Microsoft heeft een beveiligingsbulletin uitgebracht voor een ernstige kwetsbaarheid in het verhogen van privileges in Power Pages, die hackers als zero-day hebben misbruikt in aanvallen.

Het lek, gevolgd als CVE-2025-23989, is een probleem met ongepaste toegangscontrole dat Power Pages treft, waardoor onbevoegde actoren hun privileges over een netwerk kunnen verhogen en gebruikersregistratiecontroles kunnen omzeilen.

Microsoft zegt dat het risico op serviceniveau is aangepakt en dat getroffen klanten dienovereenkomstig zijn geïnformeerd, met instructies om mogelijke compromittering te detecteren.

“Deze kwetsbaarheid is al beperkt in de service en alle getroffen klanten zijn geïnformeerd. Deze update heeft de omzeiling van de registratiecontrole aangepakt,” aldus het beveiligingsbulletin van Microsoft.

“Getroffen klanten hebben instructies gekregen om hun sites te controleren op mogelijke exploitatie en opruimmethoden. Als u niet bent geïnformeerd, heeft deze kwetsbaarheid geen invloed op u.”

Microsoft Power Pages is een low-code, SaaS-gebaseerd webontwikkelingsplatform dat gebruikers in staat stelt om veilige, extern gerichte bedrijfswebsites te creëren, hosten en beheren.

Het is onderdeel van het Microsoft Power Platform, dat tools omvat zoals Power BI, Power Apps en Power Automate.

Aangezien Power Pages een cloudgebaseerde service is, kan worden aangenomen dat exploitatie op afstand heeft plaatsgevonden.

De softwaregigant heeft geen details verstrekt over hoe het lek werd misbruikt in aanvallen.

Naast het lek in Power Pages heeft Microsoft gisteren ook een kwetsbaarheid met betrekking tot het uitvoeren van externe code in Bing verholpen, die is gevolgd als CVE-2025-21355 maar niet als geëxploiteerd is gemarkeerd.

Probleem opgelost, maar controles vereist

Microsoft heeft al reparaties toegepast op de Power Pages-service en de leverancier heeft privé advies direct gedeeld met getroffen klanten. Toch zijn er enkele algemene beveiligingsadviezen die gebruikers in overweging kunnen nemen.

Beheerders zouden activiteitslogboeken moeten controleren op verdachte acties, gebruikersregistraties of ongeoorloofde wijzigingen.

Aangezien CVE-2025-23989 een bug is in het verhogen van privileges, moeten gebruikerslijsten ook worden gecontroleerd om beheerders en gebruikers met hoge privileges te verifiëren.

Recente wijzigingen in privileges, beveiligingsrollen, machtigingen en webpagina-toegangscontroles moeten verder worden onderzocht.

Kwaadaardige accounts of accounts die ongeoorloofde activiteiten vertonen, moeten onmiddellijk worden ingetrokken, getroffen inloggegevens moeten worden gereset en multi-factor authenticatie (MFA) moet op alle accounts worden afgedwongen.

Als u niet door Microsoft bent geïnformeerd, was uw systeem waarschijnlijk niet aangetast.

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----