Zerodays in beheerproducten, een open flexmarkt voor stroom en een sonde naar Phobos

Wie bij wat kan, bepaalde deze week het nieuws: aanvallers in beheerproducten en lekken in PHP zelf, netbeheerders die hun vraag naar flexibel vermogen openbaar maken en wachtwoorden die uit logbestanden verdwijnen. Daartussen vertrok een Japanse sonde naar Phobos, en Mistral bracht een spraakpakket uit met Europese hosting.

maandag 19 oktoberTech algemeen

Aanvallers zaten al in drie beheerproducten

Het weekoverzicht van maandag 19 oktober opende met drie beheerproducten waarin lekken al werden misbruikt. Bij Ivanti Connect Secure was een zeroday misbruikt waarmee een aanvaller zonder inloggen commando’s kon uitvoeren. Bij Cisco Secure Email Gateway meldde het bedrijf actief misbruik van een lek waarmee een aanvaller bestanden kon schrijven en commando’s met rootrechten kon draaien. BeyondTrust bevestigde dat CVE-2026-102764 in Remote Support als zeroday is misbruikt, met een CVSS-score van 9,3 voor alle versies tot en met 26.2.3.

Het NCSC verwachtte bij Ivanti en Cisco snel publieke exploitcode en meer scanverkeer. Wie een van deze producten draait, installeert eerst de update en controleert daarna op sporen van misbruik. Dat tweede deel wijst erop dat een update alleen onvoldoende kan zijn: de aanvallers waren er dan mogelijk al.

dinsdag 20 oktoberEnergietransitie

Netbeheerders delen hun vraag naar flexibel vermogen

Liander, Enexis en Stedin publiceren hun vraag naar flexibel stroomvermogen sinds 13 oktober op één plek, in GOPACS Auctions. Dat meldde het weekoverzicht van 20 oktober. Bij de start stond er 496 megawatt open; TenneT sluit later aan. Bedrijven die flexibiliteit van grootzakelijke klanten bundelen, zien nu welke netbeheerder waar en wanneer hoeveel nodig heeft en kunnen een prijs bieden.

Netbeheer Nederland hoopt dat een deel van de circa 15.500 wachtende aanvragen daardoor sneller een aansluiting krijgt. Het proces van veiling tot contract is nog niet volledig geautomatiseerd. Dezelfde week stelde Invest-NL voor de eerste aanbetaling, nu volgens Invest-NL vaak 10 tot 20 procent van de aansluitkosten, te koppelen aan zekerheid over netcapaciteit. De vraag is of de veilingen snel genoeg in contracten eindigen om die wachtlijst echt te raken.

woensdag 21 oktoberAI

Mistral verkoopt spraakagenten met Europese hosting

Mistral bracht Voxtral 3 uit, zo staat in het weekoverzicht van 21 oktober. Het pakket bestaat uit modellen voor spraak naar tekst en tekst naar spraak plus een SDK die beide aan een taalmodel koppelt. De transcriptie ondersteunt 50 talen, waaronder Nederlands, en de stemmen zijn er in 18 talen, ook in het Nederlands. Volgens Mistral draait het pakket via een Europese API of op eigen infrastructuur, maar er zijn ook Amerikaanse en wereldwijde endpoints. De Europese keuze moet je dus zelf maken.

Eerder trainde Mistral Large 4 in eigen datacenters in Europa; of de gewichten daarvan eind oktober verschijnen, staat nog open. Woensdag ging de aandacht elders heen: door twee lekken in PHP zelf haalden overheden DigiD en MijnOverheid uit voorzorg offline, zie ons artikel over PHP2Shell.

donderdag 22 oktoberWetenschap & innovatie

Japan stuurt een sonde naar Phobos

Op dinsdag 20 oktober lanceerde Japan de sonde MMX naar Phobos, de grootste en dichtstbijzijnde maan van Mars, zoals het weekoverzicht van 22 oktober beschrijft. Volgens Associated Press was de sonde een uur na de start gepland losgekomen van de bovenste trap.

MMX bereikt Mars laat in de zomer van 2027. De Frans-Duitse rover Idefix rijdt dan 100 dagen over Phobos, en eind 2028 of in 2029 landt de lander voor twee uur op Phobos om minstens 10 gram materiaal te verzamelen. De monsters moeten in 2031 terug zijn op aarde. China mikt voor een eigen monsterretour ook op 2031, met een lancering in 2028. Japan investeert 350 miljoen dollar in MMX, NASA 87 miljoen en ESA circa 17 miljoen.

vrijdag 23 oktoberDomotica

Wachtwoorden en tokens verdwijnen uit logbestanden

Music Assistant 2.10.7 toont geen wachtwoorden en tokens meer in de API-log, schreef het weekoverzicht van 23 oktober. De ontwikkelaars presenteren dat in de release als onderhoud en noemen het geen beveiligingslek; ook voor de aanscherpingen in 2.10.6 verscheen geen advisory.

Home Assistant 2026.10.2 trekt bij het verwijderen van een gebruiker nu ook de refresh tokens in. De diagnostiekbestanden van onder meer SFR Box, NRGkick, Teslemetry en Tesla Fleet maskeren gevoelige gegevens, zoals inloggegevens, hostnamen en coördinaten van schema’s. Dat telt als je zo’n bestand in een GitHub-issue plakt. Eerder dichtten openHAB 5.2.2 vijf lekken, Frigate 0.18.2 drie en Tasmota 16.0.0 één. Of Home Assistant 2026.11 hier iets aan toevoegt, is nog open.