Zabbix dicht reeks kwetsbaarheden: dit is er gefixt en dit kun je nu doen

Zabbix SIA heeft meerdere beveiligingslekken verholpen in verschillende onderdelen van Zabbix: de API, de Frontend, script items en preprocessing, én de Windows Agent installer. De issues raakten uiteenlopende functies en konden leiden tot onder meer inlogbypass, informatielekken, XSS en denial‑of‑service (DoS). Zabbix publiceert en bundelt dit soort fixes in zijn Security Advisories en recente 7.4‑updates. Controleer dus of je omgeving up‑to‑date is. (zabbix.com)

Waar het misging (in het kort)

• Login lockout: door een telprobleem bij gelijktijdige mislukte logins kon de lockout worden omzeild, waardoor een aanvaller meer wachtwoordpogingen kon doen dan bedoeld.
• OAuth voor e‑mail: bij het instellen van een e‑mailmediatype met OAuth kon een Super Admin via aanpassingen aan het “Token endpoint” het client secret bekijken en zelfs wijzigen.
• Persistent XSS via prototype pollution: een fout in de functie searchParamsToObject() maakte het mogelijk om via gemanipuleerde URL‑parameters eigenschappen van JavaScript‑objecten te “vervuilen” en via jQuery kwaadaardige inhoud persistent te laten uitvoeren. Prototype pollution is een bekend mechanisme om DOM‑XSS te forceren wanneer invoer niet strikt wordt gefilterd. (portswigger.net)
• DoS zonder inloggen: een publieke Frontend‑actie (popup.testtriggerexpr) kon met speciaal samengestelde verzoeken extreme CPU‑belasting veroorzaken en zo de webinterface onbruikbaar maken. Dit probleem is geregistreerd als CVE‑2026‑23930. (vulners.com)
• Uitlezen van gevoelige macro’s: via de actie validate.api.exists konden geauthenticeerde gebruikers plaintext user‑macro‑waarden inzien. In dezelfde hoek kon een DoS ontstaan door CPU‑intensieve verzoeken. Gebruik voor gevoelige gegevens sowieso “secret macros” of een external vault. (zabbix.com)
• Sessies en SAML: in Zabbix 7.4 werd een cryptografische sleutel voor het ondertekenen van Frontend‑sessies onjuist in de database seed opgeslagen, waardoor sessiecookies konden worden vervalst in combinaties met SAML‑authenticatie en gastaccounts. Zabbix kende eerder al een SAML‑gerelateerd sessie‑probleem (CVE‑2022‑23131), wat het belang van strikte sessiebeveiliging onderstreept. (vulners.com)
• Informatie­lek in script/preprocessing: in de JavaScript HttpRequest‑logica konden administrators geheugen buiten grenzen lezen, met mogelijke datalekken als gevolg. Daarnaast konden speciaal samengestelde JavaScript‑scripts in preprocessing of script items een crash van server of proxy veroorzaken (DoS). Zabbix koppelt vergelijkbare issues aan onvoldoende isolatie van de Duktape‑engine (CVE‑2026‑23919). (support.zabbix.com)
• PSK‑lek via API: via host.get konden geauthenticeerde gebruikers de pre‑shared key (PSK) van een host achterhalen, wat directe impact heeft op vertrouwelijkheid en integriteit. Overweeg waar mogelijk certificaatgebaseerde versleuteling en beperk het gebruik van PSK’s. (zabbix.com)
• Windows Agent installer: de installer controleert nu op onveilige installatiepaden die gevoelig zijn voor DLL‑sideloading en vraagt expliciet om bevestiging voordat de installatie doorgaat. Dit sluit aan bij eerdere hardening rond DLL‑/OpenSSL‑paden in de Windows‑agent. (support.zabbix.com)

Wat betekenen deze fixes concreet voor jou?

• Patchen, patchen, patchen: draai je 7.4? Update dan naar de meest recente stabiele release (bij publicatie: 7.4.13 op 29 juli 2026) of nieuwer. Houd ook de Release Notes en Security Advisories in de gaten; Zabbix brengt regelmatig gerichte fixes uit. (zabbix.com)
• Beperk Frontend‑aanvalsvlak:
  • Zet de Frontend alleen open voor managementnetwerken of achter VPN/SSO.
  • Activeer rate‑limiting en WAF‑regels op jouw reverse proxy/webserver tegen brute‑force en DoS op endpoints als popup.testtriggerexpr. CVE‑2026‑23930 illustreert waarom. (vulners.com)
  • Gebruik een strikte Content‑Security‑Policy en controleer dat cookies met Secure en HttpOnly worden gezet. (zabbix.com)
• Harden je accounts en secrets:
  • Herzie lockout‑instellingen en zet MFA aan voor beheerders.
  • Beperk Super‑Adminrechten tot een minimum en controleer de auditlog op wijzigingen aan OAuth‑instellingen.
  • Roteer client secrets, PSK’s en gevoelige user‑macro’s; migreer waar mogelijk naar Secret macros of een externe vault. (zabbix.com)
• Minimaliseer risico’s rond scripts:
  • Sta het aanmaken/bewerken van script items en preprocessing‑scripts alleen toe voor een kleine groep beheerders.
  • Test maatwerkscripts eerst in een gescheiden omgeving; eerdere Duktape‑issues tonen aan dat fouten hier directe impact kunnen hebben op stabiliteit. (support.zabbix.com)
• Windows‑agents veilig uitrollen:
  • Installeer onder Program Files en vermijd schrijfbare paden; laat de installer z’n padcontroles uitvoeren en geef geen groen licht bij waarschuwingen.
  • Houd rekening met eerdere bevindingen rond OpenSSL‑/DLL‑laadpaden en beperk schrijfrechten voor niet‑beheerders. (support.zabbix.com)

Achtergrond: zo passen de lekken in het bredere risico­beeld

• Prototype pollution en XSS: als URL‑parameters of JSON‑keys onveilig worden samengevoegd, kan een aanvaller eigenschappen injecteren en via bibliotheken als jQuery tot DOM‑XSS komen. Dit lekpatroon is breed gedocumenteerd en blijft in de praktijk impactvol. In Zabbix is dit geadresseerd en (volgens publieke tracking) gekoppeld aan CVE‑2026‑23929. (portswigger.net)
• Frontend‑DoS via expresstests: de aanwezigheid van popup.testtriggerexpr in de UI‑code verklaart waarom dit endpoint een doelwit werd; met CVE‑2026‑23930 is dit scenario expliciet benoemd en verholpen. (git.zabbix.com)

Wat je nu het beste doet

• Werk Zabbix servers, proxies, agents en de Frontend bij naar de nieuwste patches (7.4‑lijn of LTS‑lijn in jouw omgeving).
• Controleer de Zabbix Security Advisories en Release Notes en plan periodieke updates in. (zabbix.com)
• Roteer gevoelige waarden (OAuth‑secrets, PSK’s, user‑macro’s), herzie beheerdersrechten en audit je configuratie­wijzigingen.
• Zet aanvullende mitigaties in op je webserver/reverse proxy: rate‑limiting, WAF, strikte headers (CSP/Referrer‑Policy) en beperking van toegangsbronnen.

Tot slot
Zabbix publiceert actief security‑adviezen en levert frequente fixes. Door tijdig te updaten én basismaatregelen te nemen rond toegangsbeperking, secrets en scriptbeheer, verklein je de kans dat dit soort kwetsbaarheden in jouw omgeving tot incidenten leiden. (zabbix.com)

Cited sources:

• Zabbix Security Advisories en Release Notes (stand van zaken tot en met 18–29 juli 2026). (zabbix.com)
• CVE‑2026‑23930: Frontend DoS via popup.testtriggerexpr; actie/bron in Zabbix‑code. (vulners.com)
• Prototype‑pollution naar XSS, achtergronduitleg; tracking van CVE‑2026‑23929. (portswigger.net)
• Duktape‑isolatiekwestie in scripts/preprocessing: CVE‑2026‑23919. (support.zabbix.com)
• Secret macros en omgang met gevoelige waarden. (zabbix.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.