Deze week laat een opvallende mix zien van aanvallen die óf technische diepte vragen, óf vooral ontstaan door slordige beveiligingskeuzes. Een terugkerend thema is dat firewall-issues niet alleen gaan over een kwetsbaarheid op zichzelf, maar ook over hoe organisaties toegang verliezen via gelekte credentials, misbruik van “vertrouwde” software en aanvallers die snel willen opschalen.
In dit overzicht nemen we de belangrijkste ontwikkelingen door en zetten we er praktische acties naast. Want zelfs wanneer de details bij sommige fixes pas later openbaar worden, kun je nu al gericht voorbereiden.
Kritieke firewall-updates: Fortinet als prioriteit
Fortinet heeft een gecoördineerde set updates uitgebracht voor FortiOS, FortiManager en FortiAnalyzer. De aanleiding: meerdere kritieke en hoog geclassificeerde zwakheden die met een AI-ondersteunde aanpak werden gedetecteerd.
Belangrijk is vooral de context: Fortinet-apparaten zijn een favoriet doelwit. Dat betekent dat je patchproces en testvensters geen “later”-status mogen krijgen. Zet daarom in elk geval de volgende stappen vandaag op de kalender:
- Controleer welke versies en componenten (FortiOS/FortiManager/FortiAnalyzer) je draait.
- Bepaal impact en volgorde voor update-volgorde in je beheeromgeving.
- Monitor na installatie op tekenen van misbruik (sessies, beheer-activiteit, vreemde herstarts).
Werk ook parallel aan je inventaris: als je niet precies weet welke appliances in productie draaien, wordt reageren op firewall-issues al snel te traag.
Exploitpads via tokens en authenticatiezwaktes
Naast klassieke kwetsbaarheden zie je dat aanvallers steeds vaker via authenticatiestromen binnenkomen. Een voorbeeld is een gepatchte fout in Microsoft Authenticator (CVE-2026-80097, ook bekend als AuthMask). In de beschrijving gaat het om uitbuiting waarbij een aanvaller een schadelijke applicatie op een Android-toestel laat draaien en vervolgens de gebruiker laat voltooien in een flow die zich voordoet als een vertrouwde app. Het effect: het verkrijgen van authenticatietokens en het overnemen van werksessies, zonder extra permissies.
Hoewel dit geen “firewall” is in de enge zin, raakt het wél aan het soort toegang dat firewalls (en identity controls) moeten beschermen. Als tokens misbruikt worden, is netwerkperimeter-beveiliging alleen onvoldoende.
Wat je hier praktisch aan doet
- Leg vast welke mobiele authenticatie-apps en flows in je omgeving draaien.
- Hanteer waar mogelijk strengere detectie op token-uitgifte en ongebruikelijke app-calls.
- Stimuleer gebruikers om geen authenticatie-acties in “vreemde” contexten te voltooien.
Een extra reden om dit scherp te doen: er was deze week ook aandacht voor AI-agent impersonatie die zich richt op het stelen van wachtwoorden en sleutels.
Gelekte secrets blijven branden: FortiGate-omgeving “FortiBleed 2.0”
Onderzoeker Hudson Rock rapporteerde een opvolgdetail rond de FortiBleed-credential harvesting campagne. Daarbij worden nieuwe domeinen en tienduizenden “exposed secrets” gevonden in FortiGate-bronbestanden die gekoppeld zijn aan duizenden host-identifiers.
Het gaat om een hoeveelheid aan informatie, waaronder lokale gebruikersrecords en LDAP bind-gegevens voor Active Directory. De configuratiebestanden zouden dateren van rond februari 2026, dus eerder dan eerder onderzochte materiaalperiodes.
Waarom is dit relevant voor firewall-issues? Omdat de gegevens vaak bestaan uit precies de componenten waarmee je later lateraal kunt bewegen: authenticatie, beheerkanalen en omgevingsconfiguratie.
Neem daarom niet alleen een patch-standpunt, maar voeg recovery toe:
- Rotatie van alle in-scope credentials die aan de betrokken systemen hangen.
- Herbeoordeling van toegang tot managementinterfaces.
- Logonderzoek op aanmeldingen vanaf ongebruikelijke bronnen en tijdstippen.
Als je je incidentaanpak wil koppelen aan menselijke factoren en besluitvorming onder druk, kan dit ook helpen: Risicomanagement dat menselijk wordt: lessen uit kankertijd.
AI-bots die “zoeken” naar geheimen: 32 identiteiten
Een ander opvallend verhaal: aanvallers vermommen zich als AI-agenten om in rap tempo te scannen en geheimen te vinden. Cequence rapporteerde dat één actor op schaal actief was door rond ongeveer 32 verschillende AI-bot-identiteiten te roteren. Daarbij wordt gezocht naar data zoals wachtwoorden, API keys en cloud credentials.
De aanpak is in essentie geautomatiseerde verkenning van bekende paden waar secrets vaak liggen, waaronder configuratiebestanden, credential-bestanden en serveromgeving-informatie. Vervolgens kijkt de scanner naar websites die “passen” bij de gevraagde patronen, waarna het gericht verder gaat.
Voor organisaties betekent dit: je hoeft niet per se een complexe zero-day te hebben om getroffen te worden. Vaak is het voldoende dat:
- Secrets toegankelijk blijven via verkeerde configuratie of publicatie.
- Interne tooling of endpoints onvoldoende beperkt zijn.
- Detectie op misbruik van webpaden te laat of te grof is.
Als je eerder AI-incidenten of agent-gerelateerde beveiliging wil doorvertalen naar je eigen context, dan is dit gerelateerd: Threat Operator: AI verandert SOC-rollen en carrières.
Misbruik van “vertrouwde” domeinruimte en SEO-infrastructuur
Er is ook aandacht voor een type campagne waarbij DNS-toegang wordt misbruikt: domein shadowing. In twee afzonderlijke operaties zouden onbevoegden DNS-administratie hebben verkregen en hostnames hebben aangemaakt onder bestaande school- en overheidsdomeinen.
Het resultaat: illegale content kan “meeliften” op de reputatie en vindbaarheid van legitieme instituties. Door slimme mapping (bijvoorbeeld met CNAME’s) kan verkeer naar kwaadwillende infrastructuur worden gestuurd, terwijl de hostnamen binnen bekende namespaces vallen.
Op het eerste gezicht lijkt dit minder op typische firewall-issues, maar in de praktijk is het dezelfde keten: als DNS en externe bereikbaarheid niet strak gecontroleerd zijn, kunnen aanvallers services “plausibel” laten lijken.
Checkpunten voor je organisatie
- Controleer wie DNS-beheerrechten heeft (en hoe die worden toegekend).
- Monitor op wijzigingen in DNS-records, subzones en delegaties.
- Voer reputatie- en webcontentchecks uit op nieuwe of gewijzigde hostnames.
Wat je nu kunt doen: een korte actielijst
Omdat deze week zowel patching als toegangs- en detectievraagstukken raakt, is een pragmatische aanpak het meest effectief. Hieronder een compacte actielijst die je helpt om sneller grip te krijgen op firewall-issues én de keten eromheen.
- Patch en verifieer: installeer de Fortinet-updates en controleer daarna of diensten correct werken.
- Rotatie waar nodig: als onderzoek hints geeft op gelekte configuratie of secrets, roteer dan beheerders- en service-accounts.
- Beperk tokenrisico: versterk detectie rond authenticatieflows en ongebruikelijke app-gedragingen.
- Harde secret-hygiëne: voorkom dat credentials via webpaden of misconfiguraties uitlekbaar blijven.
- DNS governance: monitor DNS-wijzigingen en beperk machtigingen om shadowing te bemoeilijken.
Conclusie: firewalls zijn een startpunt, niet het eindstation
De rode draad van de week is dat beveiliging geen losse onderdelen is. Firewall-issues verdienen nu urgent patchwerk, maar de daadwerkelijke schade hangt vaak af van wat er gebeurt rondom tokens, secrets, authenticatiestromen en externe infrastructuur zoals DNS.
Pak daarom direct de kritieke fixes aan, maar koppel dat aan credential hygiene en monitoring. Zo verklein je de kans dat aanvallers via “vertrouwen” alsnog binnenkomen—of dat nu via beheerapparatuur, AI-achtige vermommingen of misbruik van domeinruimte gebeurt.
Bron: https://thehackernews.com/2026/10/threatsday-critical-firewall-flaws.html
