Deze week delen meerdere beveiligingsleveranciers updates over kwetsbaarheden in hun producten. Cisco en WatchGuard publiceren patches voor onder meer code- en authenticatieproblemen, terwijl SonicWall waarschuwt dat een deel van de risico’s rond de GMS kwetsbaarheden niet meer wordt gerepareerd, omdat het systeem inmiddels End-of-Life is.
Hieronder lees je wat er precies speelt, welke onderdelen geraakt zijn en wat je praktisch kunt doen om je omgeving veilig(er) te houden.
WatchGuard: patches voor kritieke issues
WatchGuard kondigde vijf advisories aan, waaronder vier kwetsbaarheden met een kritieke ernst. Eén van de meest opvallende meldingen is CVE-2026-98432, met een CVSS-score van 9.8. Het gaat om een use-after-free in de IPv4-netwerkcode van de Linux kernel.
Volgens WatchGuard kunnen sommige Fireware OS- en WatchGuard AP-omgevingen kwetsbare kernelversies bevatten. De belangrijke nuance is dat de gemelde kernelkwetsbaarheid niet direct een remote code execution (RCE) exploitketen mogelijk maakt die daarmee samenhangt, al kan het wel een aanvalssurface vergroten.
Verder loopt er ook een situatie met Dimension: daar draait volgens WatchGuard een kwetsbare Ubuntu-versie, maar er zijn nog geen patches beschikbaar. Dat betekent dat je hier vooral moet focussen op mitigaties en monitoring totdat er wel een oplossing is.
AuthPoint Authentication Gateway: fixes voor authenticatie en integriteit
Naast de kernelgerelateerde melding heeft WatchGuard ook drie kritieke authenticatieproblemen aangepakt in AuthPoint Authentication Gateway. Het gaat om CVE-2026-121639, CVE-2026-121638 en CVE-2026-121640.
Daarnaast is er een high-severity bug voor integriteitsvalidatie verholpen: CVE-2026-121637. WatchGuard meldt dat zij geen actieve exploitatie in het wild kennen voor deze punten. Toch blijft patchen verstandig, zeker omdat misbruik vaak pas zichtbaar wordt nadat kwetsbaarheden breed bekend raken.
Cisco: patch voor UCS Central Software
Cisco publiceerde fixes voor CVE-2026-76506, een high-severity kwetsbaarheid in UCS Central Software. Volgens Cisco kan deze issue, onder voorwaarden, toestaan dat een geauthentiseerde aanvaller op afstand willekeurige code uitvoert of informatie kan uitlekken.
Ook hier geldt: Cisco geeft aan geen aanwijzingen te hebben dat dit al actief wordt misbruikt in praktijkomgevingen.
Node2Shell-update: impact breder dan eerder gedacht
Naast nieuwe patches heeft Cisco ook zijn advisory bijgewerkt rond CVE-2026-111497, in de volksmond bekend als Node2Shell, HTTP2Shell en Broccoli2Shell. Dit is een out-of-bounds write in de HTTP/2 gerelateerde context waarbij de Brotli-compressiebibliotheek van Google een rol speelt.
In de geüpdatete informatie stelt Cisco dat 19 Cisco-producten geraakt zijn. Daarnaast onderzoekt het bedrijf nog tientallen andere mogelijke getroffen producten. De kwetsbaarheid raakt ook bijna een dozijn Splunk-producten, wat de urgentie voor organisaties met gemengde omgevingen vergroot.
Omdat dit soort geheugen-corruptie issues lastig te mitigeren zijn zonder patch, is het belangrijk om te verifiëren of je systemen onder de productlijst vallen en snel naar de aanbevolen versies te migreren.
SonicWall waarschuwt: GMS kwetsbaarheden worden niet gepatcht
Het meest praktische risico voor beheerders komt van SonicWall. Het bedrijf waarschuwt dat de legacy centralized management platform Global Management System (GMS) End-of-Life bereikte in oktober 2025. Voor deze GMS kwetsbaarheden geldt daardoor: er komen geen patches meer.
SonicWall noemt twee specifieke kwetsbaarheden.
- CVE-2026-109593: een file read bug met kritieke ernst. Volgens de melding kan dit zonder authenticatie worden uitgebuit.
- CVE-2026-109594: een medium-severity SQL-injection waarmee aanvallers informatie uit de GMS-database kunnen ophalen en ook kunnen aanpassen.
Dat je geen patch krijgt, betekent niet dat je achterover kunt leunen. Als je GMS nog gebruikt, komt het neer op beperken van blootstelling (bijvoorbeeld netwerksegmentatie en firewallregels), het controleren van logs en het versnellen van een migratieplan. Heb je compliance-eisen of operationele beperkingen? Leg dan meteen een gefaseerde uitfasering vast, zodat je niet alleen “beheert”, maar ook verplaatst.
Wil je weten hoe je met niet-ondersteunde systemen omgaat? Dit artikel over aanpak rond patchprioriteit kan helpen bij je besluitvorming: Exposure prioritization: 4 elementen met bewijs.
Wat je nu kunt doen (checklist per omgeving)
Hoewel de leveranciers verschillen, volgt de aanpak meestal dezelfde logica: identificeren, valideren, patchen waar mogelijk en mitigeren waar dat niet kan.
1) Inventariseer welke producten daadwerkelijk draaien
Controleer niet alleen de productnamen, maar ook de versies en configuraties. Dat is extra belangrijk bij WatchGuard (bijvoorbeeld waar kernelcomponenten of Ubuntu-varianten relevant zijn) en bij Cisco (productlijnen binnen de Node2Shell-update).
2) Patch waar er wél fixes zijn
Voor WatchGuard en Cisco: plan updates volgens de releasedata en test eerst in een gecontroleerde omgeving. Focus daarbij op systemen die direct internettoegang hebben of in de DMZ draaien.
3) Mitigeer waar patches ontbreken
Voor SonicWall GMS kwetsbaarheden ligt de nadruk op het verminderen van aanvalskanalen. SonicWall geeft aan dat er geen reparaties volgen. Werk daarom aan: restrictieve netwerktoegang, snelle migratie en alerting op verdachte aanvragen.
4) Houd rekening met “niet bekend in het wild”
Meerdere advisories vermelden dat er geen actieve exploitatie bekend is. Dat is positief, maar geen garantie. Vaak komt exploitatie pas later. Zet daarom monitoring aan en controleer indicatoren in je logs.
Gerelateerde context: waarom geüpdatete advisories tijd winnen
In de praktijk zie je dat aanvallen zich richten op de gaten die beheerders het langst laten liggen—zeker wanneer een issue op afstand of zonder authenticatie te misbruiken is. Dat verklaart ook waarom dit soort meldingen meteen impact heeft op patchplanning.
Als je meer wil lezen over exploitketens en hoe aanvallers kwetsbaarheden benaderen, sluit dit onderwerp aan: Zyxel switch hacks door zero-day: wat je moet doen.
Conclusie
De beveiligingsupdates van deze week laten twee duidelijke boodschappen zien. Ten eerste: Cisco en WatchGuard publiceren patches voor meerdere kwetsbaarheden, waaronder kritieke problemen rond authenticatie en integriteitsvalidatie. Ten tweede: bij SonicWall blijven GMS kwetsbaarheden onverholpen omdat het platform End-of-Life is verklaard.
Voor beheerders is het kernadvies daarom scherp: patch waar dat kan, en waar het niet kan (zoals bij GMS) direct mitigaties en een migratiespoor starten. Daarmee verklein je de kans dat een relatief nieuw lek toch snel in de praktijk wordt misbruikt.
Bron: https://www.securityweek.com/cisco-watchguard-release-patches-sonicwall-wont-fix-gms-flaws/
