De Amerikaanse cyberautoriteit CISA waarschuwt dat aanvallers misbruik maken van recent verholpen kwetsbaarheden in IBM Aspera Faspex en SignalWire FreeSwitch. Beide lekken hebben een CVSS-score van 9,8 en staan inmiddels in de Known Exploited Vulnerabilities-catalogus van CISA. Amerikaanse federale instanties moeten de patches binnen drie dagen toepassen op grond van BOD 26-04.
De melding is relevant voor organisaties die Aspera Faspex gebruiken voor bestandsoverdracht of FreeSwitch inzetten voor telefonie- en communicatieomgevingen. In beide gevallen gaat het om kwetsbaarheden die, onder de juiste omstandigheden, kunnen leiden tot zeer vergaande controle over kwetsbare systemen of diensten.
Bevestigd: kritisch autorisatielek in IBM Aspera Faspex
De kwetsbaarheid in IBM Aspera Faspex is geregistreerd als CVE-2026-123218. Het gaat om een autorisatie-bypass die via speciaal geconstrueerde berichten kan worden misbruikt. Volgens de beschikbare informatie kan succesvolle exploitatie ertoe leiden dat geauthenticeerde gebruikers volledige beheerdersrechten verkrijgen.
IBM heeft het probleem op vrijdag verholpen in Aspera Faspex versie 5.0.19 PL1. Klanten zijn opgeroepen hun installaties zo snel mogelijk bij te werken. CISA heeft het lek op maandag toegevoegd aan de lijst met bekende actief misbruikte kwetsbaarheden.
Opvallend is dat IBMs eigen advisory volgens de bron geen melding maakt van misbruik in de praktijk. Ook zijn er geen publieke details bekend over concrete aanvallen waarbij CVE-2026-123218 is gebruikt. De bevestiging dat het lek wordt uitgebuit komt in dit geval van CISA.
FreeSwitch-lek maakt code-injectie en commandouitvoering mogelijk
De tweede kwetsbaarheid betreft SignalWire FreeSwitch en wordt gevolgd als CVE-2026-116779. Ook dit lek heeft een CVSS-score van 9,8. De fout wordt omschreven als een code-injectieprobleem dat kan leiden tot het lekken van gevoelige informatie, willekeurige controle over gesprekken en het uitvoeren van commando’s.
De technische oorzaak zit in de manier waarop FreeSwitch de ‘To’-gebruiker van een inkomend SIP MESSAGE verwerkt wanneer daarin een plusteken voorkomt. De functie splitst de waarde bij het plusteken en behandelt het linkerdeel als selector voor een chatprotocol. Omdat de chatlaag toestaat dat een inkomend SIP MESSAGE bepaalt welk chatprotocol het bericht afhandelt, kan een peer een bericht aanleveren dat invloed heeft op het API-commando dat de server uitvoert.
De commando’s worden uitgevoerd met de rechten van het FreeSwitch-proces. Dat maakt de impact afhankelijk van de configuratie en privileges van de betrokken FreeSwitch-installatie, maar de potentiële gevolgen zijn ernstig.
Standaardprofielen vergroten het aanvalsoppervlak
Volgens een NIST-advisory is inbound chat ingeschakeld op de standaard interne en externe profielen. Een geauthenticeerd profielaccount is voldoende om het probleem te kunnen misbruiken. In bepaalde kwetsbare configuraties kunnen standaard directorygebruikers zonder wachtwoordmateriaal die drempel bovendien wegnemen.
SignalWire heeft FreeSwitch versie 1.11.3 uitgebracht met een oplossing voor CVE-2026-116779. In de advisory van SignalWire, gepubliceerd op 28 oktober, staat dat misbruik van de kwetsbaarheid in het wild is waargenomen. Verdere details over de aanvallen zijn niet bekendgemaakt.
CISA zet druk op patchbeleid
Door beide kwetsbaarheden toe te voegen aan de KEV-catalogus geeft CISA aan dat het niet langer om theoretische risico’s gaat. Voor Amerikaanse federale organisaties geldt een verplichte hersteltermijn van drie dagen. Hoewel die verplichting niet automatisch voor Nederlandse organisaties geldt, wordt de KEV-lijst internationaal vaak gebruikt als prioriteringssignaal voor patchmanagement.
Voor beheerders betekent dit dat vooral internetblootgestelde installaties en systemen met externe toegang snel gecontroleerd moeten worden op kwetsbare versies. Bij Aspera Faspex ligt de nadruk op het voorkomen van privilege-escalatie naar beheerrechten. Bij FreeSwitch draait het risico om mogelijke commandouitvoering via SIP-berichten en de gevolgen daarvan voor communicatie-infrastructuur.
Analyse: kwetsbaarheden raken kritieke bedrijfsfuncties
De combinatie van hoge CVSS-scores, bevestigde exploitatie en korte patchtermijnen maakt deze waarschuwing urgent. Aspera Faspex wordt gebruikt voor bestandsoverdracht, vaak in omgevingen waar grote of gevoelige bestanden worden uitgewisseld. FreeSwitch vormt in veel implementaties een onderdeel van telefonie-, VoIP- of communicatiediensten. Compromittering van zulke systemen kan daarom verder reiken dan een enkele server.
Tegelijk blijft onbekend hoe breed de aanvallen zijn, welke doelwitten zijn geraakt en welke aanvalsgroepen betrokken zijn. Voor IBM Aspera Faspex zijn geen publieke aanvaldetails beschikbaar. Voor FreeSwitch is alleen bevestigd dat misbruik is gezien, zonder technische of operationele toelichting op de aanvallen.
Ook GPUStack en SSHole genoemd
CISA waarschuwde daarnaast voor actief misbruik van twee andere kwetsbaarheden. Het gaat om een kritieke authenticatie-bypass in GPUStack, geregistreerd als CVE-2026-102895 met een CVSS-score van 9,8. Die fout kan externe, niet-geauthenticeerde aanvallers volledige beheerdersrechten geven op kwetsbare servers en werd eind juli al als misbruikt aangemerkt.
Verder is er de zogenoemde SSHole-kwetsbaarheid, CVE-2026-123158, die bepaalde Linux-distributies raakt. Dit is een ernstig authenticatieprobleem waardoor externe aanvallers toegang kunnen krijgen tot accounts zoals root. Volgens de beschikbare informatie begon het misbruik afgelopen weekend, enkele dagen nadat patches beschikbaar kwamen.
Bron: securityweek.com
