← Terug naar blog

Security briefing, 15 april 2026: Patch Tuesday, kwaadaardige Chrome-extensies en toegangsdrift

De security briefing van vandaag volgt drie concrete verhalen: Microsofts Patch Tuesday, een campagne met meer dan 100 kwaadaardige Chrome-extensies en problemen met toegangsbeheer bij Kraken en McGraw-Hill.

---

---

1. Microsofts Patch Tuesday is groot, en één SharePoint-zero-day werd al misbruikt

Microsoft bracht in april 2026 fixes uit voor 167 kwetsbaarheden, waaronder twee zero-days. Eén daarvan, een spoofing-kwetsbaarheid in SharePoint Server, werd al in aanvallen misbruikt. Microsoft leverde ook patches voor kritieke Office-RCE’s en een Defender-privilege-escalatie via het antimalwareplatform.

• Patch internetgerichte SharePoint-systemen en Office-zware omgevingen als eerste.
• Markeer de cyclus niet als voltooid voordat uitzonderingen, staging-kopieën en admin-nodes zijn afgestemd.
• Doe na het patchen een echte blootstellingscheck in plaats van te vertrouwen op ticketafsluiting.

---

2. Meer dan 100 Chrome-extensies maakten van de browser een identity-theft-oppervlak

Onderzoekers van Socket koppelden meer dan 100 kwaadaardige extensies uit de Chrome Web Store aan één gecoördineerde campagne. De extensies zouden Google OAuth2-bearer tokens hebben gestolen, accountdata hebben verzameld, Telegram Web-sessies hebben gekaapt en op de achtergrond remote commands hebben opgehaald. Dat is geen simpel add-on-risico. Het is misbruik van identiteit, sessie en vertrouwen binnen een al geauthenticeerde omgeving.

• Controleer vandaag nog geïnstalleerde extensies op beheerde apparaten.
• Trek sessies en tokens in zodra extensiemisbruik wordt vermoed.
• Behandel de browser als onderdeel van het identity control plane.

---

3. Kraken en McGraw-Hill laten zien waarom interne en derde-partijtoegang nog steeds nette verhalen sloopt

Kraken zei dat een afpersingsgroep dreigt video’s van interne systemen te publiceren nadat ongepaste toegang door supportmedewerkers beperkte klantondersteuningsdata van ongeveer 2.000 accounts blootlegde. McGraw-Hill meldde apart dat aanvallers beperkte interne data bereikten via een misconfiguratie op een door Salesforce gehoste pagina, terwijl ShinyHunters een veel grotere buit claimde. De exacte impact verschilt, maar het patroon is hetzelfde: supportprocessen en gehoste bedrijfssystemen houden vaak meer vertrouwen vast dan teams denken.

• Geef support- en contractor-toegang standaard een einddatum.
• Controleer gehoste pagina’s, supporttools en vendor-adminpaden tijdens incident response.
• Ga ervan uit dat zelfs “beperkte blootstelling” alsnog een reputatie- en afpersingsprobleem kan worden.

---

Wat securityteams vandaag moeten doen

1. Prioriteer eerst misbruikte en extern bereikbare Microsoft-assets.
2. Voer een extensiesweep en sessie-intrekkingsplan uit voor gebruikers met hoog risico.
3. Audit support-, leveranciers- en SaaS-admintoegang met eigenaars en verloopdatums.
4. Gebruik één managementupdate die patches, browser-identiteitsmisbruik en derde-partijtoegang in één risicobeeld samenbrengt.

---

Bottom line: Alle verhalen van vandaag wijzen naar dezelfde operationele waarheid. Aanvallers winnen in de kloof tussen nominale en geverifieerde controle, tussen “gepatcht” en echt opgelost, tussen “ingelogd” en werkelijk vertrouwd, tussen “tijdelijke toegang” en blijvend privilege.