← Terug naar blog

Security briefing, 19 april 2026: protobuf.js-RCE, Mirai Nexcorium en Operation PowerOFF

De security briefing van vandaag bundelt drie concrete signalen: een kritieke protobuf.js-code-executiefout met publieke PoC, Mirai-exploitatie van TBK-DVR’s en verouderde routers, en een wereldwijde klap tegen het DDoS-for-hire-ecosysteem.

---

---

1. protobuf.js hoort nu in de urgente dependency-queue

De kritieke protobuf.js-kwetsbaarheid GHSA-xq3m-2v4x-88gg kan tot remote code execution leiden wanneer applicaties door een aanvaller beïnvloede schema’s laden. Endor Labs zegt dat uitbuiting eenvoudig is, omdat onveilige dynamische codegeneratie kwaadaardige identifiers code laat injecteren in gegenereerde functies. De library zit diep in veel JavaScript-stacks en haalt ongeveer 50 miljoen wekelijkse npm-downloads.

• Upgrade naar 8.0.1 of 7.5.5 en controleer ook transitieve afhankelijkheden.
• Behandel het laden van schema’s als onbetrouwbare input en gebruik in productie liever vooraf gecompileerde of statische schema’s.
• Als je app door gebruikers aangeleverde protobuf-definities decodeert, neem dan aan dat secrets, databases en interne services binnen het blast radius vallen.

---

2. Mirai-operators oogsten nog steeds oude IoT-apparatuur

Fortinet zegt dat de Mirai-variant Nexcorium CVE-2024-3721 in TBK-DVR’s misbruikt en die toegang combineert met brute force en oudere Huawei-exploitlogica. Palo Alto Networks zag ook pogingen tegen end-of-life TP-Link-routers. De les blijft hetzelfde: oude internet-facing appliances worden goedkope botnetvoorraad als patching en credentialhygiëne wegzakken.

• Patch of isoleer getroffen TBK-DVR-systemen direct en vervang niet-ondersteunde TP-Link-apparatuur.
• Controleer op standaardwachtwoorden, Telnet-exposure en onverwachte cron- of systemd-persistentie.
• Behandel blootgestelde bewakings- en filiaalapparaten als actief inbraakoppervlak, niet als passieve infrastructuur.

---

3. Operation PowerOFF verhoogde de prijs van DDoS-for-hire-misbruik

De door Europol gesteunde Operation PowerOFF nam 53 domeinen in beslag, legde databases bloot met meer dan 3 miljoen criminele accounts en trof diensten die door meer dan 75.000 klanten werden gebruikt. Het belangrijke defensieve signaal is niet dat DDoS weg is, maar dat de druk op booter-infrastructuur stijgt, wat migratie, vergelding of tijdelijke ruis kan veroorzaken.

• Let op kortdurende verschuivingen naar alternatieve providers, nieuw geregistreerde panels of Telegram-resellers.
• Bewaar logs en klantcommunicatie als na deze verstoringsgolf afpersing of “stresstest”-verhalen opduiken.
• Gebruik dit venster om rate limiting, upstream filtering en incidentcontacten te controleren voordat de volgende kloondienst het gat vult.

---

Wat securityteams vandaag moeten doen

1. Patch protobuf.js-blootstelling eerst in internet-facing of multi-tenant JavaScript-diensten.
2. Maak een inventaris van kwetsbare DVR’s, routers en apparaten die nog met zwakke credentials of Telnet bereikbaar zijn.
3. Vraag netwerk- en SOC-teams of DDoS-monitoringdrempels tijdelijk moeten worden bijgesteld na PowerOFF.
4. Stuur één heldere notitie naar leiderschap: dependency-risico, IoT-botnetrisico en DDoS-marktbeweging zijn verschillende problemen met verschillende eigenaren.

---

Bottom line: Bottom line: het dreigingsbeeld van vandaag is tegelijk een stackprobleem, een edgeprobleem en een marktprobleem. Patch de library, ruim de appliances op en ga er niet van uit dat takedowns stille netwerken betekenen.