Nieuw Windows-lek CVE-2026-32202 ontdekt
Microsoft heeft een kritieke update uitgebracht voor een nieuw ontdekt lek in de Windows Shell, nadat bleek dat een eerdere reparatie van een zero-day kwetsbaarheid onvoldoende was. Het lek, geregistreerd als CVE-2026-32202, stelt aanvallers in staat om via het netwerk inloggegevens te stelen zonder dat een gebruiker daarvoor op een bestand hoeft te klikken.
Het gaat om een zogenaamde spoofing kwetsbaarheid met een 'Important' status. Onderzoekers van Akamai ontdekten dat de Russische hackersgroep APT28 (ook wel bekend als Fancy Bear) de zwakke plek al sinds januari van dit jaar actief misbruikt.
De "Zero-Click" valstrik
De kern van het probleem ligt in de manier waarop Windows omgaat met snelkoppelingen (.lnk-bestanden). In februari dacht Microsoft een lek te hebben gedicht dat aanvallers op afstand code liet uitvoeren. Uit onderzoek van Akamai-onderzoeker Maor Dahan bleek echter dat de patch weliswaar de uitvoering van code blokkeert, maar een ander proces ongemoeid laat: de automatische weergave van iconen.
Wanneer een gebruiker simpelweg een map opent waarin een kwaadaardig bestand staat, probeert Windows Explorer automatisch het bijbehorende icoontje op te halen. De hacker kan dit proces dwingen om verbinding te maken met een externe server via het SMB-protocol.
"De Trust Verification van Microsoft grijpt pas in aan het einde van de keten," aldus het rapport van Akamai. "Maar in een eerder stadium is de schade al aangericht: de computer van het slachtoffer stuurt automatisch inloggegevens naar de server van de aanvaller."
Impact: Diefstal van wachtwoord-hashes
Hoewel de aanvaller met dit specifieke lek geen directe controle over de computer krijgt (geen 'Remote Code Execution'), is de impact op de vertrouwelijkheid groot. Door de gedwongen verbinding worden zogenaamde Net-NTLMv2-hashes buitgemaakt. Deze cryptografische vingerafdrukken van wachtwoorden kunnen door hackers worden gebruikt voor:
- Offline kraken: Met krachtige computers het originele wachtwoord achterhalen.
- Relay-attacks: De inloggegevens direct doorsluizen naar andere systemen in een bedrijfsnetwerk om daar toegang te krijgen.
Wat u moet doen
Microsoft heeft op 14 april een officiële fix uitgebracht en de informatie op 27 april verder aangescherpt. Systeembeheerders en thuisgebruikers wordt dringend geadviseerd de nieuwste beveiligingsupdates te installeren.
Aanvullende veiligheidsmaatregelen:
- Poorten blokkeren: Blokkeer uitgaand verkeer op TCP-poorten 139 en 445 via de firewall om te voorkomen dat inloggegevens het netwerk verlaten.
- NTLM beperken: Overweeg het gebruik van NTLM-authenticatie binnen het domein te beperken ten gunste van veiligere alternatieven zoals Kerberos.
- Update Windows: Controleer in de instellingen of de laatste cumulatieve update van april 2026 is geïnstalleerd.
Meer over Besturingssysteem
Over Witold Kepinski
