseerde managementinterface van Cisco IMC. Een onbevoegde externe aanvaller kan via de functionaliteit voor het wijzigen van wachtwoorden de authenticatie omzeilen door speciaal opgemaakte HTTP-verzoeken te versturen, wat leidt tot ongeautoriseerde administratieve toegang. Daarnaast kunnen geauthenticeerde aanvallers, waaronder gebruikers met alleen leesrechten, door onvoldoende inputvalidatie command injection uitvoeren en willekeurige root-commando's of code uitvoeren, wat resulteert in privilege-escalatie en volledige controle over het systeem. Verder zijn er meerdere cross-site scripting (XSS) kwetsbaarheden, waaronder opgeslagen en gereflecteerde XSS, die geauthenticeerde gebruikers met administratieve rechten in staat stellen om kwaadaardige scripts te injecteren en uit te voeren in browsers van gebruikers die met de interface werken. Ook kunnen onbevoegde externe aanvallers via gereflecteerde XSS kwetsbaarheden kwaadaardige scripts injecteren door gebruikers te verleiden op speciaal opgemaakte links te klikken, wat kan leiden tot sessiekaping en ongeautoriseerde acties binnen de context van de getroffen gebruikers. Alle kwetsbaarheden zijn het gevolg van onvoldoende inputvalidatie in de webinterface van Cisco IMC.
Voor succesvol misbruik moet de kwaadwillende toegang hebben tot de management-interface. Het is goed gebruik een dergelijke interface niet publiek toegankelijk te hebben, maar af te steunen in een separate beheeromgeving.
Cisco heeft kwetsbaarheden verholpen in Cisco Nexus Dashboard en Cisco Nexus Dashboard Insights. De eerste kwetsbaarheid betreft een onjuiste inputvalidatie van specifieke HTTP-verzoeken in Cisco Nexus Dashboard en Nexus Dashboard Insights. Hierdoor kunnen niet-geauthenticeerde externe aanvallers server-side request forgery (SSRF) aanvallen uitvoeren, wat leidt tot het maken van willekeurige netwerkverzoeken vanaf de getroffen server en mogelijk de uitvoering van kwaadaardige scripts. De tweede kwetsbaarheid zit in de configuratie-backupfunctie van Cisco Nexus Dashboard. Aanvallers die beschikken over zowel het encryptiewachtwoord als de backupbestanden kunnen gevoelige authenticatiedetails ontsleutelen en willekeurige root-commando's uitvoeren op het apparaat, wat kan resulteren in volledige systeemcompromittering. De derde kwetsbaarheid betreft Cisco Nexus Dashboard Insights, waarbij een geauthenticeerde aanvaller met administratieve rechten via de Metadata update-functie willekeurige bestanden kan schrijven door onvoldoende validatie van handmatig geüploade metadata-updatebestanden. Dit kan leiden tot compromittering van de systeemintegriteit.
Fortinet heeft een kwetsbaarheid verholpen in FortiClient EMS (versie 7.4.4). De kwetsbaarheid met kenmerk CVE-2026-21643 betreft een kritieke kwetsbaarheid in FortiClient EMS. De oorzaak ligt in de onjuiste neutralisatie van speciale SQL-commando's, wat een ongeauthenticeerde kwaadwillende in staat stelt deze kwetsbaarheid te misbruiken door speciaal vervaardigde HTTP-verzoeken te verzenden en daarmee ongeautoriseerde code op de getroffen systemen kan uitvoeren.
De kwetsbaarheid bevindt zich in de beheer-interface. Het is goed gebruik een dergelijke interface sowieso niet publiek toegankelijk te hebben, maar af te steunen in een separaat beheer-LAN.
Inmiddels wordt misbruik waargenomen bij systemen waarvan de administrative interface publiek toegankelijk is.
F5 Networks heeft kwetsbaarheden verholpen in de BIG-IP- en F5OS-productlijnen en NGINX App Protect WAF. De kwetsbaarheden omvatten verschillende configuratieproblemen en exploitatievectoren. Een kwaadwillende kan de kwetsbaarheden misbruiken om aanvallen uit te voeren die kunnen leiden tot de volgende categorieën schade:
- Denial-of-Service
- Manipulatie van gegevens
- Uitvoeren van willekeurige code (root/adminrechten)
- Toegang tot gevoelige gegevens
- Verkrijgen van verhoogde rechten
Cisco heeft kwetsbaarheden verholpen in Cisco IOS XE Software, specifiek voor verschillende producten zoals Catalyst 9000 Series Switches, Catalyst CW9800 Family, en Cisco Meraki. De kwetsbaarheden omvatten verschillende problemen, zoals een geheugenlek in de IKEv2-implementatie, kwetsbaarheden in de DHCP-snooping functie, en onjuiste verwerking van CAPWAP-pakketten die leiden tot een denial of service. Daarnaast zijn er kwetsbaarheden gerapporteerd die het mogelijk maken voor ongeauthenticeerde aanvallers om toegang te krijgen tot gevoelige apparaatconfiguraties en om privileges te verhogen via de Lobby Ambassador API. Ook zijn er problemen met onjuiste privilege-toewijzingen en een kritieke kwetsbaarheid in de bootloader die lokale of fysieke toegang vereisen voor exploitatie. De SCP-serverfunctie is ook kwetsbaar voor denial of service door onjuiste verwerking van SCP-verzoeken.
GitLab heeft kwetsbaarheden verholpen in versies 18.8.7, 18.9.3, en 18.10.1. De kwetsbaarheden omvatten onder andere denial-of-service scenario's die konden worden veroorzaakt door geauthenticeerde gebruikers via specifieke webhook configuraties en continue integratie inputs. Daarnaast waren er problemen met onjuiste toegangscontrole voor gebruikers met de Planner rol, waardoor gevoelige metadata toegankelijk was. Ongeauthenticeerde gebruikers konden API-tokens voor zelf-gehoste AI-modellen ophalen, en er waren ook kwetsbaarheden die het mogelijk maakten om WebAuthn twee-factor authenticatie te omzeilen. Verder waren er problemen met onvoldoende sanitization van Mermaid diagrammen en HTML-inhoud, wat leidde tot de mogelijkheid om ongeautoriseerde acties uit te voeren of gebruikersaccounts te manipuleren. Tot slot waren er tekortkomingen in CSRF-bescherming die ongeauthenticeerde gebruikers in staat stelden om GraphQL-mutaties uit te voeren.
Apple heeft meerdere kwetsbaarheden verholpen in macOS (Specifiek voor Sequoia 15.7.5, Sonoma 14.8.5, en Tahoe 26.4). De kwetsbaarheden omvatten verschillende problemen zoals onvoldoende validatie van invoer, onjuiste afhandeling van geheugen, en problemen met machtigingen die konden leiden tot ongeautoriseerde toegang tot gevoelige gebruikersdata. Aanvallers kunnen deze kwetsbaarheden misbruiken om toegang te krijgen tot beschermde systeembestanden, gegevens te wijzigen, of zelfs de stabiliteit van het systeem in gevaar te brengen. De kwetsbaarheden zijn opgelost door verbeterde validatie- en beveiligingsmechanismen in de betrokken macOS-versies.
Apple heeft meerdere kwetsbaarheden verholpen in iOS en iPadOS. De kwetsbaarheden omvatten verschillende problemen zoals onjuist padbeheer, geheugenbeheer, en onvoldoende validatie van invoer, die konden leiden tot ongeautoriseerde toegang tot gevoelige gegevens, onverwachte applicatie-terminaties, en andere beveiligingsrisico's. Aanvallers kunnen deze kwetsbaarheden misbruiken door bijvoorbeeld kwaadaardige webinhoud te verwerken of door gebruik te maken van onvoldoende beveiligde applicaties. De kwetsbaarheden zijn opgelost door verbeterde validatie- en beveiligingsmechanismen in de betrokken besturingssystemen.
Citrix heeft kwetsbaarheden verholpen in hun software die verband houden met onvoldoende invoervalidatie en een raceconditie in het sessiebeheer. De kwetsbaarheid in de invoervalidatie ontstaat doordat de software niet correct controleert op invoergroottes of -grenzen, wat kan leiden tot geheugenoverlezingen. Dit kan resulteren in ongeautoriseerde openbaarmaking van gevoelige informatie of destabilisatie van de applicatie. De raceconditie in het sessiebeheer leidt tot onjuiste behandeling van gebruikerssessies, wat kan resulteren in sessiemix-ups en compromittering van de integriteit en vertrouwelijkheid van gebruikerssessies. Dit kan gevoelige informatie blootstellen of ongeautoriseerde toegang mogelijk maken.
Oracle heeft een kwetsbaarheid verholpen in twee componenten van Fusion Middleware, namelijk Oracle Identity Manager en Oracle Web Services Manager. De kwetsbaarheid komt door onvoldoende access controls binnen Oracle Identity Manager en Oracle Web Services Manager, waardoor niet-geauthenticeerde externe aanvallers willekeurige code kunnen uitvoeren op de getroffen systemen. Hierdoor kan een aanvaller zonder authenticatie ongeautoriseerde controle verkrijgen over de omgeving waarin het product draait.
Microsoft heeft kwetsbaarheden verholpen in diverse Office-producten. Een kwaadwillende kan de kwetsbaarheden misbruiken om zich voor te doen als andere gebruiker, toegang te krijgen tot gevoelige gegevens of willekeurige code uit te voeren in de context van het slachtoffer.
Voor succesvol misbruik moet de kwaadwillende geauthenticeerd zijn op het kwetsbare systeem, of het slachtoffer misleiden een malafide bestand te openen of link te volgen.
Van de kwetsbaarheid met kenmerk CVE-2026-20963 wordt gemeld dat deze actief en gericht is misbruikt. De kwetsbaarheid stelt een kwaadwillende in staat om willekeurige code uit te voeren op een kwetsbaar Sharepoint systeem. Met name publiek toegankelijke installaties lopen verhoogd risico op misbruik.
Buiten meldingen van actief misbruik is (nog) geen publieke Proof-of-Concept-code of exploit bekend. Door de media-aandacht echter, verwacht het NCSC dat deze wellicht op korte termijn beschikbaar komt, waardoor het risico op grootschalig misbruik zal toenemen.
```
Microsoft Office Word:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-20944 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-20948 | 7.80 | Uitvoeren van willekeurige code |
|----------------|------|-------------------------------------|
Microsoft Office SharePoint:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-20947 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2026-20951 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-20959 | 4.60 | Voordoen als andere gebruiker |
| CVE-2026-20963 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2026-20958 | 5.40 | Toegang tot gevoelige gegevens |
|----------------|------|-------------------------------------|
Microsoft Office:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-20943 | 7.00 | Uitvoeren van willekeurige code |
| CVE-2026-20953 | 8.40 | Uitvoeren van willekeurige code |
| CVE-2026-20952 | 8.40 | Uitvoeren van willekeurige code |
|----------------|------|-------------------------------------|
Microsoft Office Excel:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2026-20946 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-20955 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-20956 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-20949 | 7.80 | Omzeilen van beveiligingsmaatregel |
| CVE-2026-20950 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-20957 | 7.80 | Uitvoeren van willekeurige code |
|----------------|------|-------------------------------------|
```
De kwetsbaarheid met kenmerk CVE-2026-20079 bevindt zich in de webinterface van Cisco Secure Firewall Management Center. Een ongeauthenticeerde externe kwaadwillende kan de authenticatiecontroles omzeilen door een onjuist systeemproces dat bij het opstarten is aangemaakt te misbruiken. De kwaadwillende kan deze kwetsbaarheid misbruiken door speciaal geprepareerde HTTP-verzoeken naar een getroffen apparaat te sturen. Een succesvolle exploit kan de aanvaller in staat stellen verschillende scripts en commando’s uit te voeren die root-toegang tot het apparaat mogelijk maken.
De kwetsbaarheid met kenmerk CVE-2026-20131 bevindt zich in de webinterface van Cisco Secure Firewall Management Center. Deze kwetsbaarheid stelt ongeauthenticeerde externe kwaadwillende in staat om willekeurige Java-code uit te voeren met root-rechten. De kwetsbaarheid wordt veroorzaakt door de onveilige deserialisatie van door de gebruiker aangeleverde Java-byte-stromen. Een kwaadwillende kan deze kwetsbaarheid misbruiken door een speciaal geprepareerd, geserialiseerd Java-object naar de webgebaseerde beheerinterface van een getroffen apparaat te sturen. Een succesvolle exploit kan de aanvaller in staat stellen om willekeurige code op het apparaat uit te voeren en de rechten te verhogen tot root-niveau.
Als de beheerinterface van Cisco Secure Firewall Management Center geen publieke internettoegang heeft, wordt het aanvalsoppervlak verkleind. Het is niet gebruikelijk om een managementinterface direct publiekelijk aan het internet bloot te stellen.
Indien jouw organisatie gebruikmaakt van Cisco Security Cloud Control Firewall Management, dan betreft dit een SaaS-dienst (Software-as-a-Service) die door Cisco Systems automatisch wordt bijgewerkt als onderdeel van regulier onderhoud. Er is in dat geval geen actie van de gebruiker vereist.
Het NCSC verwacht op korte termijn een publieke PoC en grootschalige pogingen tot misbruik. Het NCSC adviseert met klem de update zo spoedig mogelijk te installeren.
Update 19-03-26:
Uit onderzoek van Amazon threat intelligence blijkt dat CVE-2026-20131 vermoedelijk al sinds 26 januari actief is misbruikt voor het uitrollen van Interlock ransomware. Daarnaast is er inmiddels een publieke PoC verschenen voor kwetsbaarheid CVE-2026-20079. Het is daarom van groot belang om - indien dit nog niet gedaan is - te updaten naar de nieuwste versie van Cisco Secure Firewall Management Center.
Apple heeft kwetsbaarheden verholpen in iOS 15 & 16 en iPadOS 15 & 16 De kwetsbaarheden bevinden zich in de manier waarop geheugen wordt beheerd in verschillende Apple-producten. Een aanvaller kan deze kwetsbaarheden misbruiken door kwaadaardige webinhoud te verwerken, wat kan leiden tot geheugenbeschadiging en mogelijk tot het uitvoeren van willekeurige code met kernelprivileges.
Google heeft kwetsbaarheden verholpen in Google Chrome (versies voor 146.0.7680.75). De kwetsbaarheden bevinden zich in de V8-engine en de Skia graphics library van Google Chrome. De kwetsbaarheid in de V8-engine stelt een kwaadwillende in staat om via een speciaal gemaakte HTML-pagina willekeurige code uit te voeren binnen de sandboxed omgeving van de browser. De kwetsbaarheid in de Skia-component kan worden uitgebuit door het leveren van speciaal gemaakte HTML-pagina's die leiden tot out-of-bounds geheugenwrites, wat kan resulteren in ongeautoriseerde geheugentoegang. Beide kwetsbaarheden zijn van invloed op de beveiliging van de browser.
Google geeft aan dat voor zowel CVE-2026-3909 als CVE-2026-3910 exploits circuleren, waardoor misbruik vermoedelijk al plaatsvindt of korte termijn plaats zal vinden.
Veeam heeft kwetsbaarheden verholpen in Veeam Backup & Replication. De kwetsbaarheden stellen een geauthenticeerde domeingebruiker in staat om op afstand code uit te voeren op de backupserver, wat kan leiden tot ongeautoriseerde controle over backupoperaties. Dit probleem is aanwezig in de backupserveromgeving en kan worden geëxploiteerd via geauthenticeerde toegang. Daarnaast kunnen geauthenticeerde gebruikers beperkingen omzeilen en de mogelijkheid krijgen om willekeurige bestanden binnen een backuprepository te manipuleren, wat kan leiden tot gegevensmanipulatie of -corruptie. Een aanvaller met beperkte rechten kan toegang krijgen tot opgeslagen SSH-credentials, wat kan leiden tot ongeautoriseerde toegang tot kritieke systemen. De kwetsbaarheid in de hoge beschikbaarheid van Veeam Backup & Replication kan worden geëxploiteerd door een geauthenticeerde gebruiker met de rol van Backup Administrator, wat kan leiden tot compromittering van het systeem. Verder kan een aanvaller met lokale toegang zijn privileges verhogen, wat de beveiligingscontext van backup- en replicatieprocessen in gevaar kan brengen. Tot slot kan een Backup Viewer op afstand code uitvoeren met de privileges van de 'postgres'-gebruiker, wat kan leiden tot ongeautoriseerde acties binnen de databaseomgeving.
Pac4j heeft een kwetsbaarheid verholpen in de pac4j-jwt bibliotheek (specifiek voor versies voor 4.5.9, 5.7.9 en 6.3.3). De kwetsbaarheid bevindt zich in de JwtAuthenticator module van de pac4j-jwt bibliotheek. Deze kwetsbaarheid stelt een aanvaller die toegang heeft tot de RSA publieke sleutel van de server in staat om JWT-authenticatietokens te vervalsen. De fout omzeilt het proces van handtekeningverificatie, dat bedoeld is om de authenticiteit van tokens te valideren. Hierdoor kan een aanvaller zich voordoen als elke gebruiker, inclusief gebruikers met administratieve privileges. Alle applicaties die afhankelijk zijn van de kwetsbare pac4j-jwt versies voor JWT-authenticatie zijn getroffen.
Cisco heeft kwetsbaarheden verholpen in Cisco IOS XR Software. De kwetsbaarheden bevinden zich in de command-line interface (CLI) van Cisco IOS XR, waardoor geauthenticeerde lokale aanvallers willekeurige root-level commando's kunnen uitvoeren of volledige administratieve privileges kunnen verkrijgen. Daarnaast is er een probleem met de taakgroeptoewijzingsmechanisme voor bepaalde CLI-commando's, wat aanvallers in staat stelt om beveiligingscontroles te omzeilen. Een andere kwetsbaarheid in de IS-IS multi-instance routing functie laat een niet-geauthenticeerde, aangrenzende aanvaller toe om het IS-IS proces onverwacht te laten herstarten, wat leidt tot tijdelijke netwerkconnectiviteitsverlies. Ook is er een kwetsbaarheid die specifieke NCS 5500 en NCS 5700 apparaten treft, waarbij een niet-geauthenticeerde externe aanvaller packet corruptie kan veroorzaken tijdens zware verkeersomstandigheden, wat resulteert in een Denial-of-Service situatie.
GitLab heeft kwetsbaarheden verholpen in versies 18.9.2, 18.8.6 en 18.7.6 De kwetsbaarheden omvatten verschillende problemen, waaronder onjuiste autorisatiecontroles die geauthenticeerde gebruikers in staat stelden om toegang te krijgen tot gevoelige gegevens, zoals metadata van private repositories, en het mogelijk maken van denial-of-service situaties door onjuiste invoervalidatie. Specifieke kwetsbaarheden betroffen de CI/CD-pijplijn, webhook-verwerking, en de importfunctionaliteit, waarbij ongepaste toegang tot API-gegevens en projectmetadata kon optreden. De kwetsbaarheden beïnvloeden de vertrouwelijkheid en beschikbaarheid van gegevens binnen GitLab.
Fortinet heeft kwetsbaarheden verholpen in FortiWeb (Versies 7.0 tot 8.0.1). De kwetsbaarheden omvatten een mogelijkheid voor remote ongeauthenticeerde aanvallers om hostname-beperkingen te omzeilen, een OS command injection kwetsbaarheid binnen de FortiWeb API, en de mogelijkheid om authenticatie rate-limits te omzeilen. Daarnaast zijn er kwetsbaarheden gerapporteerd die leiden tot stack-based buffer overflows en een NULL Pointer Dereference, die kunnen worden misbruikt door geauthenticeerde aanvallers. Deze kwetsbaarheden kunnen resulteren in ongeautoriseerde toegang, uitvoering van willekeurige commando's, en verstoring van de beschikbaarheid van de FortiWeb service.
