← Terug naar blog

Security briefing, 3 mei 2026: cPanel-ransomware, ConsentFix v3, Copy Fail en incidentrespons bij Instructure

Het lelijke patroon van vanochtend is vertrouwensinstorting op schaal: hostingpanelen, OAuth-flows, Linux-geheugenaanames en onderwijsplatforms laten tegelijk zien hoe “normale” infrastructuur een aanvalspad wordt.

---

---

1. cPanel ging bijna direct van kritieke bug naar actief ransomwareprobleem

CVE-2026-41940 is geen “later patchen”-kwestie meer. Aanvallers misbruiken de cPanel- en WHM-auth-bypass op grote schaal, en volgens BleepingComputer wordt die al gebruikt om de Linux-gebaseerde Sorry-ransomware te droppen. The Record meldt dat CISA federale instanties tot 3 mei gaf om te patchen. Dat zegt genoeg over de ernst.

• Patch cPanel en WHM direct en voer de leverancierstool voor compromise checks uit.
• Behandel blootgestelde hostingnodes als mogelijk al gecompromitteerd, niet alleen kwetsbaar.
• Zoek naar ransom notes, onverwachte accountwijzigingen, web shells en laterale beweging vanaf hostinginfrastructuur.

---

2. ConsentFix v3 maakt Azure-OAuth-diefstal schaalbaarder en overtuigender

ConsentFix was al vervelend omdat het een legitieme Microsoft-authorisatiestroom misbruikt in plaats van wachtwoorden te stelen. Versie 3 voegt automatisering toe: tenantvalidatie, victim profiling, phishinginfrastructuur, real-time tokenuitwisseling via Pipedream en snellere toegang tot Microsoft-resources na compromis. MFA is hier geen geruststellend schild.

• Controleer Azure- en Entra-logs op verdachte consentflows, localhost-redirectmisbruik en ongewone tokenactiviteit van vertrouwde first-party apps.
• Jaag op phishingpagina’s, DocSend-lures en Pipedream-gerelateerde exfiltratiepatronen in mail- en proxytelmetry.
• Leer gebruikers dat een echte Microsoft-loginpagina niet automatisch betekent dat de workflow veilig is.

---

3. Copy Fail is precies het soort Linux-bug dat cloud-trustgrenzen stil sloopt

Copy Fail, gevolgd als CVE-2026-31431, treft grote Linux-distributies sinds 2017 en kan een low-privilege gebruiker root geven. Nog erger: het kan ook container escapes mogelijk maken op getroffen hosts. Theori vond het via AI-ondersteunde analyse, CERT-EU drong aan op snel patchen en de brede platformimpact zet dit bovenaan de weekendlijst van elk serieus infrateam.

• Prioriteer kernelupdates eerst op gedeelde Linux-servers, CI-runners en containerhosts.
• Vertrouw niet blind op onvolledige workarounds; verifieer de mitigatie op de distributies die je echt draait.
• Herzie het threat model overal waar een lokale foothold of gecompromitteerde workload eerder als beheersbaar gold.

---

4. Het incident bij Instructure herinnert eraan dat onderwijsplatforms high-value doelen blijven

Instructure meldde een nieuw cybersecurity-incident en onderzoekt de impact nog met externe forensische hulp. Onderhoud aan Canvas Data 2 en Canvas Beta, plus waarschuwingen rond tools die van API-sleutels afhangen, maken dit operationeel relevant nog voordat alle feiten bekend zijn. Onderwijsplatforms bevatten enorme hoeveelheden student- en personeelsdata; onduidelijkheid is hier gewoon risico.

• Als je afhankelijk bent van Canvas-gerelateerde integraties, controleer dan nu fallback-workflows en API-key-blootstelling.
• Volg incidentupdates in plaats van onderhoudsmeldingen als onschuldige ruis weg te wuiven.
• Behandel studentdataplatforms als kritieke identiteits- en privacysystemen, niet alleen als productiviteitstools.

---

Wat securityteams vandaag moeten doen

1. Patch cPanel en WHM nu en onderzoek daarna op compromise in plaats van alleen versiechecks te doen.
2. Breid detectie rond Azure-OAuth-misbruik uit, vooral bij tokenuitgifte en verdachte consentworkflows.
3. Zet Copy Fail helemaal vooraan in de Linux- en containerhost-patchqueue.
4. Beoordeel operationele blootstelling aan Instructure en bereid je voor op vervolgimpact rond API’s, data en trust.

---

---

Kortom: Vandaag draait niet om één flashy zero-day. Het draait om routine-infrastructuur die bewijst dat trust shortcuts geen stand houden tegen gemotiveerde aanvallers.