Een zero-day is een softwarelek dat aanvallers al misbruiken voordat de makers van de software een oplossing hebben uitgebracht. De naam komt van de positie van de verdediger: als de aanval begint, heeft de leverancier nul dagen gehad om klanten te beschermen. Augustus 2026 liet duidelijk zien hoe zulke aanvallen verlopen, met in dezelfde maand een Windows-lek dat door een door een staat gesteunde groep werd misbruikt en een printbeheerserver die door niet-geauthenticeerde aanvallers werd gekaapt.
Dit artikel legt uit wat er gebeurde, wie werd getroffen en welke praktische stappen uw blootstelling aan de volgende zero-day verkleinen, de zero-day die niemand vooraf kan patchen.
Wat er in augustus gebeurde
Windows: CVE-2026-68820, misbruikt door de Lazarus-groep
Op 11 augustus loste de maandelijkse beveiligingsupdate van Microsoft zo'n 400 kwetsbaarheden op. Eén daarvan, CVE-2026-68820, werd al misbruikt. Het is een use-after-free-lek in afd.sys, het Windows-stuurprogramma achter de WinSock-netwerkstack. Een aanvaller die al voet aan de grond heeft op een computer, zelfs met een account met weinig rechten, kan er volledige SYSTEM-controle mee krijgen.
Onderzoekers van Check Point, die het lek meldden, brachten het misbruik in verband met Lazarus, de door de Noord-Koreaanse staat gesteunde groep. Lazarus gebruikte het om een nieuwe versie van FudModule te installeren, de eigen rootkit op kernelniveau die beveiligingstools van diep in het besturingssysteem uitschakelt. Het Amerikaanse agentschap voor cyber- en infrastructuurbeveiliging (CISA) zette het lek dezelfde dag in zijn catalogus van bekend misbruikte kwetsbaarheden en gaf Amerikaanse federale diensten tot 25 augustus om te patchen.
Dezelfde update loste nog twee lekken op waarvan de details al openbaar waren voordat er een fix was: CVE-2026-62832 in de Windows-service voor gebruikersprofielen, waarmee een lokale gebruiker beheerdersrechten kan krijgen, en CVE-2026-72971 in een filterstuurprogramma voor Windows-containers. Bij geen van beide is misbruik bevestigd, maar openbare details verkorten de tijd voordat aanvallers ermee aan de slag gaan.
PaperCut: printservers overgenomen zonder authenticatie
Op 27 augustus waarschuwde PaperCut dat aanvallers een tot dan toe onbekend lek misbruikten in PaperCut NG en MF, printbeheersoftware die veel wordt gebruikt op scholen, universiteiten, bij gemeenten en bedrijven. Met het lek, later geregistreerd als CVE-2026-81578 en CVE-2026-82078, kon een aanvaller zonder inlog de configuratie van de server wijzigen en er vervolgens eigen code op uitvoeren.
Beveiligingsbedrijf Huntress bevestigde misbruik in de omgevingen van twee klanten. In één geval duurde de hele inbraak nog geen twee minuten: de aanvaller voerde verkenningscommando's uit om de server in kaart te brengen, plaatste een kleine Java-payload, verzamelde wat hij vond en verwijderde daarna zijn eigen bestanden en het applicatielog om zijn sporen te wissen. Huntress zag ook dat ongeveer 47% van de circa 2.500 PaperCut-installaties die het bewaakt versie 23 of ouder draaide, waarvoor aanvankelijk geen fix beschikbaar was.
PaperCut bracht direct noodbuilds uit voor versie 25 en 26, en breidde de fixes de dag erna uit naar versie 24.
Waarom zero-days elke organisatie aangaan
Het is verleidelijk om te denken dat zero-days alleen overheden en grote ondernemingen raken. Augustus bewees het tegendeel:
- De doelwitten waren alledaagse software. Windows en een printserver vindt u in vrijwel elk kantoor. Aanvallers gaan waar de meeste installaties zijn.
- Blootgestelde beheerinterfaces zijn de voordeur. De PaperCut-aanvallen werkten alleen tegen servers waarvan de webinterface vanaf internet bereikbaar was. Veel organisaties beseffen niet hoeveel beheerpanelen ze openzetten.
- Privilege-escalatie maakt van een kleine inbraak een grote. Het Windows-lek vereist dat een aanvaller al binnen is, meestal via een phishingmail of een gestolen wachtwoord. Eenmaal binnen maakt de zero-day van een beperkt account volledige controle.
- Aanvallers ruimen hun sporen op. Zijn de logbestanden gewist, dan weet een slachtoffer zonder onafhankelijke monitoring misschien nooit wat er is buitgemaakt.
Zo beschermt u zich vóór de volgende
Een zero-day kunt u per definitie niet patchen voordat de fix er is. Wat u wel kunt doen, is het aantal toegangswegen verkleinen, een geslaagde aanval minder schadelijk maken en de tijd tussen het verschijnen van een fix en de installatie ervan verkorten.
1. Patch snel zodra er een fix is
De meeste echte schade ontstaat in de dagen en weken na het uitkomen van een fix, wanneer aanvallers de patch reverse-engineeren. Schakel automatische updates in voor Windows, browsers en telefoons. Stel voor servers en bedrijfsapplicaties een doel: kritieke fixes voor systemen die aan internet hangen binnen 48 uur, al het andere binnen 14 dagen. Abonneer u op de beveiligingsadviezen van uw belangrijkste leveranciers en op de lijst van bekend misbruikte kwetsbaarheden van CISA.
2. Haal beheerinterfaces van internet
Printservers, tools voor toegang op afstand, firewalls, routers, camerasystemen en controlepanelen van websites horen niet voor iedereen op internet bereikbaar te zijn. Zet ze achter een VPN of beperk ze tot bekende IP-adressen. Alleen al deze stap had de PaperCut-aanvallen volledig tegengehouden.
3. Weet wat u draait
Houd een actuele lijst bij van uw systemen en softwareversies, ook van de systemen waar niemand aan denkt, zoals printbeheer, gebouwsystemen en oude servers. U kunt niet patchen wat u niet weet te hebben.
4. Haal lokale beheerdersrechten weg
Accounts voor dagelijks gebruik horen geen beheerdersrechten te hebben. Samen met multifactorauthenticatie op e-mail en toegang op afstand maakt dit het veel moeilijker om de eerste voet aan de grond te krijgen waar zero-days voor privilege-escalatie op leunen.
5. Detecteer, voorkom niet alleen
Gebruik endpoint detection and response (EDR) op laptops en servers, en stuur logbestanden naar een apart systeem dat een aanvaller niet makkelijk kan wissen. Let op de waarschuwingssignalen uit augustus: serversoftware die opdrachtprompts opent, onverwachte bestanden in applicatiemappen en logbestanden die plotseling verdwijnen.
6. Bereid u voor op de slechte dag
Houd offline of onveranderbare back-ups bij en test of u ze kunt terugzetten. Leg vooraf vast wie u belt en hoe u systemen isoleert, voordat het nodig is. Een kort, geoefend incidentplan is meer waard dan een lang, ongetest plan.
Als u denkt dat u getroffen bent
Draait u PaperCut NG of MF en was de webinterface in augustus vanaf internet bereikbaar, update dan niet zomaar en ga verder. Stel eerst de logbestanden en de configuratie van de server veilig, en zoek daarna naar onverwachte .class-bestanden in de lib-map van de server en naar ontbrekende of afgekapte logbestanden. Updaten of herstarten kan bewijs vernietigen dat u nodig hebt om te begrijpen wat er is gebeurd.
Controleer bij Windows of de updates van augustus op alle computers zijn geïnstalleerd, niet alleen op de meeste. Eén ongepatchte server is genoeg.
Ons incidentresponsteam kan u helpen zoeken naar tekenen van compromittering, bewijs correct veiligstellen en de gaten dichten. Neem contact op of bel op elk moment +44 7520 644325.
Bronnen
- BleepingComputer: Patch Tuesday van Microsoft in augustus 2026 lost 400 lekken op, waaronder 3 zero-days
- Help Net Security: Microsoft patcht meer dan 400 kwetsbaarheden, waaronder één actief misbruikte zero-day
- Huntress: zero-day in PaperCut, actief misbruik en uitvoering van code op afstand zonder authenticatie