← Terug naar blog

Security briefing, 18 april 2026: ActiveMQ-uitbuiting, Windows zero-days en LSASS-patchgevolgen

De security briefing van vandaag bundelt drie concrete signalen: CISA heeft Apache ActiveMQ als actief uitgebuit gemarkeerd, Huntress ziet gelekte Windows privilege-escalation zero-days in echte intrusies, en Microsoft bevestigt LSASS-crashlussen op sommige gepatchte domeincontrollers.

---

---

1. ActiveMQ is van patch-queue naar actieve exploitatie gegaan

CISA heeft CVE-2026-34197 toegevoegd aan de KEV-catalogus nadat actieve exploitatie werd bevestigd. Het lek raakt Apache ActiveMQ Classic, komt voort uit gebrekkige inputvalidatie en maakt geauthenticeerde remote code execution mogelijk. Apache heeft dit gepatcht in versies 6.2.3 en 5.19.4, maar blootgestelde brokers blijven een makkelijk doelwit. Shadowserver volgt nog steeds meer dan 7.500 internetgerichte systemen.

• Patch blootgestelde ActiveMQ Classic-nodes direct en controleer de echt draaiende versie.
• Controleer brokerlogs op verdacht gebruik van brokerConfig=xbean:http:// en VM-transportactiviteit.
• Als een broker internetgericht en bedrijfskritisch is, ga dan uit van mogelijke post-exploitation totdat het tegendeel bewezen is.

---

2. Gelekte Windows zero-days maken nu deel uit van echte intrusies

Huntress meldt BlueHammer-, RedSun- en UnDefend-technieken in het wild. BlueHammer werd in april gepatcht, maar RedSun en UnDefend hebben nog geen volledige leveranciersfix. De waargenomen activiteit omvatte een gecompromitteerde SSL-VPN-gebruiker gevolgd door interactief aanvallersgedrag. Dit zijn dus niet langer alleen GitHub-PoC’s.

• Behandel recente VPN-herkomst als mogelijk privilege-escalation-voet aan de grond, vooral op Windows-hosts met Defender ingeschakeld.
• Ga er niet van uit dat April Patch Tuesday deze cluster volledig heeft gesloten. Twee technieken vereisen nog compenserende maatregelen en strakke monitoring.
• Verzamel endpoint-bewijs vóór opschonen als Defender-updateonderdrukking en plotselinge SYSTEM-acties samen verschijnen.

---

3. April-serverpatching brengt ook een beschikbaarheidsval mee

Microsoft bevestigde dat KB5082063 LSASS-crashes en rebootlussen kan veroorzaken op sommige non-Global-Catalog-domeincontrollers in Privileged Access Management-omgevingen. Daarmee wordt een normale security-uitrol een identiteitsuitvalrisico. Onstabiele authenticatie kan de winst van snel patchen direct tenietdoen.

• Pauzeer brede uitrol op PAM-gerelateerde non-GC-domeincontrollers totdat de omgeving is getoetst aan Microsofts voorwaarden.
• Laat security- en identity-teams vóór patchgolven samen optrekken, want het risico is nu zowel exploitability als authenticatiefalen.
• Zorg voor rollback- en supportpaden voordat je domeincontrollers aanraakt die vroeg in het opstartproces authenticatie verwerken.

---

Wat securityteams vandaag moeten doen

1. Rond eerst de ActiveMQ-spoedtriage af, vooral voor blootgestelde brokers en oudere Classic-deployments.
2. Zoek naar BlueHammer-, RedSun- en UnDefend-sporen overal waar recente VPN-toegang of admin-escalatie verdacht oogt.
3. Valideer of PAM-domeincontrollers in scope zijn voordat KB5082063 verder wordt uitgerold.
4. Stuur leiderschap één duidelijke update die exploitdruk scheidt van patch-instabiliteitsrisico.

---

Bottom line: Volwassen verdediging betekent vandaag op drie snelheden tegelijk werken: de blootgestelde broker patchen, de Windows-foothold jagen en elke uitrol vertragen die identiteit offline kan halen.