Kerngegevens
- Leverancier
- Nx
- Product
- Nx Console
- Soort software
- –
- Getroffen versies
- Nx Console 18.95.0
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Nx Console 18.100.0
- CVE gepubliceerd
- 27 mei 2026
- Op de KEV-lijst sinds
- 27 mei 2026
- Gepubliceerd op LekkenRadar
- 15 oktober 2026
- Laatst gewijzigd bij NVD
- 14 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
Op 19 mei 2026 is een kwaadaardige versie van Nx Console (18.95.0) gepubliceerd, de gebruikersinterface voor Nx en Lerna. Die versie stond kort online in de Visual Studio Marketplace (ongeveer 18 minuten) en in OpenVSX (ongeveer 36 minuten). Het lek staat sinds mei 2026 op de lijst van actief misbruikte lekken. Het gaat dus niet om een gewone programmeerfout, maar om opzettelijk toegevoegde schadelijke code in de extensie.
Wie loopt risico?
Je loopt risico als je Nx Console versie 18.95.0 hebt geïnstalleerd. Dat kan als je de extensie op 19 mei 2026 hebt gedownload of bijgewerkt in de Visual Studio Marketplace (tussen 12:30 en 12:48 UTC) of in OpenVSX (tussen 12:33 en 13:09 UTC). Heb je de extensie in die periode niet geïnstalleerd of bijgewerkt, dan is er geen aanwijzing dat je getroffen bent. Versie 18.100.0 is niet gecompromitteerd.
Wat moet je doen?
Controleer je geïnstalleerde versie
Kijk in je editor welke versie van Nx Console is geïnstalleerd. Staat daar 18.95.0, dan ben je getroffen. Controleer dit ook op werkstations van collega's en in gedeelde ontwikkelomgevingen.
Werk bij naar versie 18.100.0
Upgrade Nx Console naar versie 18.100.0. Volgens de leverancier is deze versie niet gecompromitteerd en lost een upgrade het probleem op.
Zoek naar sporen van besmetting
Gebruik de indicators of compromise uit het postmortem van de leverancier om te controleren of een systeem met versie 18.95.0 is aangetast. Je vindt ze via de bronnen onderaan dit bericht.
Volg het advies van de leverancier
Voer de maatregelen uit het beveiligingsadvies van Nx uit. Kun je die niet toepassen, dan adviseert CISA om het product niet meer te gebruiken.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een supply-chain-aanval waarbij kwaadaardige code is ingebouwd in een officieel gepubliceerde versie van de extensie Nx Console (18.95.0). De CWE-classificatie is CWE-506 (ingebouwde kwaadaardige code). De versie was op 19 mei 2026 beschikbaar in de Visual Studio Marketplace van 12:30 tot 12:48 UTC en in OpenVSX van 12:33 tot 13:09 UTC. De CVSS 4.0-vector (AV:N/AC:L/AT:N/PR:N/UI:N) wijst op aanvallen via het netwerk, zonder voorwaarden, rechten of gebruikersinteractie. De impact op vertrouwelijkheid, integriteit en beschikbaarheid is hoog (VC:H/VI:H/VA:H). Een upgrade naar versie 18.100.0 verhelpt het probleem.
CVSS-vector (versie 4.0, basisscore 9,3, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-506 · Ingebouwde kwaadaardige code
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,3%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 27 mei 2026
- Deadline van CISA
- 10 juni 2026
- Gebruikt door ransomwaregroepen
- Ja, volgens CISA