CISA heeft onlangs vijf nieuwe kwetsbaarheden toegevoegd aan de Known Exploited Vulnerabilities (KEV)-catalogus. De aanleiding: aantoonbaar misbruik door de China-link threat actor Flax Typhoon. Dit betekent in de praktijk dat organisaties met internetgerichte software, mailsystemen en netwerkcomponenten extra alert moeten zijn—zeker nu er ook een concrete deadline voor federale agentschappen is.
In dit artikel zetten we de vijf KEV’s op een rij, schetsen we hoe aanvallers ze inzetten voor initial access en datadiefstal, en vertalen we dat naar een praktische aanpak om risico’s snel te verkleinen.
Wat betekent “Known Exploited Vulnerabilities” voor organisaties?
De KEV-lijst van CISA is bedoeld om het patchen van actief misbruikte kwetsbaarheden te versnellen. Zodra een kwetsbaarheid op de lijst staat, neemt de druk toe om te verhelpen: organisaties willen voorkomen dat aanvallen via geautomatiseerde scanning en bekende exploitpaden doelgroepen overslaan.
Voor federale agentschappen geldt bovendien een formele termijn. CISA meldt dat zij uiterlijk 11 oktober 2026 de nodige patches moeten toepassen of het betreffende systeem niet meer mogen gebruiken.
Flax Typhoon KEV: de vijf nieuwe kwetsbaarheden
Hieronder staan de vijf kwetsbaarheden die CISA toevoegde aan de KEV-catalogus, inclusief het type risico zoals beschreven door de CISA-communicatie.
CVE-2015-3306 — ProFTPD (CVSS 10.0)
Deze kwetsbaarheid betreft improper access control in ProFTPD. Aanvallers kunnen volgens de omschrijving op afstand via FTP-commando’s als site cpfr en site cpto arbitraire bestanden lezen en schrijven.
CVE-2021-3199 — ONLYOFFICE Docs (CVSS 9.8)
Bij ONLYOFFICE Docs gaat het om path traversal. Wanneer JWT wordt gebruikt en een uploadparameter een “/..”-sequencing bevat (zoals in de beschrijving), kan dat leiden tot remote code execution.
CVE-2023-22894 — Strapi (CVSS 7.2)
Deze issue gaat over cleartext opslag van gevoelige informatie in Strapi. Een aanvaller met toegang tot de admin-omgeving kan via een query filter mogelijk gevoelige gebruikersdetails achterhalen.
CVE-2016-3081 — Apache Struts (CVSS 8.1)
Voor Apache Struts betreft het een command injection-kwetsbaarheid. Remote aanvallers kunnen volgens de omschrijving willekeurige code uitvoeren via method:prefix wanneer Dynamic Method Invocation is ingeschakeld.
CVE-2015-5477 — ISC BIND (CVSS 7.5)
Tot slot is er een reachable assertion-kwetsbaarheid in ISC BIND. Door misbruik via TKEY-queries kan een aanvaller een denial-of-service veroorzaken.
Hoe Flax Typhoon deze aanvalsketen opbouwt
Volgens de gezamenlijke advisory en de CISA-actualisatie gaat het niet alleen om losse exploit-acties, maar om een bredere aanpak om eerst binnen te komen en vervolgens toegang en data te verzamelen.
De activiteit is gekoppeld aan het aanvallen van in totaal acht kwetsbaarheden, waarvan de vijf nieuwe KEV’s deel uitmaken. De aanvallen zijn gericht op:
- Initial access: het misbruiken van bekende softwarefouten.
- Beweging in het netwerk: het opbouwen van blijvende toegang (persistence).
- Gegevensexfiltratie: het verzamelen en wegbrengen van e-mail en geloofsgegevens via scripts.
Van scanning tot persistence
In de beschreven aanpak maken aanvallers gebruik van tools om doelwitten te vinden. Vervolgens wordt misbruik uitgevoerd via technieken die passen bij het profiel van de kwetsbaarheid, waaronder cross-site scripting en password spraying tegen Microsoft Exchange.
Daarna leggen aanvallers persistence vast met behulp van VPN-software. Met andere woorden: zodra ze toegang hebben, proberen ze die langdurig te behouden om later opnieuw te kunnen inloggen of extra data op te halen.
Extra context: drie verwante kwetsbaarheden staan al op de KEV-lijst
De nieuwe vijf staan niet op zichzelf. CISA noemt ook dat er al drie andere kwetsbaarheden op de KEV-catalogus stonden, en dat Flax Typhoon-activiteiten zich ook op die issues richtten:
- CVE-2014-6278 (GNU Bash, Shellshock; toegevoegd oktober 2025)
- CVE-2019-11510 (Ivanti Pulse Connect Secure; toegevoegd november 2021)
- CVE-2021-22205 (GitLab CE/EE; toegevoegd november 2021)
Dit is relevant, omdat het betekent dat organisaties naast het “nieuw” toevoegen ook breder moeten kijken naar hun patchstatus voor eerder bekende KEV’s.
Waarom dit ook voor niet-federale organisaties urgent is
De deadline van 11 oktober 2026 is formeel voor federale agentschappen, maar het onderliggende probleem geldt veel breder. Zodra een aanvaller bewezen exploits combineert met scanning, credential-aanvallen en persistence, neemt de kans toe dat dezelfde kwetsbaarheden ook buiten de oorspronkelijke doelwitten worden getest.
Daar komt bij dat veel van de getroffen componenten klassiek zijn in enterprise-omgevingen: webapplicaties (Struts, Strapi), documentplatformen (ONLYOFFICE Docs) en infrastructuurservices (ProFTPD, BIND). Als patching achterloopt, ontstaat vaak precies het “snijvlak” waar aanvallers op leunen.
Praktische stappen om risico te verlagen
Wat kun je vandaag al doen? Hieronder een aanpak die je kunt gebruiken om de Flax Typhoon KEV-impact systematisch aan te pakken.
1) Check je exposure per applicatie en service
Breng in kaart welke systemen je gebruikt die geraakt (kunnen) worden door de vijf KEV’s. Denk aan versiebeheer, installatieinventaris en de omgeving waarin de component draait (internet-facing vs. intern).
2) Patch of retireer: kies bewust
Waar mogelijk: patchen. Als patchen niet direct haalbaar is: onderbouw een tijdelijke mitigatie en plan uitstroom. CISA’s boodschap is helder—met actieve exploitatie is “wachten” zelden een veilige optie.
3) Zoek naar tekenen van compromis
Gebruik threat hunting of loganalyse om te controleren op verdachte patronen die passen bij de beschreven technieken, zoals ongebruikelijke exploitpogingen, afwijkende webactiviteit en ongeplande toegangspaden naar administratieve functies.
4) Versterk account- en authenticatieverdediging
Omdat er ook sprake is van password spraying tegen Microsoft Exchange, is het zinvol om accountbescherming te versterken: controle op rate limiting, MFA-beleid en detectie van herhaalde authenticatiepogingen.
Voor aanvullende context over aanvallen waarbij AI-gestuurde of geautomatiseerde methoden het tempo verhogen, kun je ook lezen hoe security achterloopt bij aanvallen: AI velocity paradox: waarom security achterblijft.
Vergelijkbare waarschuwingen in het nieuws
Flax Typhoon is niet de enige actor die bekende fouten combineert met geautomatiseerde technieken en snelle exploitatie. Eerdere berichtgeving op deze site laat bijvoorbeeld zien hoe aanvallen via infrastructuur en DNS-achtige mechanismen certificaat- of toegangspaden kunnen beïnvloeden.
Bekijk bijvoorbeeld: Attackers kapen ccTLD DNS voor valse Google-certificaten. Hoewel het om een ander type kwetsbaarheid gaat, toont het vooral het patroon: aanvallers zoeken naar een realistisch pad naar initial access en misbruik in de praktijk.
Conclusie
Met Flax Typhoon KEV zet CISA een duidelijke stap: vijf extra kwetsbaarheden zijn nu officieel onderdeel van een lijst met bekende, actief misbruikte security issues. De combinatie van uiteenlopende systemen (FTP, documentverwerking, webframeworks, identity- en infrastructure-onderdelen) en een aanvalsketen met scanning, XSS-achtige technieken, password spraying en persistence via VPN maakt dit tot een campagne die brede impact kan hebben.
Pak het daarom concreet aan: inventariseer, patch waar nodig, versterk accountbeveiliging en controleer op verdachte activiteit. Zo verklein je de kans dat Flax Typhoon misbruik kan maken van dezelfde zwakheden in jouw omgeving.
Bron: https://thehackernews.com/2026/10/flax-typhoon-exploits-five-flaws-as.html
