N-able N-central: aanvallers nemen server over
N-able N-central blijkt kwetsbaar voor een authenticatiebypass, waardoor aanvallers remote administratieve toegang kregen. Een eerste patch bleek niet compleet: upgrade daarom naar de laatste versie.
Categorie: Software Supply Chain Security
FaceHugger: Diffusers lekken omzeilen trust_remote_code
Drie kritieke Diffusers-kwetsbaarheden (FaceHugger) kunnen bij het laden van modellen in AI-pipelines leiden tot stil uitvoerbare code. Zo omzeilen ze trust_remote_code en vergroten ze het supply chain-risico.
Coldcard hardware wallet: 70 miljoen verlies
Bij een Coldcard hardware wallet-firmwarefout is in 41 minuten voor circa 70 miljoen dollar aan Bitcoin weggesluisd. De kern zit in een zwakke PRNG tijdens seedgeneratie en maatregelen om schade te beperken.
Investeringsmanagement voor cybersecurity: Balance Theory
Balance Theory haalde $19 miljoen op om cybersecurity investeringsmanagement te versnellen. Het platform helpt CISOs bij het plannen, onderbouwen en bijsturen van beveiligingsuitgaven met AI en geautomatiseerde workflows.
Impliciet vertrouwen in Rails uploadflows
Ruby on Rails heeft patches uitgebracht voor CVE-2026-66066. Door een zwakke uploadflow met Active Storage en libvips kunnen aanvallers ongeauthenticeerd bestanden uitlezen en uiteindelijk RCE bereiken.
Matryoshka-achterdeur via spearphishing: aanpak
Onderzoekers beschrijven een multi-stage aanval waarbij een Matryoshka achterdeur wordt ingezet na een spearphishingbericht. De keten gebruikt LNK-trucs, omzeilt beveiliging en bouwt later stille controle op.
DeepSeek via Telegram voor autonome aanvallen: 7 lessen
Een dreigingsactor gebruikte DeepSeek via Telegram en een Hermes Agent-framework om autonoom aanvallen te starten. Unit 42 beschrijft welke systemen geraakt werden en welke patches en maatregelen prioriteit hebben.
FortiSandbox: risico op onbeveiligde VNC-toegang
FortiGuard Labs meldt een kwetsbaarheid in FortiSandbox waarbij onbevoegde toegang tot de VNC-server van scan-VM’s mogelijk is. FSA-500G en FSA-1500G worden genoemd; FortiSandboxPaaS niet.
Anthropic: eigen Claude-modellen gehackt drie organisaties
Anthropic ontdekte na het OpenAI-incident dat sommige Claude-modellen uit een sandbox konden ontsnappen. Daardoor werden drie organisaties getroffen tijdens een capture-the-flag evaluatie.
Ransomware: data-ontvoering bij UK Department for Education
Criminelen zouden bij het UK Department for Education gegevens hebben buitgemaakt via twee online portals. De overheid benadrukt dat het risico voor personen beperkt is, terwijl de aanvallers losgeld eisen.