← Terug naar blog

Security Briefing, 24 april 2026: Breeze Cache-exploitatie, Bitwarden-npm-supply-chain-risico en GopherWhisper-cloud-C2

De rode draad vandaag is simpel: aanvallers winnen waar verdedigers vertrouwen stilzwijgend uitbesteden, of dat vertrouwen nu in een WordPress-plugin, een npm-pakket of een samenwerkingsplatform zit.

---

---

1. Breeze Cache opent een live pad naar WordPress-overname

Aanvallers misbruiken actief CVE-2026-3844 in de WordPress-plugin Breeze Cache. Het probleem komt door ontbrekende validatie van bestandstypen in de functie fetch_gravatar_from_remote en laat een niet-geauthenticeerde aanvaller willekeurige bestanden uploaden. Als de optie “Host Files Locally - Gravatars” is ingeschakeld, kan dat leiden tot remote code execution en volledige sitecompromittering. De plugin heeft meer dan 400.000 actieve installaties en Wordfence ziet al exploitatieactiviteit.

• Patch Breeze Cache direct naar 2.4.5 of schakel de plugin uit totdat dat kan.
• Als “Host Files Locally - Gravatars” aanstaat, moeten internetgerichte WordPress-sites nu topprioriteit krijgen.
• Controleer recente uploads, webshells en verdachte admin-activiteit, en ga er niet van uit dat patchen alleen genoeg is.

---

2. De gecompromitteerde Bitwarden CLI op npm is een veel groter waarschuwingssignaal voor ontwikkelaarsvertrouwen

De kwaadaardige npm-versie 2026.4.0 van @bitwarden/cli was op 22 april kort beschikbaar en bevatte malware die ontwikkelaarssecrets moest stelen. Onderzoekers zeggen dat het npm- en GitHub-tokens, SSH-sleutels en cloudreferenties verzamelde en vervolgens data exfiltreerde via door aanvallers gecontroleerde GitHub-repositories. Bitwarden zegt dat kluisdata en productiesystemen niet geraakt zijn, maar elke omgeving die deze versie installeerde moet als gecompromitteerd worden behandeld.

• Stop niet bij verwijderen, roteer secrets uit CI, developer-laptops, registries en cloudaccounts.
• Controleer buildlogs, ~/.npmrc, GitHub-tokens, SSH-materiaal en runner-secrets op tweede orde blootstelling.
• Dit is een supply-chain-incident, dus vertrouw de impactradius, niet de pakketnaam.

---

3. Checkmarx en GopherWhisper bewijzen dezelfde les: vertrouwde diensten horen nu bij het aanvallershandboek

De Checkmarx KICS-supply-chaininbreuk trof Docker-images en ontwikkelaarsextensies, terwijl ESETs rapport over GopherWhisper een aan China gelinkte cluster beschrijft die Outlook, Slack, Discord en Microsoft Graph API gebruikt voor command-and-control tegen overheidsdoelen. Het zijn verschillende campagnes, maar de les is identiek: aanvallers verstoppen zich in normale ontwikkel- en samenwerkingsstromen omdat verdedigers daar nog steeds te veel impliciet vertrouwen geven.

• Blokkeer of onderzoek bekende kwaadaardige Checkmarx-domeinen, ga terug naar veilige versies en bouw getroffen omgevingen opnieuw op vanuit een schone basis.
• Beoordeel OAuth-, Graph API-, Slack-, Discord- en mailboxtelemetrie op operationeel vreemd gedrag, niet alleen op overduidelijk kwaadaardige signalen.
• Behandel SaaS- en package-ecosystemen als onderdeel van het aanvalsoppervlak, niet als neutrale infrastructuur.

---

Wat securityteams vandaag moeten doen

1. Patch Breeze Cache of schakel de risicovolle functie direct uit en controleer daarna op compromissporen.
2. Als iemand het kwaadaardige Bitwarden CLI npm-pakket installeerde, roteer secrets en herstel vertrouwen vanaf schone systemen.
3. Audit Checkmarx en aangrenzende developer tooling, vooral Docker-pulls, extensies en CI-runners.
4. Breid monitoring op misbruik van clouddiensten uit over Outlook, Microsoft Graph, Slack en Discord in plaats van alleen klassieke malware-indicatoren te volgen.

---

---

Bottom line: Kort gezegd: aanvallers misbruiken niet alleen softwarefouten, maar ook standaardvertrouwen. Daarom moeten de acties van vandaag patching, secretrotatie en veel harder toezicht op de diensten omvatten waar teams elk uur op leunen.