Waarom Kiteworks klanten vroeg hun servers uit te zetten

Kiteworks, voorheen Accellion, adviseerde klanten hun zelfbeheerde systemen voor bestandsoverdracht tijdelijk uit te zetten. Het bedrijf zei geloofwaardige informatie van federale inlichtingendiensten te hebben ontvangen dat een aanvaller mogelijk enkele Kiteworks-systemen zou proberen te treffen. De oproep was uit voorzorg: Kiteworks had naar eigen zeggen geen aanwijzingen dat zijn eigen systemen of die van klanten waren gecompromitteerd.426

Waarom moesten de systemen offline?

De waarschuwing ging over een mogelijke aanval, niet over een publiekelijk bevestigde exploit. Kiteworks raadde aan de betrokken systemen tijdelijk offline te halen terwijl het de dreiging onderzocht. Volgens berichtgeving over een klantmail ging het om een venster van zes uur rond 26 september 2026; klanten werd ook aangeraden zo mogelijk eerder af te sluiten.47

Daarbij is een verschil belangrijk: in zijn openbare waarschuwing noemde Kiteworks een voorzorgsvenster van negen uur, volgens de lokale tijdzone van de klant. De zes en negen uur zijn dus geen uitwisselbare instructies. Voor klanten was de aanwijzing voor hun eigen installatie leidend.426

Was er sprake van een zeroday-aanval?

Dat stond niet vast. Kiteworks zei dat een aanvaller mogelijk enkele van zijn systemen zou proberen te treffen. In de berichtgeving werd een zerodaykwetsbaarheid genoemd — een beveiligingslek waarvoor nog geen oplossing beschikbaar is — maar publiekelijk was niet vastgesteld dat zo’n kwetsbaarheid was uitgebuit. Op het moment van de berichtgeving waren er geen CVE-nummer, de gebruikelijke identificatiecode voor een kwetsbaarheid, of technische details over een mogelijke aanvalsmethode bekendgemaakt. Ook werd geen aanvaller genoemd.21726

Voor welke producten gold het advies?

Klanten die Kiteworks zelf beheren, waaronder installaties op eigen locatie en zelfbeheerde cloudomgevingen, kregen het advies hun systemen uit te zetten. Kiteworks zou zijn eigen gehoste omgevingen zelf afhandelen. Volgens berichtgeving vielen DRACOON, ownCloud en totemo buiten deze waarschuwing.1820

Kiteworks stelde dat versie 9.5.1 alle bekende kwetsbaarheden verhelpt. Dat betekent niet dat de mogelijke aanval een bekende kwetsbaarheid betrof, of dat deze versie een oplossing was voor een bevestigde zerodaykwetsbaarheid.1626

Waarom de naam Accellion weer opduikt

Een product voor bestandsoverdracht van Accellion werd in 2020–2021 uitgebuit tijdens een campagne van de Clop-groep waarbij gegevens werden gestolen en slachtoffers werden afgeperst. Die voorgeschiedenis laat zien waarom een waarschuwing over bestandsoverdracht serieus wordt genomen. Ze is geen aanwijzing dat Clop betrokken was bij de dreiging in september 2026, of dat die aanval daadwerkelijk plaatsvond.226