DAGELIJKSE BRIEFING
Node2Shell RCE, waarschuwing voor niet-gepatchte PHP en kwetsbaarheid in Python Pillow
De briefing van vandaag behandelt de risico's van het uitvoeren van code op afstand in Node.js en Python Pillow, een niet-gepatchte PHP-configuratiewaarschuwing en een backdoor in een mesh-netwerk die in Oekraïne wordt gebruikt.
5 verhalen3 min. leestijd
Webapplicatie-runtimes en populaire afhankelijkheden staan tegenwoordig centraal, met nieuwe aan het licht gekomen kwetsbaarheden voor code-executie in Node.js, PHP en de Pillow-afbeeldingsbibliotheek van Python. Organisaties die webplatformen beheren, moeten deze essentiële servercomponenten controleren en updates snel doorvoeren.
Tegelijkertijd tonen gerichte cyberaanvallen steeds geavanceerdere persistentietactieken aan. De cybercriminelen Sandworm en UAC-0099 gebruikten een nieuwe mesh-netwerk-backdoor in combinatie met datawipers, wat het belang onderstreept van het monitoren van niet-traditionele command-and-control-kanalen binnen kritieke infrastructuur.
Een kritieke kwetsbaarheid in de populaire Pillow-afbeeldingsbibliotheek van Python maakt het mogelijk om code uit te voeren via een speciaal geprepareerde afbeelding.
Een kritieke kwetsbaarheid in de Pillow-bibliotheek van Python (CVE-2026-112900) maakt het mogelijk om op afstand code uit te voeren bij het verwerken van EPS-afbeeldingen. Pillow geeft bestandsnamen door aan Ghostscript zonder validatie, waardoor command-injectie mogelijk is via zorgvuldig samengestelde bestandsnamen. De kwetsbaarheid is verholpen in Pillow versie 13.0.0.
- Waarom het ertoe doet
- Pillow wordt veelvuldig gebruikt in webapplicaties, beeldverwerkingsworkflows en machine learning-pipelines, waardoor systemen die onbetrouwbare afbeeldingen verwerken, blootgesteld worden aan het uitvoeren van commando's.
Hackers met banden met Rusland gebruikten een nieuwe backdoor in een mesh-netwerk bij een verwoestende aanval op Oekraïne.
De door de Russische staat gesteunde dreigingsgroep Sandworm werkte samen met UAC-0099 bij een verwoestende aanval op een Oekraïens logistiek bedrijf. UAC-0099 zette de MATCHWOK-backdoor en een nieuwe mesh-netwerkbackdoor, MythicRatatoskr, in en communiceerde via Yggdrasil voordat ze de toegang overdroegen aan Sandworm om een datawisser uit te voeren.
- Waarom het ertoe doet
- Aanvallers maken gebruik van nieuwe C2-infrastructuur via mesh-netwerken zoals Yggdrasil om detectie te omzeilen voordat ze destructieve datawissers lanceren.
Onderzoekers demonstreren een RCE-exploit met Node2Shell op een Node.js-build met behulp van speciaal geconstrueerde Brotli-data.
Onderzoekers hebben een werkende Node2Shell-exploit voor het uitvoeren van code op afstand gedemonstreerd tegen officiële Node.js 24.22.0 Linux arm64-builds. De exploit richt zich op een kwetsbaarheid in de Brotli-decoder (CVE-2026-111497) door kwaadaardige gecomprimeerde data door te geven om willekeurige code uit te voeren. Opgeloste versies, waaronder Node.js 24.22.1, weigeren de payload.
- Waarom het ertoe doet
- Applicaties die onbetrouwbare Brotli-gecomprimeerde data decoderen met behulp van kwetsbare Node.js-builds, zijn vatbaar voor uitvoering van code op afstand.
PHP waarschuwt voor een nieuwe, nog niet gepatchte RCE-kwetsbaarheid, twee dagen na de noodpatches voor PHP2Shell.
PHP heeft gewaarschuwd voor CVE-2026-115560, een niet-gepatchte RCE-kwetsbaarheid die van invloed is op configuraties waarbij session.serialize_handler is ingesteld op php_binary of php_serialize. Deze waarschuwing volgt op noodpatches voor CVE-2026-109618 en CVE-2026-109619. PHP brengt geen noodpatch uit en adviseert om de voortgang van sessie-uploads uit te schakelen.
- Waarom het ertoe doet
- Webapplicaties met specifieke PHP-sessieconfiguratieopties blijven kwetsbaar voor het uitvoeren van code op afstand tot de volgende routine-update.
HPE verhelpt acht RCE- en authenticatie-bypass-AOS-kwetsbaarheden met de hoogste ernstgraad.
De verificatiepagina van BleepingComputer gaf een Cloudflare-beveiligingsfout, waardoor het niet mogelijk was om details over de HPE-patch voor AOS-kwetsbaarheden op te halen.
Belangrijkste punten
- Update Node.js naar versie 24.22.1 om het uitvoeren van code op afstand via de Brotli-decoderkwetsbaarheid CVE-2026-111497 te voorkomen.
- Actoren met banden met Rusland gebruikten de MythicRatatoskr-achterdeur om via het Yggdrasil-meshnetwerk te communiceren voorafgaand aan een aanval waarbij alle gegevens werden gewist.