Auteur: Systeem Beheerder

GitLab heeft meerdere kwetsbaarheden verholpen in GitLab Enterprise Edition (EE) en Community Edition (CE) versies variërend van 12.0 tot en met 19.2.2. De kwetsbaarheden betreffen verschillende aspecten van GitLab, waaronder onjuiste privilege-toewijzing waarbij gebruikers met een pending lidmaatschapsstatus onbedoeld permissies konden erven van custom rollen.

Verder zijn er problemen met ontbrekende autorisatiecontroles op API-endpoints, waardoor gebruikers met ontwikkelaarsrollen toegang konden krijgen tot externe statuscheckconfiguraties en beperkte merge request informatie van private projecten.

Er is ook een Denial-of-Service mogelijk door onjuiste inputvalidatie, en cross-site scripting (XSS) kwetsbaarheden in de analytics dashboard component door onvoldoende sanitisatie van gebruikersinvoer.

Daarnaast konden gebruikers met lagere rechten bepaalde package registry metadata wijzigen en CI/CD pipelines op beschermde branches triggeren zonder de juiste permissies. Er waren ook autorisatieproblemen die het mogelijk maakten om project- en groepsinstellingen ongeautoriseerd te wijzigen, en een GraphQL query die toegang gaf tot beleidsconfiguraties van niet-toegestane namespaces.

Ten slotte was er een probleem met onjuiste autorisatie van identiteitinformatie, wat leidde tot verkeerde toewijzing van AI-gebruik aan andere namespaces.

Deze kwetsbaarheden kunnen leiden tot ongeautoriseerde toegang, wijziging van gegevens, privilege-escalatie, en verstoring van de beschikbaarheid binnen de GitLab Enterprise Edition omgeving.

Fortinet heeft een kwetsbaarheid verholpen in FortiClient voor Windows. De kwetsbaarheid betreft een klassieke buffer overflow in de verwerking van DNS response packets. Deze ontstaat door een buffer copy operatie zonder controle op de grootte van de input. Hierdoor kan een niet-geauthenticeerde aanvaller kwaadaardige DNS responses opstellen en versturen. Bij succesvolle exploitatie kan de aanvaller willekeurige code uitvoeren binnen de context van de FortiClient applicatie.

Cisco heeft een kwetsbaarheid verholpen in Cisco Secure Firewall ASA en FTD software. De kwetsbaarheid bevindt zich in de heap inspection binnen de Remote Access SSL VPN-service. Deze ontstaat door onvoldoende foutcontrole tijdens de verwerking van HTTP-verzoeken. Een niet-geauthenticeerde externe aanvaller kan speciaal opgemaakte HTTP-verzoeken versturen om de getroffen apparaten onverwacht te laten herstarten, wat leidt tot een Denial-of-Service. De kwetsbaarheid treft netwerkbeveiligingsapparaten die gebruikt worden voor veilige externe toegang.

Adobe heeft meerdere kwetsbaarheden verholpen in Adobe ColdFusion versies 2025.0.11, 2023.0.22 en eerdere versies. De kwetsbaarheden in Adobe ColdFusion kunnen door ongeauthenticeerde kwaadwillenden worden misbruikt om willekeurige code uit te voeren op afstand, beveiligingsmaatregelen te omzeilen, rechten te verhogen op het systeem of middels DoS de werking van de applicatie te verstoren.

Zoom heeft kwetsbaarheden verholpen in Zoom Clients en Zoom VDI Client software. De Zoom Clients bevatten meerdere kwetsbaarheden in de annotator functie. Eén betreft een ontbrekende bounds check die kan leiden tot een buffer overwrite, waardoor een externe deelnemer via netwerktoegang mogelijk willekeurige code kan uitvoeren op het apparaat van een andere deelnemer. Een andere kwetsbaarheid in dezelfde functie betreft een buffer over-read, die een denial-of-service kan veroorzaken door crashes of onderbrekingen van de dienst tijdens vergaderingen. Daarnaast is er een use-after-free kwetsbaarheid in de annotator functie die eveneens door een externe deelnemer via netwerktoegang kan worden misbruikt om willekeurige code uit te voeren op het apparaat van een andere deelnemer. Verder bevatten de Zoom VDI Client en de bijbehorende plugins een path traversal kwetsbaarheid die door een geauthenticeerde gebruiker met lokale toegang kan worden misbruikt. Deze kwetsbaarheid ontstaat door onjuiste validatie van bestandsroutes, waardoor toegang tot bestanden buiten de bedoelde directorystructuur mogelijk is, wat kan leiden tot ongeautoriseerde toegang tot gegevens.

Apple heeft een kwetsbaarheid verholpen in de Screen Sharing feature van macOS versies Sequoia 15.7.9, Sonoma 14.8.9 en Tahoe 26.6.1. De kwetsbaarheid betreft een authenticatieprobleem in de Screen Sharing functionaliteit waarbij netwerkaanvallers toegang kunnen verkrijgen zonder geldige inloggegevens. Dit wordt mogelijk gemaakt door onvoldoende state management tijdens het authenticatieproces. Hierdoor kunnen onbevoegden authenticatiepogingen uitvoeren die normaal niet geaccepteerd zouden worden.

Update: Het NCSC heeft een melding ontvangen waaruit blijkt dat er actief misbruik van deze kwetbaarheid is waargenomen op meerdere systemen waarop poort 5900 vanaf het internet bereikbaar was. In al deze gevallen was root toegang verkregen op het getroffen systeem en een Monero crypto miner geplaatst.

Adobe heeft meerdere kwetsbaarheden verholpen in Adobe Commerce. De kwetsbaarheden betreffen voornamelijk incorrecte autorisatie, waardoor een aanvaller met verschillende privilege-niveaus beveiligingscontroles kan omzeilen. Dit stelt de aanvaller in staat om zonder gebruikersinteractie ongeautoriseerde lees- en schrijfrechten te verkrijgen, toegang te krijgen tot gevoelige data, en privileges te escaleren binnen het systeem. Daarnaast is er een stored Cross-Site Scripting (XSS) kwetsbaarheid die het mogelijk maakt voor laaggeprivilegieerde aanvallers om kwaadaardige JavaScript-code in formulier velden te injecteren. Deze code wordt uitgevoerd in de browsers van slachtoffers, wat kan leiden tot ongeautoriseerde acties zoals sessiekaping en toegang tot gebruikersaccounts. De exploitatie van deze kwetsbaarheden kan leiden tot wijzigingen in de integriteit van het platform, ongeautoriseerde toegang tot bronnen en mogelijke verstoring van de beschikbaarheid.

Microsoft heeft een kwetsbaarheid verholpen in Power BI server. Een kwaadwillende kan de kwetsbaarheid misbruiken om willekeurige code uit te voeren op de server.

Voor succesvol misbruik moet de kwaadwillende beschikken over voorafgaande authenticatie.

Microsoft heeft kwetsbaarheden verholpen in Dynamics, zowel online als on-premise. De kwetsbaarheden stellen een kwaadwillende in staat om zich verhoogde rechten toe te kennen, willekeurige code uit te voeren en/of toegang te krijgen tot gevoelige gegevens.

De ernstigste kwetsbaarheid heeft kenmerk **CVE-2026-59118** toegewezen gekregen en bevindt zich in Power Apps. Deze kwetsbaarheid is echter reeds door Microsoft zelf centraal verholpen en slechts opgenomen ter informatie. Voor deze kwetsbaarheid is geen actie (meer) vereist.

Microsoft heeft kwetsbaarheden verholpen in diverse Office producten. Een kwaadwillende kan de kwetsbaarheden misbruiken om aanvallen uit te voeren die kunnen leiden tot de categorieën schade zoals beschreven in onderstaande tabel.

Voor succesvol misbruik moet de kwaadwillende het slachtoffer misleiden een malafide bestand te openen of link te volgen.

In onderstaande tabel wordt de kwetsbaarheid met kenmerk **CVE-2026-65667** genoemd met een CVSS score van 10.0. Ook worden de kwetsbaarheden met kenmerk **CVE-2026-50515, CVE-2026-62896** en **CVE-2026-70332** genoemd, elk met een CVSS score van 9 en hoger.
Deze kwetsbaarheden zijn echter reeds centraal verholpen door microsoft en slechts opgenomen ter informatie. Hiervoor zijn geen acties vereist.

De kwetsbaarheid met kenmerk **CVE-2026-70306** heeft ook een CVSS score hoger dan 9 en vereist **wel** actie. Deze kwetsbaarheid bevindt zich in Sharepoint en stelt een kwaadwillende in staat om middels een Cross-site-scripting-aanval willekeurige code uit te voeren in de context van het slachtoffer.

“`
Microsoft OneDrive:
|—————-|——|————————————-|
| CVE-ID | CVSS | Impact |
|—————-|——|————————————-|
| CVE-2026-65680 | 6.70 | Verkrijgen van verhoogde rechten |
|—————-|——|————————————-|

Azure SQL Managed Instance:
|—————-|——|————————————-|
| CVE-ID | CVSS | Impact |
|—————-|——|————————————-|
| CVE-2026-62836 | 8.70 | Verkrijgen van verhoogde rechten |
|—————-|——|————————————-|

Microsoft Teams for Android:
|—————-|——|————————————-|
| CVE-ID | CVSS | Impact |
|—————-|——|————————————-|
| CVE-2026-65768 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2026-65767 | 8.80 | Voordoen als andere gebruiker |
|—————-|——|————————————-|

Microsoft Teams:
|—————-|——|————————————-|
| CVE-ID | CVSS | Impact |
|—————-|——|————————————-|
| CVE-2026-62896 | 9.60 | Verkrijgen van verhoogde rechten |
| CVE-2026-62918 | 7.50 | Voordoen als andere gebruiker |
| CVE-2026-65667 | 10.0 | Verkrijgen van verhoogde rechten |
|—————-|——|————————————-|

Microsoft Office Word:
|—————-|——|————————————-|
| CVE-ID | CVSS | Impact |
|—————-|——|————————————-|
| CVE-2026-63518 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-63521 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-70311 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-70310 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-70319 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-58651 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-63525 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-63528 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-63527 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-63530 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-63531 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-64905 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-64907 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-64915 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-64917 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-66806 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-66810 | 5.50 | Toegang tot gevoelige gegevens |
|—————-|——|————————————-|

Microsoft Office:
|—————-|——|————————————-|
| CVE-ID | CVSS | Impact |
|—————-|——|————————————-|
| CVE-2026-63513 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-63515 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-63517 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-63519 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-65657 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-65656 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-65661 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-65664 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-68792 | 7.80 | Verkrijgen van verhoogde rechten |
| CVE-2026-70315 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-70314 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-70317 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-70323 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-62842 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-63524 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-63526 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-63529 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-63532 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-63533 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-64898 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-64899 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-64903 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-64904 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-64909 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-64910 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-64911 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-66807 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-66809 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-70130 | 8.40 | Uitvoeren van willekeurige code |
|—————-|——|————————————-|

Microsoft Office PowerPoint:
|—————-|——|————————————-|
| CVE-ID | CVSS | Impact |
|—————-|——|————————————-|
| CVE-2026-68809 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-70312 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-70313 | 7.80 | Toegang tot gevoelige gegevens |
| CVE-2026-70316 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-70325 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-70320 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-70322 | 5.50 | Toegang tot gevoelige gegevens |
|—————-|——|————————————-|

Microsoft Office Excel:
|—————-|——|————————————-|
| CVE-ID | CVSS | Impact |
|—————-|——|————————————-|
| CVE-2026-65807 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2026-68793 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-68794 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-68795 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-68796 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-68800 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-68802 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-68807 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-68806 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-68808 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-68810 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-68811 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-68813 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-68815 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-68816 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-70318 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-70327 | 6.50 | Toegang tot gevoelige gegevens |
| CVE-2026-70328 | 6.50 | Toegang tot gevoelige gegevens |
| CVE-2026-68797 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-68798 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-68799 | 5.50 | Toegang tot gevoelige gegevens |
| CVE-2026-68801 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-68803 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-68804 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-68805 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-68812 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-68814 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-68817 | 7.80 | Uitvoeren van willekeurige code |
|—————-|——|————————————-|

Microsoft Office Outlook:
|—————-|——|————————————-|
| CVE-ID | CVSS | Impact |
|—————-|——|————————————-|
| CVE-2026-70329 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2026-62882 | 4.30 | Voordoen als andere gebruiker |
|—————-|——|————————————-|

Azure Service Bus:
|—————-|——|————————————-|
| CVE-ID | CVSS | Impact |
|—————-|——|————————————-|
| CVE-2026-50515 | 9.90 | Uitvoeren van willekeurige code |
|—————-|——|————————————-|

Microsoft Office Access:
|—————-|——|————————————-|
| CVE-ID | CVSS | Impact |
|—————-|——|————————————-|
| CVE-2026-64906 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-64912 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-64908 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-64914 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-64920 | 7.80 | Uitvoeren van willekeurige code |
| CVE-2026-64919 | 7.80 | Uitvoeren van willekeurige code |
|—————-|——|————————————-|

Microsoft Teams Mobile:
|—————-|——|————————————-|
| CVE-ID | CVSS | Impact |
|—————-|——|————————————-|
| CVE-2026-65769 | 6.50 | Toegang tot gevoelige gegevens |
|—————-|——|————————————-|

Microsoft Office SharePoint:
|—————-|——|————————————-|
| CVE-ID | CVSS | Impact |
|—————-|——|————————————-|
| CVE-2026-57105 | 8.00 | Voordoen als andere gebruiker |
| CVE-2026-62829 | 4.60 | Voordoen als andere gebruiker |
| CVE-2026-62827 | 8.80 | Verkrijgen van verhoogde rechten |
| CVE-2026-62837 | 6.50 | Toegang tot gevoelige gegevens |
| CVE-2026-63514 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2026-63512 | 6.50 | Manipulatie van gegevens |
| CVE-2026-63516 | 6.50 | Voordoen als andere gebruiker |
| CVE-2026-63520 | 8.10 | Uitvoeren van willekeurige code |
| CVE-2026-64922 | 4.60 | Voordoen als andere gebruiker |
| CVE-2026-65658 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2026-65663 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2026-65660 | 6.50 | Voordoen als andere gebruiker |
| CVE-2026-65665 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2026-70321 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2026-70324 | 8.80 | Verkrijgen van verhoogde rechten |
| CVE-2026-70355 | 7.30 | Verkrijgen van verhoogde rechten |
| CVE-2026-64897 | 4.60 | Voordoen als andere gebruiker |
| CVE-2026-64900 | 4.60 | Voordoen als andere gebruiker |
| CVE-2026-64902 | 4.60 | Voordoen als andere gebruiker |
| CVE-2026-64901 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2026-64916 | 4.60 | Voordoen als andere gebruiker |
| CVE-2026-64921 | 8.80 | Verkrijgen van verhoogde rechten |
| CVE-2026-66805 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2026-66808 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2026-70306 | 9.30 | Voordoen als andere gebruiker |
| CVE-2026-70326 | 8.80 | Verkrijgen van verhoogde rechten |
| CVE-2026-70332 | 9.60 | Voordoen als andere gebruiker |
| CVE-2026-58639 | 6.50 | Voordoen als andere gebruiker |
| CVE-2026-62839 | 6.50 | Voordoen als andere gebruiker |
| CVE-2026-62917 | 4.60 | Voordoen als andere gebruiker |
|—————-|——|————————————-|

“`