De dreiging en patchvertraging rond kwetsbaarheden in populaire software is opnieuw actueel. De Amerikaanse CISA heeft meerdere issues toegevoegd aan de Known Exploited Vulnerabilities (KEV)-catalogus, omdat er bewijs is voor actieve exploitatie in het wild. Voor organisaties betekent dit: wacht niet op een ‘later’-moment, maar plan direct patching en mitigaties.
In dit artikel zetten we de belangrijkste kwetsbaarheden op een rij, leggen we uit waarom de KEV-status belangrijk is, en geven we praktische aandachtspunten voor teams die hun systemen snel veilig moeten krijgen.
Waarom de KEV-lijst zo’n signaal is
De KEV-catalogus van CISA is bedoeld voor kwetsbaarheden waarvan al is vastgesteld dat ze actief worden misbruikt. Dat maakt het onderscheid tussen “kwetsbaarheid bekend” en “kwetsbaarheid wordt momenteel gebruikt”.
Op basis van de bronmelding geldt als extra urgentie dat CISA voor federale overheidsinstanties een uiterlijke datum noemt om fixes door te voeren (voor de besproken context: 12 november 2026). Ook als je niet onder diezelfde categorie valt, is de boodschap helder: als exploitatie al gaande is, telt tijd.
OpenSSH (SSHole): bewijs van aanvallen en persistentie
Een van de meest in het oog springende meldingen gaat over OpenBSD OpenSSH op Linux, aangeduid als CVE-2026-123158, ook bekend onder de naam SSHole (CVSS 8.1). CISA koppelt deze issue aan pogingen die gericht zijn op het omzeilen van authenticatie.
Volgens de bron zijn er exploitatiepogingen geregistreerd sinds 6 november 2026. Er werden in totaal 22 pogingen gezien via 14 unieke IP-adressen. Daarnaast gaf Defused Cyber aan dat het om een beperkte hoeveelheid acteurs ging: de activiteit zou nog niet breed verspreid zijn, maar wél zichtbaar in de praktijk.
De bron beschrijft verder wat er na de initiële poging kan volgen. In een bevestigde post-exploitatiecontext zijn zes bron-IP’s gerapporteerd, goed voor 18 verschillende aanvalsketens. Deze ketens omvatten onder meer:
- reconnaissance (verkenning),
- vragen aan cloud metadata services,
- pogingen om wachtwoordhashes en root-SSH-sleutels te lezen,
- aanpassingen aan authorized_keys om persistentie te verkrijgen.
In ten minste één scenario wordt melding gemaakt van het inzetten van TAC Agent: een Python-gebaseerde command-and-control (C2)-component die onder andere shells kan uitvoeren, systemen reconneert, mappen opsomt, bestanden kan overzetten en zichzelf kan bijwerken.
GPUStack: hoge impact via ongepaste authenticatie
Naast OpenSSH staat GPUStack centraal met CVE-2026-102895 (CVSS 9.8). De kern van het probleem is dat een aanval mogelijk is door een improper authentication-fout, waardoor een aanvaller ongeautoriseerde beheertoegang kan krijgen.
De gevolgen die in de bron worden genoemd zijn uitgebreid en ernstig. Het kan gaan om:
- het maken van persistent administrator API-sleutels,
- het uitlezen van secrets van workers en cloud-provider,
- wijzigingen aan gebruikers en modellen,
- code-uitvoering via een specifieke endpoint (POST /v2/inference-backends/from-yaml).
De bron vermeldt dat deze kwetsbaarheid is verholpen in juli 2026. Ook hier geldt: als je GPUStack gebruikt of componenten deels beheert, is het cruciaal om te controleren of de juiste versie(s) en configuraties daadwerkelijk zijn doorgevoerd.
FreeSwitch en IBM Aspera Faspex: configuratie, credentials en privilege-escalatie
De CISA-melding gaat ook over twee andere CVE’s met een hoge ernstscore (beide CVSS 9.8):
SignalWire FreeSwitch (CVE-2026-116779)
Deze issue wordt beschreven als een code injection-kwetsbaarheid. Volgens de bron kan dit leiden tot het uitlezen van configuratie en credentials, het beïnvloeden van call control en zelfs het uitvoeren van commando’s. De fix zou in oktober 2026 zijn doorgevoerd.
IBM Aspera Faspex (CVE-2026-123218)
Voor CVE-2026-123218 gaat het om een incorrect authorization-probleem. De bron stelt dat een geauthenticeerde gebruiker mogelijk een specifiek bericht kan samenstellen om autorisatie te omzeilen, met privilege escalation als gevolg. Ook hier wordt genoemd dat de oplossing in november 2026 beschikbaar kwam.
Wat weten we wel (en nog niet) over schaal en daders
De bron benadrukt dat er nog geen publieke informatie is over hoe de andere kwetsbaarheden precies worden misbruikt, wie er achter de activiteiten zit, en hoe groot de schaal van de inzet is. Bij OpenSSH is er wél concreet bewijs van aanvalspogingen en post-exploitatieketens beschreven.
Dat betekent niet dat andere software veilig is—het betekent vooral dat de zichtbaarheid verschilt. Vanuit het oogpunt van dreiging en patchvertraging is de praktische les: zodra je binnen je eigen omgeving kwetsbaarheden detecteert die op KEV staan, ga je uit van “risico nu”, niet “risico later”.
Actiepunten: zo pak je dit als organisatie op
Als je systemen beheert die mogelijk geraakt worden door OpenSSH, GPUStack, FreeSwitch of IBM Aspera Faspex, is dit een geschikt moment om je aanpak te verscherpen. Hieronder staan concrete stappen die je direct kunt uitvoeren.
1) Check of je binnen jouw assets geraakt kunt worden
Gebruik je inventarisatie of asset-management om te bepalen waar OpenSSH, GPUStack, FreeSwitch en/of Faspex draait. Let ook op varianten: containers, speciale images of geautomatiseerde deploymentpijplijnen kunnen updates vertragen.
2) Patching prioriteren op KEV-status en exploit evidence
Omdat CISA aangeeft dat er bewijs is voor actieve exploitatie, hoort patching hoog op je prioriteitenlijst. Voor OpenSSH (SSHole) is de urgentie extra relevant door de beschreven aanvalsketens richting persistentie.
3) Controleer logs op tekenen van recon en sleutelwijzigingen
Voor SSH-gerelateerde aanvallen kun je gericht kijken naar verdachte authenticatiepogingen, abnormale veranderingen aan SSH-gerelateerde bestanden en sporen van tooling na binnenkomst.
4) Houd er rekening mee dat command-and-control mogelijk is
De bron noemt TAC Agent als voorbeeld van wat er na succesvolle exploitatie kan worden ingezet. Dat is een reden om niet alleen op “patchen” te focussen, maar ook om incidentrespons-ready te zijn: detecties, isolatieprocedures en recovery-afspraken.
Vergelijkbare signalen: waarom tempo cruciaal blijft
Dit is niet het enige moment waarop de combinatie van exploitatie en patchachterstand een groot risico vormt. Eerder zijn er bijvoorbeeld meldingen geweest over snelle misbruikpogingen rondom SSH-kwetsbaarheden. Lees ter vergelijking ook Bron: https://thehackernews.com/2026/11/cisa-warns-of-active-exploitation-of.html
