Vandaag is het Microsofts Patch Tuesday van juni 2025, met beveiligingsupdates voor 66 kwetsbaarheden, waaronder een actief misbruikte kwetsbaarheid en een openbaar gemaakte kwetsbaarheid.

Deze Patch Tuesday lost ook tien “kritieke” kwetsbaarheden op, waarvan acht voor het op afstand uitvoeren van code en twee voor verhoogde privileges.

De verdeling van kwetsbaarheden per categorie is als volgt:

• 13 Verhogingen van privileges
• 3 Beveiligingsmaatregel-omzeilingen
• 25 Remote Code Execution kwetsbaarheden
• 17 Informatieonthullingsproblemen
• 6 Denial of Service kwetsbaarheden
• 2 Spoofing kwetsbaarheden

Deze telling omvat geen Mariner, Microsoft Edge en Power Automate gebreken die eerder deze maand zijn opgelost.

Meer informatie over de niet-beveiligingsupdates van vandaag vind je in onze speciale artikelen over de Windows 11 KB5060842 en KB5060999 updates en de Windows 10 KB5060533 update.

Twee zero-days

Deze maand lost Patch Tuesday één actief misbruikte zero-day en één openbaar gemaakte kwetsbaarheid op. Microsoft definieert een zero-day als een kwetsbaarheid die openbaar is voordat er een officiële oplossing beschikbaar is.

De actief misbruikte zero-day kwetsbaarheid in de updates van vandaag is:

CVE-2025-33053 – Web Distributed Authoring and Versioning (WEBDAV) Remote Code Execution Kwetsbaarheid

Microsoft heeft een kwetsbaarheid voor het op afstand uitvoeren van code opgelost, ontdekt door Check Point Research.

“Er bestaat een kwetsbaarheid voor het op afstand uitvoeren van code in Microsoft Windows WEBDAV. Succesvolle exploitatie kan een aanvaller op afstand willekeurige code laten uitvoeren,” aldus een Check Point Research-advies.

Volgens het advies van Microsoft moet een gebruiker klikken op een speciaal vervaardigde WebDav-URL om de kwetsbaarheid te misbruiken.

Een rapport van Check Point Research legt uit dat CVE-2025-33053 werd misbruikt in zero-day aanvallen door een APT-groep genaamd “Stealth Falcon”.

“In maart 2025 identificeerde Check Point Research een poging tot cyberaanval op een defensiebedrijf in Turkije,” verklaarde Check Point.

“De dreigingsactoren gebruikten een eerder onbekende techniek om bestanden uit te voeren op een door hen beheerde WebDAV-server, door de werkdirectory van een legitiem ingebouwde Windows-tool te manipuleren.”

“Na verantwoordelijke openbaarmaking wees Microsoft de kwetsbaarheid aan als CVE-2025-33053 en bracht op 10 juni 2025 een patch uit als onderdeel van hun juni Patch Tuesday updates.”

Microsoft schrijft de ontdekking van deze kwetsbaarheid toe aan Alexandra Gofman en David Driker (Check Point Research).

De openbaar gemaakte zero-day is:

CVE-2025-33073 – Windows SMB Client Verhoging van Privileges Kwetsbaarheid

Microsoft lost een kwetsbaarheid op in Windows SMB waardoor aanvallers systeemprivileges kunnen verkrijgen op kwetsbare apparaten.

“Onjuiste toegangscontrole in Windows SMB stelt een bevoegde aanvaller in staat privileges te verhogen over een netwerk,” aldus Microsoft.

“Om deze kwetsbaarheid te exploiteren, zou een aanvaller een speciaal vervaardigd kwaadaardig script kunnen uitvoeren om de slachtoffercomputer te dwingen terug te verbinden naar het aanvalssysteem met behulp van SMB en te authentiseren. Dit kan leiden tot een verhoging van privileges,” verduidelijkt Microsoft verder.

Microsoft heeft niet gedeeld hoe de kwetsbaarheid openbaar is gemaakt. Echter, Born City meldt dat DFN-CERT (Computer Emergency Response Team van het Duitse Onderzoeksnetwerk) deze week waarschuwingen begon te verspreiden van RedTeam Pentesting over de kwetsbaarheid.

Hoewel er nu een update beschikbaar is, kan de kwetsbaarheid volgens meldingen worden verholpen door server-side SMB-signing af te dwingen via Group Policy.

Microsoft schrijft de ontdekking van deze kwetsbaarheid toe aan meerdere onderzoekers, waaronder Keisuke Hirata van CrowdStrike, Synacktiv onderzoek met Synacktiv, Stefan Walter van SySS GmbH, RedTeam Pentesting GmbH, en James Forshaw van Google Project Zero.

Recente updates van andere bedrijven

Andere leveranciers die in juni 2025 updates of adviezen hebben uitgebracht, zijn onder andere:

• Adobe heeft beveiligingsupdates uitgebracht voor InCopy, Experience Manager, Commerce, InDesign, Substance 3D Sampler, Acrobat Reader en Substance 3D Painter.
• Cisco heeft patches uitgebracht voor drie kwetsbaarheden met openbaar exploitcode in zijn Identity Services Engine (ISE) en Customer Collaboration Platform (CCP) producten.
• Fortinet heeft beveiligingsupdates uitgebracht voor een OS-commando (‘OS Command Injection’) kwetsbaarheid in FortiManager, FortiAnalyzer & FortiAnalyzer-BigData producten.
• Google’s juni 2025 beveiligingsupdates voor Android repareren talloze kwetsbaarheden. Google heeft ook een actief misbruikte Google Chrome zero-day kwetsbaarheid opgelost.
• Hewlett Packard Enterprise (HPE) heeft beveiligingsupdates uitgebracht voor acht kwetsbaarheden die StoreOnce beïnvloeden.
• Ivanti heeft beveiligingsupdates uitgebracht voor drie hardcoded key kwetsbaarheden met hoge ernst in Workspace Control (IWC).
• Qualcomm heeft beveiligingsupdates uitgebracht voor drie zero-day kwetsbaarheden in de Adreno Graphics Processing Unit (GPU) driver die worden uitgebuit in gerichte aanvallen.
• Roundcube heeft beveiligingsupdates uitgebracht voor een kritieke remote code execution (RCE) kwetsbaarheid met een openbare exploit die nu in aanvallen wordt uitgebuit.
• SAP brengt beveiligingsupdates uit voor meerdere producten, waaronder een kritieke ontbrekende autorisatiecontrole in SAP NetWeaver Application Server voor ABAP.

De Patch Tuesday Beveiligingsupdates van juni 2025

Hieronder staat de volledige lijst van opgeloste kwetsbaarheden in de Patch Tuesday updates van juni 2025.

Voor een volledige beschrijving van elke kwetsbaarheid en de systemen die hierdoor worden beïnvloed, kun je het volledige rapport hier bekijken.

Vroeger betekende patchen complexe scripts, lange uren en eindeloze stress. Maar niet langer.

In deze nieuwe gids laat Tines zien hoe moderne IT-organisaties opschalen met automatisering. Patch sneller, verminder overhead en focus op strategisch werk – zonder complexe scripts.

Ontvang de gratis gids