Drievoudige CVE LangChain legt AI-stacks bloot, Red Menshen plant BPFDoor-slaapercellen in telecom-backbone, Infinity Stealer treft macOS, TeamPCP verbergt malware in WAV-bestanden

Drie kritieke kwetsbaarheden in 's werelds populairste AI-framework bieden aanvallers onafhankelijke paden om bedrijfsgeheimen te stelen. Een aan China gelinkte dreigingsactor heeft kernel-slaapercellen diep in telecom-infrastructuur geïmplanteerd. Een nieuwe macOS-infostealer gebruikt Nuitka-gecompileerd Python om detectie te omzeilen. En de TeamPCP-supply-chain-campagne richt zich nu op het Telnyx PyPI-pakket via audio-steganografie.

---

🔴 LangChain & LangGraph: drie CVE's, drie paden naar uw bedrijfsdata

Cyera-beveiligingsonderzoeker Vladimir Tokarev onthulde drie onafhankelijke kwetsbaarheden in LangChain en LangGraph — de open-source AI-frameworks die wekelijks meer dan 84 miljoen keer worden gedownload van PyPI.

CVE	CVSS	Type	Impact
CVE-2026-34070	7.5	Path Traversal	Willekeurige bestandstoegang via de prompt-laad-API
CVE-2025-68664	9.3	Deserialisatie	Lekken van API-sleutels en omgevingsgeheimen
CVE-2025-67644	7.3	SQL-injectie	Willekeurige SQL-queries tegen LangGraph's SQLite-database

Nu patchen

• CVE-2026-34070: Update naar langchain-core ≥1.2.22
• CVE-2025-68664: Update naar langchain-core 0.3.81 of 1.2.5
• CVE-2025-67644: Update naar langgraph-checkpoint-sqlite 3.0.1

---

🔴 Red Menshen plaatst BPFDoor-slaapercellen in telecom-backbone

Rapid7 heeft een langdurige spionagecampagne ontdekt die wordt toegeschreven aan Red Menshen — een aan China gelinkte dreigingsactor die sinds ten minste 2021 in telecomnetwerken in het Midden-Oosten en Azië is geïnfiltreerd.

• Geen luisterpoorten — geen netwerkdiensten blootgesteld
• Geen C2-beaconing — geen detecteerbare uitgaande communicatie
• Kernel-niveau inspectie — activeert alleen bij ontvangst van een specifiek «magic»-triggerpakket
• SCTP-ondersteuning — monitoring van telecom-protocollen, waarmee abonnees gevolgd kunnen worden

---

🟡 Infinity Stealer: nieuwe macOS-malware combineert ClickFix met Nuitka-evasie

Malwarebytes heeft de eerste macOS-campagne gedocumenteerd die ClickFix social engineering combineert met een Nuitka-gecompileerde Python-infostealer.

1. ClickFix-lokmiddel: Nep Cloudflare-CAPTCHA op update-check[.]com
2. Terminal-opdracht: Gebruiker wordt verleid om een base64-versleuteld curl-commando te plakken
3. Nuitka-loader: 8,6 MB Mach-O binary met 35 MB gecomprimeerde stealer-payload
4. Exfiltratie: Gestolen data verzonden via HTTP POST; Telegram-melding aan aanvallers

---

🟡 TeamPCP kaapt Telnyx PyPI-pakket, verbergt stealer in WAV-audiobestanden

De TeamPCP-dreigingsactor heeft het Python-pakket Telnyx op PyPI gecompromitteerd. Kwaadaardige versies 4.87.1 en 4.87.2 verbergen credential-diefstalcapaciteiten in een .WAV-audiobestand via steganografie.

---