SAP OVERPASS: kritieke EPP-kwetsbaarheid gepatcht
SAP heeft meerdere security notes uitgebracht, waaronder een patch voor de kritieke EPP kwetsbaarheid (CVE-2026-44756). De bug, OVERPASS, kan zonder authenticatie tot vergaande impact leiden.
Categorie: Software Supply Chain Security
ChatGPT kwetsbaarheid: geplante prompt lekt Gmail
Een geplante prompt kan ChatGPT onzichtbaar taken laten uitvoeren met toegang tot een verbonden Gmail-account. Check Point toont een proof of concept waarbij data naar een ander ChatGPT-account wordt gestuurd.
WeChat zero-click worm: accounts overnemen via oproepen
Onderzoekers toonden een WeChat zero-click worm die via een binnenkomende oproep een account kan overnemen zonder dat het slachtoffer iets hoeft te doen. Tencent heeft het misbruik inmiddels geblokkeerd en updates uitgebracht.
Chainguard’s Factory: 1 miljard build manifests
Chainguard verdubbelde in zes maanden het aantal build manifests naar meer dan 1 miljard. Het bedrijf legt uit welke veranderingen in Factory 2.0 nodig waren om catalogusbrede beveiliging constant up-to-date te houden.
FreeIPA kwetsbaarheid: keten tot admin-tegoed
Een FreeIPA kwetsbaarheid kan, via een keten met 389 Directory Server, leiden tot beheerderstoegang en herbruikbare administrator-credentials. Red Hat beschrijft ook noodmaatregelen en patchroutes.
SQL-injectie bij Mathspace: data-impact uitgelegd
Mathspace meldt een datalek na een compromis van zijn zelfhostte Metabase. Door een SQL-injectie (CVE-2026-72898) is persoonlijke informatie van ruim 1,07 miljoen personen ingezien.
BengalSEO en SEO-poisoning: MayaBot & tech support scams
BengalSEO is een SEO-poisoning campagne die misleidende pagina’s bovenaan Bing zet en slachtoffers doorsluist naar MayaBot of tech support scams. In dit artikel lees je hoe het mechanisme werkt en wat je kunt doen om schade te beperken.
PEEP: Chrome en Edge als post-exploit backdoor
Onderzoekers beschrijven de PEEP backdoor: een kwaadaardige “bookmarks-extensie” die Chrome/Edge via native messaging omzet in een post-exploit toolkit voor host-opdrachten en diefstal van browserdata.
Microsoft 365 helpdesk-vishing: datadiefstal en afpersing
Microsoft 365 helpdesk-vishing richt zich op directeuren en andere executives met telefoontjes die authenticatiepagina’s misleiden. De aanvallers stelen MFA-goedkeuringen en session tokens om data uit Microsoft 365 te exfiltreren en afpersing te eisen.
Chrome 0-day en router-aanvallen: weekoverzicht
Deze week stond de aandacht op een Chrome 0-day die al actief wordt misbruikt, plus aanvallen op routers en online winkels. Ook komen er opvallende trends voorbij rondom misbruik van supply chain en AI-gedrag.