NordVPN Windows-update dringend nodig: los dit beveiligingslek snel op

NordVPN heeft een fout in de Windows-client verholpen waardoor een lokaal programma de eigen VPN-service kon misbruiken om Windows-services te stoppen. Het klinkt misschien niet als een ramp uit een actiefilm, maar deze update is vandaag wel belangrijk. Het probleem staat bekend als CVE-2026-106030. CERT Polska publiceerde de melding op 16 oktober 2026 en noemde Nord Security als leverancier en NordVPN als product. Alle versies ouder dan 8.12 zijn kwetsbaar. De zwakte is ingedeeld als Incorrect Authorization (CWE-863).

De korte versie: als NordVPN draait op een Windows-pc die jij beheert, zorg dan dat versie 8.12 of hoger is geïnstalleerd. In de rest van dit artikel leggen we uit wat de fout doet, wat de fout juist niet kan doen en waarom de berichtgeving soms harder klinkt dan de feiten.

Wat CERT Polska heeft gemeld

CERT Polska meldt dat het een rapport over de kwetsbaarheid heeft ontvangen en heeft geholpen bij de gecoördineerde publicatie ervan. In het advies krijgt onderzoeker Marcin Ressel erkenning voor het verantwoord melden van de fout. Ook het CVE-record, zoals opgenomen in de CIRCL-kwetsbaarheidsdatabase, noemt het NordVPN development team als ontdekker.

Kort gezegd: NordVPN voor Windows laat lokale aanvallers ongeautoriseerde Windows-systeemservices stoppen en hun opstarttype wijzigen naar Handmatig via named pipes.

De technische details zijn duidelijk:

• Het kanaal: een aanvaller met lage rechten kan zich voordoen als een vertrouwd proces en verbinding maken met de named pipe \.\pipe\nord-security\v1\NordVpnService\Server.
• De methoden: daarna kan de aanvaller ISettingsGrpc.StopService en ISettingsGrpc.ChangeServiceStartType aanroepen met willekeurige servicenaam. Daardoor kan een onbeschermde Windows-service worden gestopt en kan het opstarttype worden gewijzigd.
• De grenzen: services die worden beschermd door Protected Process Light (PPL) of Windows Tamper Protection, waaronder Windows Defender, kunnen op deze manier niet worden gestopt of aangepast.
• De oplossing: bijwerken naar versie 8.12 verwijdert de kwetsbaarheid.

Samenvatting van deze sectie: CERT Polska is de belangrijkste bron. De fout treft NordVPN voor Windows in versies ouder dan 8.12. Een lokaal proces met lage rechten kan de NordVPN-service vragen om onbeschermde services te stoppen of opnieuw in te stellen. In versie 8.12 is het probleem opgelost.

Waarom named pipes hier een fout in de beveiliging zijn

Named pipes zijn een standaardmethode in Windows waarmee processen met elkaar communiceren. Bij een gewone VPN-client draait de app die je opent met normale gebruikersrechten, terwijl een achtergrondservice met hogere rechten het zware werk uitvoert. Die twee communiceren via zo’n kanaal. De service moet wel controleren wie de aanvraag doet voordat hij iets uitvoert. Gebeurt dat niet, dan kan elk programma op de computer de rechten van die service misbruiken.

Precies daar gaat het mis. TechRadar-redacteur Mike Williams zei tegen de website dat het beperken van named-pipe-berichten tot legitieme processen iets is wat iedere goede ontwikkelaar zou moeten weten. Hij noemde de fout van NordVPN een onhandige bug die nooit had mogen bestaan. Vergelijk het met een gebouw waarvan de receptie iedereen binnenlaat, zolang iemand maar doet alsof hij erbij hoort.

Het is terecht om je af te vragen waarom een VPN-client überhaupt opties als “stop deze service” en “wijzig dit opstarttype” aanbiedt. VPN-clients hebben soms legitieme redenen om onderdelen te beheren. In het openbare advies staat niet uitgelegd waarom deze methoden bestaan. Wel staat er dat ze een willekeurige servicenaam accepteren, en niet alleen onderdelen van NordVPN zelf. Dat is precies het punt waarop een technische voorziening een beveiligingslek wordt.

Samenvatting van deze sectie: privileges accepteren via een named pipe zonder de aanroeper goed te controleren is een bekende fout. In dit geval werkten de servicebeheerfuncties op elke servicenaam.

Ernst: gemiddeld, maar de details tellen

De CVE heeft een CVSS v4-basescore van 6,8. De score wijst op een lokale aanval, lage aanvalskomplexiteit, geen extra aanvalseisen, lage vereiste privileges en geen gebruikersinteractie. De impact op het kwetsbare systeem wordt hoog ingeschat voor beschikbaarheid en nul voor vertrouwelijkheid en integriteit.

In gewone taal: als een aanvaller al code op de computer kan uitvoeren, kan diegene dingen verstoren. Maar deze fout geeft geen toegang tot je gegevens en maakt het ook niet mogelijk om stiekem informatie aan te passen. Nog een detail: de CISA-ADP-verrijking in het CIRCL-record geeft aan dat misbruik als “none” staat genoteerd, dat automatisering “no” is en dat de technische impact “partial” is.

Er zijn meerdere redenen waarom dit geen extreem noodsituatie is:

• Geen aanval op afstand. De aanvaller moet lokaal zijn. Er moet dus al schadelijke code op de pc draaien.
• Geen aanval op de VPN-tunnel. Beveiligingsbedrijf Breachroad benadrukt dat dit geen aanval op afstand op de VPN-verbinding is en ook geen gebroken versleuteling. Je VPN-verkeer wordt hierdoor niet zichtbaar.
• Nog geen publieke exploit. VulDB meldt dat de technische details bekend zijn, maar dat er nog geen exploit beschikbaar is. Ook Mallory laat zien dat er nog geen publieke exploit is. Volgens Mallory melden noch CERT Polska, noch de herplaatsing van Malware News actieve misbruikpogingen. Strikt genomen betekent dat dat niemand misbruik heeft gemeld. Het bewijst niet dat niemand het heeft geprobeerd.
• Defender valt buiten bereik. Beschermde services, waaronder Windows Defender, vallen expliciet buiten deze kwetsbaarheid.

Waarom “onschuldig” te ver gaat

De uitleg van TechRadar is vrij geruststellend. Williams stelt dat een aanvaller alleen de status van niet-kritieke services kan wijzigen en dat je die daarna gewoon weer terug kunt zetten. Voor een thuisgebruiker klopt dat grotendeels. Maar daarmee wordt de officiële formulering op twee punten te luchtig weergegeven.

Ten eerste zegt CERT Polska zelf dat de fout kan leiden tot een denial-of-service van kritieke systeemservices. De uitzondering voor beschermde services geldt voor PPL- en Tamper Protection-services, maar niet voor alles wat een beheerder als belangrijk ziet. Breachroad zegt hetzelfde: het feit dat Defender buiten schot blijft, betekent niet dat elke belangrijke service dezelfde bescherming heeft.

Ten tweede kan het instellen van een service op Handmatig ervoor zorgen dat die service later niet meer automatisch start na een herstart. Zo’n stille wijziging kan na een reboot blijven bestaan, en veel gebruikers merken dat pas als iets niet meer werkt.

Dat is belangrijk, omdat moderne aanvallen vaak in fasen verlopen. Breachroad wijst erop dat phishing of een kwaadaardig installatiebestand de eerste toegang kan geven, waarna een lokale fout het systeem verder verzwakt. Vooral hulpprogramma’s van derden die niet door PPL worden beschermd, vormen dan een risico. Denk aan back-upsoftware, logging- of monitoringdiensten en update-services. Zelfs een met Tamper Protection beveiligde Defender maakt niet automatisch alle andere services op de computer veilig. Dat laatste is een analyse uit de sector en geen bewering uit het officiële advies, maar het verklaart wel waarom “lage impact” niet hetzelfde is als “negeren”.

Er is ook nog een kleine nuance in de classificatie. CERT Polska classificeert de fout als CWE-863, Incorrect Authorization. VulDB noemt de kwestie daarentegen CWE-404. In een LinkedIn-bericht, geciteerd door TechRadar, noemde Ressel zijn vondst “een lokale privilege-escalatie met beperkte impact”. De labels verschillen, maar de beschrijving van het mechanisme en de vaste versie zijn overal hetzelfde.

Samenvatting van deze sectie: de impact is beperkt en de VPN-tunnel zelf wordt niet geraakt. Toch zijn de formulering van CERT, de mogelijkheid tot blijvende aanpassing van het opstarttype en het mogelijke gebruik na een eerdere infectie goede redenen om snel te patchen.

Hoe je jezelf beschermt

Voor thuisgebruikers

1. Open NordVPN en controleer de versie die in de app wordt getoond. Je vindt deze ook via Windows-instellingen > Apps > Geïnstalleerde apps.
2. Is de versie ouder dan 8.12? Werk dan bij via de eigen updatefunctie van de app of via de officiële NordVPN-download. TechRadar adviseert om te controleren of je op 8.12.0.0 of hoger zit. In het advies van CERT wordt de grens simpelweg als 8.12 genoemd.
3. Controleer na het updaten opnieuw of de nieuwe versie echt actief is.
4. Negeer links met “dringende NordVPN-patch” in advertenties, zoekresultaten of onverwachte e-mails. Een breed uitgemeten CVE is precies het soort lokaas waar phishers graag op inzetten.

Voor IT-beheerders

• Breng eerst alle systemen in kaart. Zoek elke Windows-endpoint met NordVPN, niet alleen de machines die vandaag actief verbinding maken. Breachroad adviseert specifiek om ook laptops die zelden online zijn, reserveapparaten, herinstallatie-images en systemen van contractors mee te nemen.
• Rol versie 8.12 of hoger uit via het gebruikelijke softwaredistributiekanaal. Controleer daarna de actieve versie en kijk of de VPN-instellingen van het bedrijf na de update nog intact zijn.
• Vernieuw gouden images en installatiepakketten, zodat een herstelde werkplek niet opnieuw kwetsbaar terugkomt.
• Onderzoek opvallende servicemutaties zorgvuldig. Een service die onverwacht is gestopt, of een service met plots een Handmatig-opstarttype, verdient controle van lokale processen, aanmeldingen en configuratiegeschiedenis. Breachroad waarschuwt dat een gewijzigd opstarttype op zichzelf niet bewijst dat deze CVE is misbruikt. Ook legitiem beheer of een andere applicatie kan de oorzaak zijn.
• Gebruik je een pc van de werkgever? Meld een verouderde client dan bij IT in plaats van het apparaatbeleid te omzeilen.

Het bredere beeld

Beheerde hulpservices in Windows-apps van derden zijn al jaren een bekende bron van lokale privilege-escalatie en denial-of-serviceproblemen. VPN-clients, hardwarehulpprogramma’s en game-launchers leveren allemaal een service met hoge rechten en een open communicatiekanaal. Elk van die onderdelen vergroot het aanvalsoppervlak van een pc. Het is een nuttige herinnering dat “beveiligingssoftware” niet automatisch veilige software betekent.

Het goede nieuws is dat het proces werkt zoals het hoort. Een onderzoeker vond de fout en meldde die via een nationaal CERT, de leverancier bracht een oplossing uit en het advies bevat duidelijke, controleerbare details.

Voor de meeste lezers kost het oplossen van CVE-2026-106030 ongeveer twee minuten: controleer de versie en update waar nodig. Systeembeheerders hebben een iets grotere taak, omdat daar ook een inventarisatie voor nodig is.

Heb je vreemd servicegedrag gezien op een machine met een oudere versie van NordVPN, of heb je hulp nodig bij het uitrollen van de update naar een groter aantal systemen? Laat het weten in de Windows security- en enterprise-ITforums.