Crisus · laatst bijgewerkt 9 november, 12:56

TCP2Shell: lek in de TCP-code van Linux

Een lek in de manier waarop de Linux-kernel een TCP-verbinding opzet: TCP2Shell. Volgens Anthropic haalt een aanvaller er op afstand root mee, zonder in te loggen, op een server met MPTCP. Debian, SUSE, Oracle, Amazon, Red Hat en AlmaLinux hebben de fix. Ubuntu sinds 6 november ook, voor 22.04 tot en met 26.10: in de gewone updates, zonder advisory. Niet in paniek raken. Wel bijwerken en herstarten.

15 oktoberSinds 15 oktober staat de fix in de kernel. Sinds 6 november ook in de updates van Ubuntu, zonder advisory. Elke minuut op deze klok is een minuut dat een server zonder herstart nog de oude kernel draait. Is de fix er al voor mij?

Het internet is toch zeker 0 dagen zonder nieuwe crisus. Plechtig teruggezet op 24 oktober om 21:00. Eerlijk is eerlijk: HTTP2Shell kwam op dezelfde woensdag als PHP2Shell. De vorige stand van 3 dagen en 5 uur klopte dus nooit. Wij hadden het druk.

Updates

1. 9 november 12:56

   Grote schoonmaak. De voorpagina is opgeruimd. De updates van 23 tot en met 30 oktober staan weer alleen in het archief van HTTP2Shell, de latere over PHP2Shell bij PHP2Shell. Oude links sturen u daar vanzelf heen. Van de radar ging alles af wat geen nieuws meer is, en er kwamen vier regels bij: WordPress, het Cybersecuritybeeld, nieuws over OpenSSH en een lek dat al sinds 1971 bestaat. Alles staat nog in git. Wij gooien niets weg. Wij ruimen alleen op.

2. 7 november 06:00

   TCP2Shell: Ubuntu heeft de kernel. Zonder briefje. In de nacht van donderdag op vrijdag zette Ubuntu de kernels met de fix in de gewone updates, zonder Ubuntu Security Notice: 5.15.0-203.213 voor 22.04 (6 november, 00:22), 6.8.0-149.149 voor 24.04 en 7.0.0-43.43 voor 26.04 (allebei 02:14), staat in de publicatiegeschiedenis op Launchpad. Het zijn precies de nummers die de CVE-pagina van Ubuntu sinds begin november als “work in progress” noemt, en dat zegt die pagina vanochtend nog steeds. In de changelogs staat de fix uit de kernel, “ipv4: free inet_opt and ireq_opt after an RCU grace period”, als een van de honderden upstreamfixes: voor 22.04 in 5.15.223, voor 24.04 en 26.04 in de stable patchsets van 21 en 20 oktober. Alleen 26.10 staat sinds vannacht op “Fixed”: 7.3.0-10.10, een kernel 7.3 die de fix al had, sinds 28 oktober in de updates en sinds 2 november in de security-pocket. 20.04 en ouder, Ubuntu Pro, staan nog op work in progress. Twee kanttekeningen. De kernels van 22.04, 24.04 en 26.04 staan in -updates, niet in -security: wie alleen beveiligingsupdates binnenlaat, zoals unattended-upgrades standaard doet, krijgt ze niet vanzelf. En een nieuwe kernel draait pas na een herstart. Dus: sudo apt update && sudo apt full-upgrade, sudo reboot, en dan uname -r. Drie weken na de fix levert Ubuntu de kernel, en vergeet het te zeggen. Het briefje komt later. Of niet. Herstarten mag nu al.

   Red Hat: ook OpenShift. Red Hat bracht op 6 november RHSA-2026:95346 uit, “Critical”: OpenShift Container Platform 4.22.22, met een nieuwe RHEL CoreOS-image (4.22.9.8) waarin de kernelfix zit. De eerste OpenShift met de fix. Volgens de gegevens bij de CVE-pagina staan OpenShift 4 op de images met RHEL 8, OpenShift 5 en RHEL AI 3 nog op “Affected”. De clusters moeten dus ook nog een keer rond. Dat doen ze zelf. Daar zijn ze voor.

3. 4 november 18:00

   TCP2Shell: iemand zoekt het internet af. Beveiligingsonderzoeker Marcus Hutchins ziet sinds 2 november residentiële proxy’s en vpn-servers die het hele internet afzoeken op poort 443, met MPTCP aan, schrijft Hutchins op 3 november op Mastodon. Gewone scanners praten geen MPTCP en er wordt niets naar de webserver gestuurd, dus Hutchins vermoedt dat dit zoeken naar CVE-2026-98432 is: een aanvaller die een lijst maakt. Een eigen scan van 30 oktober vond zo’n 2,1 miljoen servers die op poort 443 via MPTCP bereikbaar zijn, waarvan bijna 763.000 ook een TLS-verbinding opzetten; of ze gepatcht zijn, zegt dat niet. Een openbare exploit is er volgens Hutchins nog niet, wel code die een server laat crashen. Security.NL meldde het vanochtend. Red Hat schrijft intussen op zijn CVE-pagina dat gewoon IPv4-TCP-verkeer genoeg is om het geheugen van de kernel te beschadigen of de server te laten crashen: MPTCP is de weg van de exploit van Anthropic, geen voorwaarde voor het lek. Bij Ubuntu kwamen op 3 november tien kernel-advisories uit, USN-8959-1 tot en met USN-8968-1, met honderden CVE’s. Deze zit er niet bij: voor 22.04 is 5.15.0-202 uit, de fix zit in 203. Wie zoekt, die vindt. Wie wacht, staat op de lijst.

   En apt zelf lekt ook. Het programma waarmee u straks die kernel ophaalt, kreeg vandaag een eigen advisory: DSA-6607-1, CVE-2026-109518. Wie tussen uw server en de mirror zit, een kwaadaardige mirror of proxy, kan apt na de controle van de handtekening een ander pakket laten installeren. Als root, want zo installeert apt. De fix: apt 3.0.4 voor Debian 13, 2.6.2 voor Debian 12 (DLA-4880-1) en voor Ubuntu 22.04 tot en met 26.10 staan de pakketten sinds vanmiddag in de security-pocket, nog zonder Ubuntu Security Notice, zie Launchpad. Meer staat op de radar. Eerst apt bijwerken, dan de rest. Dat was altijd al de volgorde. Nu met reden.

4. 4 november 14:00

   TCP2Shell: Red Hat repareert ook RHEL 8.6. Vandaag verscheen RHSA-2026:94996: kernel 4.18.0-372.227.1.el8_6 voor RHEL 8.6 met verlengde ondersteuning (AUS en ELS), “Critical”. Na 9.4, 8.8, 9.6, 9.2, 10.0 en 8.4 is dat de zevende oude RHEL-versie met een kernel. Op de CVE-pagina staat nu geen enkele RHEL-versie meer open: de aparte regel voor de realtime-kernel van RHEL 9 is weg. Alleen de CoreOS-images van OpenShift 4 en 5 staan nog op “Affected”. Bijwerken en herstarten. Bij Ubuntu is er nog steeds geen Ubuntu Security Notice: 22.04 tot en met 26.10 staan op “work in progress”, 20.04 en ouder op “needed”, zie de CVE-pagina. 2021, 2023, 2024 en 2025 hadden al een kernel. Nu 2022 ook. De kolom op het tabblad is vol.

5. 4 november 02:30

   Binance: het begon met een sollicitatiegesprek. Binance beschrijft in zijn incidentrapport van 3 november hoe de diefstal van 29 oktober begon. In september benaderde iemand die zich voordeed als projectdirecteur een software-engineer van Binance via een vacaturesite. Na een gesprek met “HR” en een met de “CEO” moest de engineer een programmeeropdracht downloaden. Daarin zat malware die een onderdeel van pyenv in Homebrew verving. Op 20 oktober nam de aanvaller vanaf die laptop, met hulp van een interne AI-tool, de computers van twee collega’s over, onder wie iemand die containers mocht uitrollen. Op 29 oktober liet de aanvaller de interne signeerdienst van de hot wallets transacties ondertekenen, en hield via EIP-7702 nog greep op een wallet nadat de opnames waren stilgezet. Binance noemt 6,34 miljard dollar, waarvan 2,85 miljard bevroren of onderschept, en zegt dat gebruikers de schade niet dragen. De FBI wijst Noord-Korea aan, de groep TraderTraitor, ook bekend als Lazarus, meldt BleepingComputer. De grootste cryptoroof ooit begon met een sollicitatie. De aanvaller kreeg de baan.

Wat is er aan de hand?

Het lek

CVE-2026-98432: een use-after-free in de TCP-code van de kernel voor IPv4. Bij het opzetten van een verbinding met IP-opties (Record Route of Timestamp) kan de kernel geheugen lezen dat net is vrijgegeven, als een opnieuw verstuurde SYN tegelijk op een andere processor wordt afgehandeld. Het zit erin sinds kernel 4.4, uit 2016. IPv6 heeft er geen last van.

Wat is MPTCP?

Multipath TCP: één verbinding over meerdere netwerkpaden tegelijk, bijvoorbeeld wifi en 4G op een telefoon. Valt het ene pad weg, dan loopt de verbinding over het andere door. Het is een uitbreiding van TCP (RFC 8684). Apple gebruikt het sinds 2013 op iPhones, onder meer voor Siri, en Linux kan het sinds kernel 5.6 (mptcp.dev, Wikipedia). Voor de rest van het internet ziet het eruit als gewone TCP. Twee wegen naar Rome. Ook voor een aanvaller.

Waarom staat het aan?

MPTCP zit in de kernel, maar een programma moet er zelf om vragen. Bijna geen enkel programma doet dat. Behalve alles wat in Go is geschreven: sinds Go 1.24, uit februari 2025, vraagt een Go-server de kernel standaard om MPTCP, staat in de release notes van Go. De programmeur hoeft er niets voor te doen, en weet het meestal ook niet. Go zelf is niet lek. Het doet alleen de deur open naar het stuk kernel dat lek is.

Wat kan een aanvaller?

Het Frontier Red Team van Anthropic schreef op 27 oktober dat een nog niet uitgebracht Claude-model er een werkende exploit mee bouwde: op afstand, zonder in te loggen, root op een server met een MPTCP-listener (Anthropic). Een kernelpointer lekken duurde 48 minuten, de shell nog vijf. De exploit is niet gepubliceerd. Of het ook zonder MPTCP kan, is niet duidelijk. Ja, Claude is familie van de schrijver van deze pagina. We hebben het er thuis nog niet over gehad.

Ernst

CVSS 9,8, van het CVE-team van de kernel. Red Hat zei eerst 8,1, “Important”: de race is moeilijk te winnen. Sinds 30 oktober zegt Red Hat ook 9,8, “Critical”. Amazon houdt het op 8,1, Feedly op 5,9. Vier partijen, drie cijfers. Alle vier: bijwerken.

Welke versies?

Alles vanaf 4.4. De fix zit in 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 en 7.3.

Misbruik?

Nog niet gezien. Het lek staat niet op de KEV-lijst van CISA, en de exploit van Anthropic is niet openbaar. Wel wordt er gezocht: sinds 2 november ziet onderzoeker Marcus Hutchins scans over het hele internet die met MPTCP op poort 443 aankloppen (Mastodon, 3 november).

Waarom TCP2Shell?

Het lek heeft geen naam van zichzelf. Na PHP2Shell en HTTP2Shell kon het crisusteam niet meer terug.

Stand per platform, 06:00

• Debian 13Fix beschikbaarDSA-6568-1: linux 6.12.113-1.
• Debian 12Fix beschikbaarDLA-4841-1: linux 6.1.190-1. Het nieuwere pakket linux-6.12 sinds 22 oktober: DLA-4850-1, 6.12.113-1~deb12u1.
• UbuntuDeelsSinds 6 november in de gewone updates (-updates, niet -security): 5.15.0-203.213 voor 22.04, 6.8.0-149.149 voor 24.04 en 7.0.0-43.43 voor 26.04, zie Launchpad. Voor 26.10 7.3.0-10.10, sinds 28 oktober in de updates en sinds 2 november in de security-pocket. Nog geen Ubuntu Security Notice; de CVE-pagina zet alleen 26.10 op “Fixed”, 16.04 tot en met 26.04 nog op “work in progress”. Bijwerken en herstarten.
• Red HatFix beschikbaarSinds 1 november voor RHEL 8, 9 en 10: RHSA-2026:93412 tot en met 93415. Sinds 2 november ook RHEL for NVIDIA 10 (RHSA-2026:93775) en RHEL 9.4 met verlengde ondersteuning (RHSA-2026:94109), sinds 3 november RHEL 8.8 (RHSA-2026:94303), 9.6 (94438), 9.2 (94477 en 94558), 10.0 (94508) en 8.4 (94623) en sinds 4 november 8.6 (94996) met verlengde ondersteuning. Sinds 6 november ook OpenShift 4.22 (RHSA-2026:95346, versie 4.22.22). OpenShift 4 op de images met RHEL 8, OpenShift 5 en RHEL AI 3 staan nog op “Affected”, zie de CVE-pagina en het bulletin. RHEL 6 en 7 zijn niet geraakt.
• AlmaLinuxDeelsAlmaLinux 8 sinds 2 november: ALSA-2026:93414 (kernel 4.18.0-553.182.1.el8_10) en ALSA-2026:93415 (kernel-rt). Voor 9 en 10 nog niets in de errata.
• SUSEDeelsVoor de meeste producten is er een fix, een paar zijn nog onderweg, zie de CVE-pagina.
• Oracle LinuxFix beschikbaarDe UEK-kernels sinds 16 oktober (ELSA-2026-500397 tot en met 500399, nieuwere sinds 2 november). De Red Hat-compatibele kernel sinds 2 november voor Oracle Linux 8, 9 en 10 (ELSA-2026-93414, 93412 en 93413), zie de CVE-pagina.
• Amazon LinuxFix beschikbaarAlle kernels van Amazon Linux 2 en 2023, de standaardkernel van 2023 sinds 30 oktober (ALAS2023-2026-3365), zie ALAS.
• GoHerstartenSinds 1.24 staat MPTCP op listeners standaard aan. GODEBUG=multipathtcp=0 zet het uit, zie de GODEBUG-uitleg.
• Crisus.nlWerktGeen Node, geen PHP en geen Go. Gewoon HTML. Zoals in 1997.
• PaniekOnder controleEr is weer een spreadsheet. Dezelfde.

De oorlog duurt voort

Rusland voert sinds 2014 oorlog tegen Oekraïne. Die oorlog is niet voorbij. Deze klokken lopen door tot hij dat wel is.

Wilt u iets doen? Steun Oekraïne, bijvoorbeeld via Aid to Ukraine.

Op de radar

• Terminal2Shell Een lek in elk besturingssysteem sinds 1971: wie een terminal opent, krijgt een shell. Zo staat het op terminal2shell.com, met een CVSS van 11,0 op 10, een werkende proof-of-concept in de pagina zelf en één mitigatie die alles oplost: SHELL=/bin/false. Microsoft Paint is niet geraakt. Volgens de FAQ begint bijna elke 2Shell-PoC met het openen van een terminal, dus is dit het lek onder alle andere lekken. Het domein is van 24 oktober. Wij tellen ze al een maand. Wij hadden het kunnen weten.
• WordPress In de updatefunctie van WordPress zelf zit een lek dat al wordt misbruikt: CVE-2026-119977, CVSS 8,1, in WordPress 4.7 tot en met 7.1.3, meldt het NCSC. Tijdens een volledige update staan de tijdelijke bestanden even open op het web, en in dat korte moment kan een aanvaller zonder in te loggen code uitvoeren op de server (NCSC-2026-0466). De fix zit in WordPress 7.1.4 van 28 oktober; de backports voor oudere versies, tot 4.7, komen volgens WordPress zodra ze klaar zijn. CISA zette het op 3 november op de KEV-lijst. Volgens Security.NL zag Wordfence de eerste aanvallen op 29 oktober en sindsdien meer dan 240.000 pogingen; wie niet meteen kan bijwerken, blokkeert volgens Wordfence de PHP-bestanden in /wp-content/upgrade/. Het advies is updaten. Het lek zit in het updaten.
• Cybersecuritybeeld De tijd tussen het ontdekken en het misbruiken van een lek is gedaald “naar enkele uren waar dit eerder nog dagen kon zijn”, schrijft de NCTV op 6 november in het Cybersecuritybeeld Nederland 2026. “De time-to-patch moet daarom drastisch omlaag.” Volgens Nationaal Coördinator Marc Kuipers brengt AI de dreiging in een stroomversnelling; veel organisaties hebben de basismaatregelen niet op orde en het mkb heeft hulp nodig. Het kabinet komt met een actieprogramma, met een “digitale wasstraat” en, meldt Security.NL, een eigen scanplatform waarmee het NCSC zelf naar kwetsbaarheden zoekt. De dreiging gaat per uur. Crisus.nl ook.
• Plex Plex2Shell: vier lekken in Plex Media Server 1.43.2 en ouder (CVE-2026-96652, 96654, 96655 en 96656) die samen zonder inloggen code uitvoeren op de server, volgens Plex “actively and widely” misbruikt sinds een openbare proof-of-concept van 16 oktober. QNAP vraagt NAS-gebruikers op 6 november om meteen naar 1.43.3.10861 of nieuwer te gaan. Wie een oude Plex aan het internet had: opnieuw installeren en wachtwoorden vervangen, zie de update van 6 november 16:00. Geen remote access als het niet hoeft en poort 32400 niet doorsturen. De film kijkt u thuis. De aanvaller ook.
• APT In apt, de pakketbeheerder van Debian en Ubuntu, zit een lek waarmee iemand tussen uw server en de mirror, een kwaadaardige mirror of proxy, een pakket kan vervangen nadat apt de handtekening heeft gecontroleerd: DSA-6607-1, CVE-2026-109518, op afstand code uitvoeren als root. Apt voegt na een HTTP-redirect twee downloads met dezelfde URI samen, met een harde link; laat de aanvaller een download mislukken, dan probeert apt het opnieuw en kan die poging via de link een al gecontroleerd bestand overschrijven, legt apt-ontwikkelaar Julian Andres Klode uit op de deity-lijst. Het werkt alleen als Acquire::Retries aanstaat, en dat is sinds apt 2.3.2 standaard: Debian 12 en Ubuntu 22.04 en nieuwer. Canonical geeft het een 7,7. Gevonden door Max Justicz. De fix: 3.0.4 voor Debian 13, 2.6.2 voor Debian 12 (DLA-4880-1), en voor Ubuntu 22.04 tot en met 26.10 staan 2.4.15ubuntu0.1, 2.8.4ubuntu0.1, 3.2.1ubuntu0.1 en 3.3.3ubuntu0.1 sinds vanmiddag in de security-pocket, nog zonder Ubuntu Security Notice, zie Launchpad. Dezelfde update dicht ook een paar geheugenfouten in het lezen van .deb-bestanden. Security.NL meldt het ook. Het zit tenminste niet in de kernel. Alleen in het ding dat de kernel installeert.
• CVE’s Het aantal nieuwe CVE’s groeit exponentieel. Sinds mei komt er elke maand zo’n 22 procent bij: elke drie à vier maanden een verdubbeling, rekenen wij uit met de cijfers van de CVE Tracker. Die komen uit de officiële CVE-lijst. Op een logaritmische schaal is het een rechte lijn. In september waren het er 14.934, drie keer zoveel als een jaar eerder. Dit jaar zijn het er al 86.344, bijna twee keer zoveel als in heel 2025. De NVD telt hetzelfde. De EFF telde in oktober al 13.000 nieuwe nummers en vraagt om meer geld voor open source: de makers moeten al die meldingen ook nog verwerken. Het R-getal van de bugs staat ruim boven 1. Het is een superspreading party.
• DigiCert Certificaatautoriteit DigiCert heeft een archief met klantgegevens door een onbekende laten inzien: namen, zakelijke e-mailadressen, telefoonnummers en adressen, en bij een “small minority” ook het document waarmee een contactpersoon zich legitimeerde, zoals een rijbewijs of paspoort, schrijft DigiCert in zijn incidentrapport bij Mozilla. Bij een migratie op 4 februari 2025 verhuisde een intern systeem van achter de vpn naar een zone die van buiten bereikbaar was, met een registratieformulier dat voor iets anders bedoeld was: wie zich aanmeldde, kreeg zonder MFA leesrechten op het archief. DigiCert zag op 18 juni 2026 vreemde accounts op het systeem en zette het gat op 2 juli dicht, maar vermoedde pas op 12 oktober dat iemand tussen 27 juni en 2 juli ook echt had gelezen; op 19 oktober was dat bevestigd. Hoeveel klanten het raakt, zegt DigiCert niet. Certificaten en inloggegevens zijn volgens DigiCert niet geraakt en klanten hoeven niets te doen. Security.NL meldt het ook. De certificaten zijn veilig, zegt DigiCert. De paspoorten erbij waren dat even niet.
• OpenSSH OpenSSH 10.6p2 is uit met een noodoplossing voor een kritiek lek: op Linux-systemen met musl libc en zonder PAM kan een aanvaller via sshd langs de wachtwoordcontrole, staat in de release notes van 5 november. Alpine Linux is zo’n systeem. Systemen met glibc, met PAM of zonder Linux hebben er geen last van. Wie niet meteen kan bijwerken, zet PasswordAuthentication no of zet SSH uit, schrijft Damien Miller van OpenSSH. De oorzaak zit volgens OpenSSH buiten OpenSSH zelf, maar daar is het lek het snelst te dichten. Volgens de melder, die het uitlegt op sshhole.com, geeft musl bij een te lang wachtwoord een fout terug die precies lijkt op het wachtwoordveld van een geblokkeerd account; dat gedrag zit al sinds 2012 in musl. Het team hoorde er een dag eerder van en wachtte bewust niet: AI-agents vinden zulke lekken soms binnen uren opnieuw, dus een lang embargo helpt vooral aanvallers. Gemeld door Özgün Kültekin van Wakefield; Alpine had binnen een dag een update. Het lek heeft nu een nummer: CVE-2026-123158, CVSS 8,1, volgens het NCSC, dat aanraadt SSH-beheer niet rechtstreeks aan het internet te hangen. En het wordt misbruikt: watchTowr ziet botnets en cryptominers en Previdian zag de eerste aanvallen negen uur na de update, meldt Security.NL. Het embargo duurde een dag. De aanvallers hadden negen uur nodig.
• Chrome Chrome 157 (157.0.8103.38 en .39) dicht 213 beveiligingslekken, schrijft Google op 3 november. Zeven zijn kritiek, allemaal geheugenfouten in de grafische kant en de rendering: twee in Dawn, en in ANGLE, WebGL, Prerender, Geometry en Core. Veertien staan op naam van Xinyang Ge van Anthropic, “assisted by Claude”; ook OpenAI Codex Security staat in de lijst. Volgens Security.NL vond Google er zelf 130, en meldt Google geen misbruik. De AI vindt de lekken. Dichtdoen doet u nog zelf: de browser herstarten.
• Android In de Android-beveiligingsupdate van november zit een kritiek lek in het Framework waarmee een aanvaller op afstand code kan uitvoeren, zonder dat de gebruiker iets hoeft te doen: CVE-2026-58868, in Android 14 tot en met 17, schrijft Google op 2 november. Twee andere kritieke lekken in System, CVE-2026-58876 en CVE-2026-58936, maken dat ook mogelijk. Misbruik meldt Google niet. Wie patchniveau 2026-11-01 of 2026-11-05 heeft, is veilig, meldt Security.NL, dat er ook bij zegt dat 40 procent van de Android-telefoons geen updates meer krijgt. De update is er. De telefoon niet altijd.
• Ivanti Ivanti heeft nu ook de laatste twee lekken gedicht van de keten waarmee een aanvaller sinds 3 oktober Connect Secure-vpn-servers overnam, meldt Security.NL. Op 13 oktober kwam de fix voor CVE-2026-104935, de stap waarmee de aanvaller zonder in te loggen binnenkwam. De twee andere stappen volgden later: CVE-2026-111357, waarbij de rootdienst dsinvoked configuratie uit de DSCache vertrouwt en de aanvaller zo root wordt, en CVE-2026-118527, bestanden met een voorspelbare naam op een bekende plek. Volexity, dat de aanval vond, zag de aanvaller (UTA0576) daarna in Active Directory zoeken naar LAPS-wachtwoorden en BitLocker-herstelsleutels, en vermoedt dat die taalmodellen gebruikt om exploits te bouwen. CISA zette de twee lekken op 30 oktober op de KEV-lijst. Welke versies de fix hebben, staat in de advisory van Ivanti. Drie lekken, één keten, twee patchrondes. Ivanti dicht in afleveringen.
• GitLab Ruim duizend GitLab-servers hebben nog het lek waarmee Alpine Linux werd aangevallen, telt Shadowserver op 1 november: CVE-2026-97229, een integer overflow in de regex-compiler van CI/CD, CVSS 10,0, gedicht op 12 oktober in 19.4.2, 19.3.5 en 19.2.8. Het tweede regex-lek, CVE-2026-110264 (zie Ruby op deze lijst), kreeg zijn fix op 21 oktober in 19.5.1 en de oudere takken. Die update missen ruim elfduizend servers. In Nederland gaat het om 14 en 175 servers, schrijft Security.NL. De pipeline draait vanzelf. De update niet.
• Koelsystemen In de nacht van 1 op 2 november zijn in Nederland de koelsystemen van minstens zeventien bedrijven aangevallen en warmer gezet, zegt een woordvoerder van fabrikant Danfoss tegen de NOS: slagers en buurtwinkels, geen grote ketens. Een vrieshuis stond op min 10 in plaats van min 20 graden. De systemen hingen direct aan het internet, met het standaardwachtwoord; Danfoss had klanten op 13 oktober al gevraagd ze eraf te halen. In België moesten winkels van Carrefour, Delhaize en Spar producten weggooien en soms een dag dicht, schrijft Security.NL; ook Luxemburg, Zweden, Ierland en Estland melden aanvallen. Beveiligingsbedrijf Previdian zag op 27 oktober pogingen op een lokaas-Danfoss met het standaard supervisorwachtwoord 12345, meldt Security.NL. Kevin Beaumont bekeek de getroffen apparaten: via een 4G-modem direct aan het internet, beheerinterface open, geen patches, en veel zijn end-of-life en krijgen er geen meer, schrijft Beaumont. Het NCSC onderzoekt het en geeft het advies dat u al kende: niet rechtstreeks aan het internet, anders alleen vanaf vertrouwde IP-adressen, sterke wachtwoorden, updates. Het standaardwachtwoord staat in de handleiding. De handleiding staat online. De koeling ook.
• Android-tv-boxes Fabrikant Videostrong bouwde jarenlang zelf een achterdeur in de firmware van zijn Android-tv-boxes, schrijft Google op 2 november: XCPE, goed voor meer dan 1,3 miljoen apparaten in een botnet, plus wat telezorgapparaten, karaokemachines en reclameschermen. De app draait met systeemrechten, wist de toestemmingsinstellingen, zet Google Play Protect uit en komt na een herstart terug uit de oem-partitie. Videostrong verkocht volgens Google toegang aan “affiliates”, die er proxynetwerken en advertentiefraude op draaiden; hun domeinen uit de lucht halen snijdt volgens Google nog minstens tien miljoen andere besmette apparaten af. Google deed dat samen met de Japanse politie, Lumen, HUMAN, Plume, Synthient en TrendAI, liet de servers via de rechter offline halen en verbiedt Videostrong nog gecertificeerde Android-apparaten te maken, meldt ook Security.NL. De code werd pas na de eerste start geladen, “to exploit a gap in our tests”, erkent Google. Voor de verandering geen gehackte toeleveringsketen. De fabriek deed het zelf.
• Linux Een fout in de TCP-code van de kernel voor IPv4 (CVE-2026-98432): bij een opnieuw verstuurde SYN kan de kernel geheugen lezen dat net is vrijgegeven. De kernel zelf geeft het een 9,8, Feedly een 5,9. Het is een race, dus vooral een crash; misbruik is niet bekend. Debian heeft de fix (DSA-6568-1), Ubuntu sinds 6 november ook in de gewone updates van 22.04 tot en met 26.10, zonder advisory. Wie het eerst komt, wie het eerst vrijgeeft.
• PHP PHP2Shell zit ook in printers: Xerox bracht op 5 november patches uit voor de AltaLink 80xx, EC80xx, EC78xx en WorkCentre 3655 die PHP alleen anders instellen, de VersaLink en EC81xx wachten nog, en Triumph-Adler (Kyocera) heeft een patch voor MyQ en aQrate 10.2, zie de update van 6 november. Cisco heeft sinds 6 november voor al zijn geraakte producten een fix, als laatste 26.2.1.9 voor Ultra-Reliable Wireless Backhaul en Unified Industrial Wireless Software, zie de update van 16:00. De fix voor CVE-2026-115560 komt met de volgende gewone release. Tot dan staat de uploadvoortgang van sessies uit, als het goed is. Op Hacker News zette iemand een bitcoinsleutel op een server met een PHP van vóór de lekken: Steal My Bitcoin. Een dag lang lukte het niemand. Dat kon ook niet: tot zondagmiddag stuurde de server alleen HTML, en dan komt PHP2Shell nooit langs, gaf de maker toe. Nu er een .php-pagina staat, denkt onderzoeker LiveOverflow dat hij wél te kraken is. Een dag zonder hack zegt dus vooral iets over de dag.
• Patch Tuesday Dinsdag 10 november. Zoals elke maand.

Vaste waarden

• Stroomnet50 Hz, ongeveer
• MillenniumbugNog steeds niets
• Volgende Patch TuesdayDe tweede dinsdag van de maand
• Tot het jaar-2038-probleem19 januari 2038
• Lekken met 2Shell in de naam, oktober5: Plex2Shell, PHP2Shell, Node2Shell, HTTP2Shell, Broccoli2Shell
• crisus.nlHTTP 200

Bronnen

• CVE-2026-98432 het record van het CVE-team van de kernel, CVSS 9,8.
• Anthropic: Discovering and exploiting vulnerabilities in critical, real-world software with Claude, 27 oktober. De exploit op servers met MPTCP.
• Marcus Hutchins op Mastodon, 3 november. De scans met MPTCP op poort 443, en de 2,1 miljoen bereikbare servers.
• Go 1.24 Release Notes. ListenConfig gebruikt MPTCP standaard op Linux.
• Go: GODEBUG. multipathtcp=0 zet het uit.
• RFF: how to block the Linux TCP bug. De nftables-regel en de bijwerkingen.
• RFC 7126. Waarom IP-opties aan de rand weg mogen.
• RFC 8684. Wat MPTCP is.
• Debian security tracker: DSA-6568-1, DLA-4841-1 en DLA-4850-1.
• Ubuntu: CVE-2026-98432: 26.10 fixed in 7.3.0-10.10, 16.04 tot en met 26.04 work in progress, nog geen USN.
• Launchpad: linux in Ubuntu: 5.15.0-203.213, 6.8.0-149.149 en 7.0.0-43.43 sinds 6 november in de updates, 7.3.0-10.10 sinds 28 oktober; de changelogs met de fix.
• Red Hat: CVE-2026-98432: Critical, 9,8, fix voor RHEL 8, 9 en 10 (RHSA-2026:93412 tot en met 93415), RHEL for NVIDIA 10 (RHSA-2026:93775), RHEL 9.4, 8.8, 9.6, 9.2, 10.0, 8.4 en 8.6 met verlengde ondersteuning (RHSA-2026:94109, 94303, 94438, 94477, 94558, 94508, 94623 en 94996) en OpenShift 4.22 (RHSA-2026:95346).
• Red Hat: RHSB-2026-016: het bulletin, met de nftables-regel.
• SUSE: CVE-2026-98432: de meeste producten hebben de fix.
• Oracle Linux: CVE-2026-98432: de UEK-kernels, en de Red Hat-compatibele kernel van Oracle Linux 8, 9 en 10 (ELSA-2026-93414, 93412 en 93413).
• AlmaLinux: ALSA-2026:93414 en ALSA-2026:93415: de kernels van AlmaLinux 8.
• Amazon Linux: CVE-2026-98432: alle kernels van Amazon Linux 2 en 2023.

Deze pagina is een grap. De feiten hierboven zijn dat niet. Twijfelt u? Dan wint de bron.

Eerdere crisussen

Alles van vroeger, met de originele beelden en de 503-pagina’s, hangt in het Crisus-museum.

• 21 oktober 2026HTTP2Shell

  Een kritiek lek in Brotli, de compressie van Google, in Node.js, Python en half de HTTP-clients van de wereld. Een week later op de KEV-lijst. Het archief.

• 21 oktober 2026PHP2Shell

  Twee kritieke lekken in PHP. Half Nederland haalt uit voorzorg zijn sites offline, van DigiD tot de KNVB, en de patch komt een halfuur te vroeg. Alles staat hier nog, met alle updates.

• 19 juli 2024Het Blauwe Scherm

  Een update legt de halve wereld plat. Wij draaiden Linux. We hebben het er sindsdien nooit meer over gehad. Elke dag.

• december 2021Log4Shell

  Een logbestand dat zelf code uitvoert. Wat kan er misgaan. Het antwoord staat op OnLogius.

• 2020 tot 2024Het coronadashboard

  Onze parodie op het dashboard van de Rijksoverheid, van juli 2020 tot het origineel op 2 april 2024 stopte. Nu een gedenkplaats. Neem gerust een bloem mee.

• juli 2020PKIoverheid

  The curious case of the Dangerous Delegated Responder Cert.

• mei 2020IC-vakantie

  Een nep-NL-Alert met een foto van een IC-bed: “Even lekker weg deze zomer? Wij hebben een bed voor je vrij!” Het enige reisaanbod waar u beter niet op kon ingaan.

• 31 maart 2020Het Corona-Lied

  Een nep-NL-Alert: alle radiozenders zenden het Corona-Lied uit, dus “zet uw radio uit en haal de stekker 5 minuten uit het stopcontact”. Het eerste advies op crisus.nl om iets uit te zetten. Niet het laatste.

• 27 september 2019CyberBunker

  De Duitse politie valt de bunker in Traben-Trarbach binnen. Op crisus.nl hangt het bord: “Dieser Server wurde beschlagnahmt.”

• 24 juni 2019De 112-storing

  112 ligt eruit en crisus.nl gaat live, met de noodnummers voor die avond. Onze geboortedag. Die nummers staan hier bewust niet meer: bel gewoon 112.

• april 2014Heartbleed

  Het eerste lek met een eigen logo. Wij hebben er nog steeds een sticker van.

• 1 januari 2000De millenniumbug

  Er gebeurde niets. Graag gedaan.