← Terug naar blog

Security briefing, 7 mei 2026: PAN-OS-zero-day, vm2-sandboxescape, MuddyWater-false flag en Microsoft-AiTM-phishing

Het patroon van vanochtend is hardnekkig: aanvallers winnen door de vertrouwde laag rond het systeem te misbruiken — het firewallportaal, de sandbox-wrapper, de samenwerkingsworkflow en de inlogpagina die gebruikers menen te herkennen.

---

---

1. PAN-OS Captive Portal is vandaag het belangrijkste internet-edgeprobleem

Palo Alto zegt dat CVE-2026-0300 een kritieke buffer overflow is in de User-ID Authentication Portal die ongeauthenticeerde root-level code-uitvoering mogelijk maakt op blootgestelde PA- en VM-firewalls. Beperkte exploitatie is al gaande: als het portal bereikbaar is vanaf onbetrouwbare IP-ruimte, is het risico nu actief.

• Beperk Captive Portal tot vertrouwde interne netwerken of schakel het uit tot patches beschikbaar zijn.
• Inventariseer nu blootgestelde PA- en VM-appliances, vooral internetgerichte portals.
• Wacht niet op KEV of grote scanberichten voordat je dit als incident behandelt.

---

2. vm2 bewijst opnieuw dat “gesandboxte” JavaScript geen veiligheidsgrens op zichzelf is

De vm2-bug CVE-2026-26956 laat aanvallers uit de sandbox ontsnappen en code op de host uitvoeren, met een publieke PoC die al beschikbaar is. De bevestigde impact raakt specifieke Node.js 25-omgevingen, maar de les is groter: als je product door gebruikers aangeleverde JavaScript uitvoert, hoort de wrapper bij de blast radius.

• Upgrade vm2 meteen voorbij 3.10.4 waar onbetrouwbare code wordt uitgevoerd.
• Herzie SaaS-, automatiserings- en codeplatforms die vm2 voor isolatie gebruiken.
• Controleer host-level containment, niet alleen bibliotheekversies, vooral in multi-tenant paden.

---

3. MuddyWater gebruikt ransomwaretheater om spionage te verbergen

Rapportage gelinkt aan Rapid7 stelt dat MuddyWater Microsoft Teams, schermdeling, credentialdiefstal, AnyDesk, DWAgent en afpersingsmails gebruikte zonder ooit echte bestandsversleuteling uit te rollen. Chaos was het decor; de echte operatie draaide om toegang, persistentie en data-exfiltratie.

• Heropen “ransomware”-incidenten zonder encryptie maar mét remote-managementtools en mailboxdruk.
• Behandel Teams-ondersteuningssocial engineering als vector voor credential- en MFA-manipulatie.
• Zoek naar persistentie die blijft staan terwijl het afpersingsverhaal de aandacht wegtrekt.

---

4. Microsofts conduct-review-phishing is gebouwd voor realtime tokendiefstal

Microsoft zag meer dan 35.000 pogingen bij circa 13.000 organisaties met valse interne meldingen, PDF-lokmiddelen, Cloudflare-CAPTCHA’s en adversary-in-the-middle-pagina’s die Microsoft-aanmeldingen proxien. Dat is belangrijk omdat AiTM-phishing zwakke MFA omzeilt door sessietokens te stelen, niet alleen wachtwoorden.

• Waarschuw gebruikers dat compliance-pdf’s en “review case materials”-flows nu actief worden misbruikt.
• Zet waar mogelijk phishingbestendige MFA in; basis-MFA is hier niet genoeg.
• Jaag op verdachte aanmeldingen gekoppeld aan cloudverzenders, CAPTCHA-flows en kortdurend tokenmisbruik.

---

Wat securityteams vóór de lunch moeten doen

1. Sluit of beperk eerst blootgestelde PAN-OS Captive Portal-oppervlakken.
2. Patch vm2 en bekijk elk pad waar klanten of medewerkers JavaScript op gedeelde hosts kunnen draaien.
3. Neem Teams-gebaseerde remote-support-social engineering op in hetzelfde playbook als e-mailphishing en vishing.
4. Werk phishingrespons bij zodat tokenintrekking en sessiereview prioriteit krijgen, niet alleen wachtwoordresets.

---

---

Kortom: het patroon van vandaag is omgekeerd vertrouwen. Blootgestelde portals, sandbox-runtimes, samenwerkingstools en vertrouwde inlogpagina’s worden aanvalsoppervlak zodra teams de verpakking aanzien voor de controle.