DAGELIJKSE BRIEFING
De Brotli-decoderfout die ten grondslag ligt aan de RCE-aanval in Node.js treft ook Bun, Python en andere veelgebruikte frameworks…
De briefing van vandaag behandelt wijdverspreide bugs in de Brotli-decoder, een lek in de toeleveringsketen van LiteLLM en nieuwe actieve exploits die door CISA zijn gesignaleerd.
5 verhalen3 min. leestijd
Risico's in de softwareleveringsketen en onopgeloste infrastructuurproblemen domineren de huidige beveiligingsontwikkelingen. Organisaties die afhankelijk zijn van open-sourcecomponenten en bedrijfsapparaten staan voor dringende onderhoudstaken.
Ten eerste heeft een geheugenbeschadigingskwetsbaarheid in Google's Brotli-decoder gevolgen voor veelgebruikte software-ecosystemen zoals Node.js, Bun, Python en Envoy. Tegelijkertijd heeft CISA actief misbruikte kwetsbaarheden in Collabora Online en Arista VeloCloud Orchestrator toegevoegd aan de catalogus met bekende misbruikte kwetsbaarheden.
Beveiligingsteams moeten onmiddellijk controleren op blootgestelde geheimen in ontwikkelaarsrepositories, patches van leveranciers toepassen voor perimeterbeveiligingssystemen die in de CISA-catalogus staan vermeld, en Brotli-afhankelijkheden in alle omgevingen bijwerken.
Gelekte LiteLLM-hoofdsleutel stelde aanvallers in staat GitHub-tokens te stelen en de releasepipeline te kapen.
Een gelekte hoofdsleutel voor het Agent Platform in een openbare GitHub-repository (LiteLLM-Labs/lite-harness) eind mei 2026 stelde aanvallers in staat GitHub-tokens te stelen. De dader gebruikte de gestolen toegang vervolgens om de release-pipeline van LiteLLM te kapen en een kwaadaardige versie van het Python-pakket te publiceren.
- Wat te doen
- Wissel openbare API-sleutels en GitHub-tokens, controleer CI/CD-releasepipelines en verifieer de integriteit van LiteLLM-pakketten.
CISA signaleert twee actief misbruikte kritieke beveiligingslekken in Collabora Online en Arista VeloCloud.
CISA heeft CVE-2026-110447 in Collabora Online Built-in CODE Server en CVE-2026-114625 in Arista VeloCloud Orchestrator toegevoegd aan de catalogus met bekende kwetsbaarheden, nadat deze actief in de praktijk waren misbruikt. De bugs maken respectievelijk OS-opdrachtinjectie en SQL-injectie mogelijk.
- Wat te doen
- Werk de ingebouwde CODE-server van Collabora Online bij naar versie 26.4.303 of later en pas de patches voor Arista VeloCloud Orchestrator toe.
De Brotli-decoderfout die ten grondslag ligt aan de RCE-aanval in Node.js treft ook Bun, Python en andere veelgebruikte software.
Een geheugenbeschadigingsfout in Google's Brotli-decoder komt voor in veel programma's die Brotli-gecomprimeerde gegevens uitpakken, waaronder Bun, de Python-pakketten Brotli en brotlicffi, en Envoy-proxies die zijn ingesteld om Brotli te decomprimeren.
- Waarom het ertoe doet
- Omdat elke getroffen applicatie een eigen kopie van Google's Brotli-decoder bevat, moeten organisaties die afhankelijk zijn van deze runtimes en proxies de updates van elke afzonderlijke leverancier volgen en toepassen om code-executie te voorkomen.
- Wat te doen
- Werk de betreffende runtime-omgevingen en pakketten bij, inclusief de afhankelijkheden van Bun, Envoy en Python Brotli, naar de gepatchte versies.
Google zegt dat Gmail- en Foto's-gegevens die met AI Search worden gedeeld, kunnen worden gebruikt voor gerichte advertenties.
Google heeft zijn privacybeleid per 16 oktober 2026 bijgewerkt en verduidelijkt dat gegevens die worden gedeeld vanuit Google Foto's, Gmail en Drive met AI-functies in Zoeken of Gemini-apps, kunnen worden verwerkt om gerichte advertenties weer te geven.
- Waarom het ertoe doet
- Gebruikers en organisaties die persoonlijke gegevens of gegevens uit hun werkplek integreren in Google Search en Gemini AI-functies, kunnen content uit Gmail, Foto's en Drive blootstellen aan gepersonaliseerde advertenties.
- Wat te doen
- Controleer de privacyinstellingen van uw Google-account om het delen van gegevens tussen Workspace-apps en Zoeken/Gemini te beperken.
Onderzoekers hebben meer dan 2 miljoen updates uitgebracht om de Popcorn Time Updater op afstand uit te schakelen, die een botnet zou kunnen voeden.
Het Nederlandse beveiligingsbedrijf Eye Security voerde Operatie IXIM uit, waarbij meer dan twee miljoen updates op afstand werden verspreid om een kwetsbare achtergrondupdater (Updater.exe) in de verlaten Time4Popcorn-applicatie uit te schakelen. Het niet-geregistreerde domein dat door de updater werd aangeroepen, vormde een risico om te worden gekaapt door een grootschalig botnet.
- Wat te doen
- Spoor ongeautoriseerde, verouderde software zoals Time4Popcorn op en verwijder deze, en blokkeer verbindingen met niet-geverifieerde updatedomeinen.
Belangrijkste punten
- Update de Brotli-decoderimplementaties in Node.js, Bun, Python en Envoy om de geheugenbeschadigingsfout CVE-2026-111497 te verhelpen.
- Patch Collabora Online Built-in CODE Server (CVE-2026-110447) en Arista VeloCloud Orchestrator (CVE-2026-114625) naar aanleiding van waarschuwingen van CISA.