Kwetsbaarheidsexploitatie heeft zojuist inloggegevens ingehaald. Het patchmodel faalt stilletjes.

Negentien jaar lang heeft het Verizon DBIR hetzelfde ongemakkelijke feit vastgelegd: de meeste aanvallers krijgen toegang door het stelen van inloggegevens. Het 2026 DBIR publiceert nu voor het eerst een omkering van dat patroon. Kwetsbaarheidsexploitatie is nu het belangrijkste initiële toegangskanaal met 31% van de datalekken. Misbruik van inloggegevens is gedaald naar 13%.

In de actiedata verschijnt dezelfde trend op het niveau van actietypen — exploitatie komt nu voor in 32% van de datalekken als actie, een stijging ten opzichte van 18% het jaar ervoor, en is daarmee in één jaar verdubbeld. Het Mandiant M-Trends 2026-rapport bevestigt dit met incidentresponsdata: exploits waren verantwoordelijk voor 32% van de inbraken, terwijl e-mail phishing slechts 6% uitmaakte. De verdediging die sterk op inloggegevens gericht is, blijft noodzakelijk, maar is niet langer afgestemd op de dominante dreiging.

5 Belangrijkste Inzichten

1. Kwetsbaarheidsexploitatie is nu het #1 initiële toegangskanaal.

Het 2026 Verizon DBIR vond exploitatie bij 31% van de datalekken, terwijl misbruik van inloggegevens daalde naar 13%. Dit is de eerste keer in 19 jaar DBIR-rapportages dat exploitatie de hoogste positie inneemt. De verdedigingsmaatregelen die de meeste organisaties de afgelopen vijf jaar hebben opgebouwd — multi-factor authenticatie, phishing-resistente authenticatie, monitoring van inloggegevens — waren correct voor het vorige tijdperk, maar zijn nu afgestemd op de verkeerde primaire dreiging.

2. KEV-herstelpercentages gaan achteruit.

Slechts 26% van de door CISA KEV-genoteerde kritieke kwetsbaarheden werd in 2025 volledig hersteld door organisaties, een daling ten opzichte van 38% het jaar ervoor. De mediane tijd tot volledige oplossing steeg van 32 naar 43 dagen. Organisaties werden geconfronteerd met 50% meer kritieke kwetsbaarheden in het mediane geval dan het jaar ervoor. De noemer groeit sneller dan de herstelcapaciteit. Dit is een structureel probleem, geen uitvoeringsprobleem. Een incidentresponsstrategie die patching als primaire controle gebruikt, is gebaseerd op de verkeerde grondslag.

3. AI verkleint het aanvallersvenster tot uren.

Onderzoek van Synack toont aan dat de gemiddelde tijd tot herstel verbeterde van 63 naar 38 dagen — een echte vooruitgang die echter wordt ingehaald door de snelheid van exploitatie. Het exploitatievenster is nu teruggebracht tot uren. CrowdStrike documenteert een stijging van 89% jaar-op-jaar in AI-gestuurde aanvallersactiviteiten en een toename van 42% in zero-days. Het gat tussen openbaarmaking en bewapening wordt sneller kleiner dan de snelheid waarmee verdedigers reageren toeneemt.

4. NVD-verrijking stort in onder de druk.

Het Dragos 2026 OT/ICS-rapport vond dat 15% van de CISA- en NVD-CVE’s in 2025 onjuiste CVSS-scores had — waarvan 64% te laag werd gerapporteerd. Vijfentwintig procent van de publieke adviezen had geen patch of mitigatie beschikbaar. Wanneer de onderliggende score-infrastructuur 15% van de tijd onjuist is en een kwart van de openbaarmakingen geen oplossing heeft, kan gegevensbeheer niet afhankelijk zijn van kennis van de CVE om data te beschermen.

5. Het architecturale antwoord is governance op datalaag-niveau.

Wanneer de patch niet op tijd kan komen — of arriveert zonder een correcte CVSS-score, of arriveert zonder oplossing — moet de data alsnog worden beschermd. Zero-trust toegang, FIPS 140-3 encryptie en manipulatiebestendige audit logs zijn niet afhankelijk van kennis van de CVE. Log4Shell met CVSS 10 werd binnen Kiteworks-omgevingen effectief teruggebracht tot CVSS 4, juist omdat de verdediging op datalaag standhield toen de applicatielaag kwetsbaar was.

Het Herstelprobleem: 26% Gaat Achteruit

Slechts 26% van de door CISA KEV-genoteerde kritieke kwetsbaarheden werd in 2025 volledig hersteld — een daling ten opzichte van 38% het jaar ervoor. De mediane tijd tot volledige oplossing steeg van 32 naar 43 dagen. Organisaties werden geconfronteerd met 50% meer kritieke kwetsbaarheden in het mediane geval dan het jaar ervoor, wat een deel van de verklaring is, maar niet het volledige verhaal. Het Synack 2026 State of Vulnerabilities Report analyseerde meer dan 11.000 exploiteerbare kwetsbaarheden: gepubliceerde CVE’s bereikten 48.244 (een stijging van 20% jaar-op-jaar), de gemiddelde tijd tot herstel daalde van 63 naar 38 dagen — een verbetering die echter wordt ingehaald door het tempo waarmee nieuwe kwetsbaarheden worden ontdekt en bewapend.

Het CrowdStrike 2026 Global Threat Report voegt de versnelling aan aanvallerszijde toe: een stijging van 42% in zero-day exploits, 89% jaar-op-jaar toename in AI-gestuurde aanvallersactiviteiten, en documentatie van eCrime-groepen die systematisch zero-days bewapenen in via internet toegankelijke bedrijfsomgevingen — MFT, ITSM, ERP — de categorieën waar de data zit die aanvallers het liefst willen. Het patroon is consistent: aanvallers versnellen, verdedigers verbeteren maar niet snel genoeg om het gat te dichten.

De NVD-Instorting: Wanneer CVSS-scores Onjuist of Ontbrekend Zijn

Het patch-gebaseerde verdedigingsmodel rust op een stille aanname: dat kwetsbaarheden snel worden gescoord, dat CVSS-scores accuraat zijn en dat mitigaties samen met de openbaarmaking worden gepubliceerd. Het Dragos 2026 OT/ICS Cybersecurity Year in Review documenteert hoe onhoudbaar die aanname is geworden. 15% van de CISA- en NVD-CVE’s had in 2025 onjuiste CVSS-scores — waarvan 64% te laag werd gerapporteerd, wat betekent dat de score systematisch de ernst onderschat. 25% van de publieke adviezen had geen patch of mitigatie beschikbaar. NVD-verrijking alleen kan nu tot twee jaar duren.

De structurele implicaties: tooling voor kwetsbaarhedenbeheer die prioriteert op basis van CVSS, doet dat 15% van de tijd op basis van slechte data, waarbij de correcties neigen naar onderschatting van het risico. Voor één op de vier gemelde problemen is patchen geen optie. Prioritering op basis van NVD-data werkt met een permanente achterstand. Daarom kunnen gegevensclassificatie en governance op datalaag-niveau niet afhankelijk zijn van kennis van de CVE om bescherming af te dwingen — de bescherming moet voorafgaan aan de openbaarmaking.

De Architecturale Implicatie: Patching Is Nodig Maar Niet Meer Voldoende

De gecombineerde bevinding uit de 2026 DBIR, Synack, Mandiant, CrowdStrike en Dragos-data is niet dat patchbeheer heeft gefaald. Het is dat patchbeheer niet langer alleen de verdedigingslast kan dragen waarvoor het is ontworpen. Het reactievenster van verdedigers wordt nu in uren gemeten; de typische patchcyclus in dagen of weken; de onderliggende kwetsbaarheidsdata wordt steeds onbetrouwbaarder; en een aanzienlijk deel van de gemelde problemen heeft geen oplossing.

De architecturale conclusie is dat de verdediging stand moet houden, zelfs als de patch te laat komt, arriveert zonder correcte CVSS-score, of nooit komt. Het bewijs van Kiteworks: Log4Shell met CVSS 10 in december 2021 werd binnen Kiteworks-omgevingen effectief teruggebracht tot CVSS 4 — niet omdat klanten sneller patchten, maar omdat het geharde virtuele apparaat, ingebouwde WAF, single-tenant isolatie, FIPS 140-3 encryptie en manipulatiebestendige audit logs de blootstelling op datalaag reduceerden tot een fractie van de blootstelling op applicatielaag. De patch kwam uiteindelijk. De data hoefde daar niet op te wachten.

Vijf architecturale eigenschappen maken het verschil. Een geharde virtuele appliance met ingebouwde firewall, WAF en inbraakdetectie — zodat omringende verdediging voor containment zorgt terwijl patching plaatsvindt. FIPS 140-3 gevalideerde dubbele encryptie (bestand- plus schijfniveau, aparte sleutels) tijdens transport en in rust — zodat een exploit op applicatielaag geen exfiltratie op datalaag wordt. Single-tenant isolatie die het blast radius tussen tenants elimineert. Manipulatiebestendige audit logs naar SIEM in real time zonder throttling of logverlies. En zero-trust toegangscontrole op de datalaag met op attributen gebaseerde toegangscontrole bij elk verzoek — zodat een perimeterdatalek zich niet uitbreidt naar de onderliggende datalaag.

De Compliancebasis: FedRAMP, FIPS 140-3, CMMC en de Hardening Norm

De documentatie van het 2026 DBIR over systematische bewapening van via internet toegankelijke bedrijfsomgevingen pleit voor hardeningcertificeringen die verder gaan dan commerciële standaarden. 75% van de overheidsrespondenten vereist FedRAMP voor clouddiensten en 69% vereist FIPS 140-3 gevalideerde cryptografie volgens het Kiteworks 2025 Data Forms Report. Die vereisten bestaan omdat de instanties die ze opstellen operationele ervaring hebben met dezelfde tegenstanders die nu commerciële systemen aanvallen op het niveau dat het DBIR documenteert.

Slechts 46% van de organisaties in de defensie-industrie acht zichzelf voorbereid op CMMC Level 2 volgens het Kiteworks DIB preparedness report, waarbij 57% geen NIST 800-171 gap-analyse heeft uitgevoerd en 62% onvoldoende governancecontroles heeft. De dreigingsomgeving na het DBIR maakt CMMC-grade hardening relevant, ver buiten de DIB-context — toegangscontrole, audit, identificatie en authenticatie, en systeembeveiligingscontroles zijn precies de controles die standhouden als het patchmodel faalt.

Wat Securityleiders Dit Kwartaal Moeten Doen

Ten eerste, accepteer dat alleen patch-gebaseerde verdediging niet meer voldoende is. Blijvende investeringen in patchsnelheid zijn noodzakelijk. Het is niet het architecturale antwoord voor een omgeving waarin exploitatievensters uren duren en herstelpercentages dalen.

Ten tweede, audit de governancepositie op datalaag-niveau van elk systeem dat gereguleerde of gevoelige data bevat. De testvraag: als er morgen een kritieke kwetsbaarheid in dit systeem verschijnt zonder beschikbare patch, wat beschermt dan de data die erin staat? Als het antwoord neerkomt op “we zouden snel patchen”, is dat geen architecturaal antwoord.

Ten derde, geef prioriteit aan hardeningcertificeringen bij het selecteren van platforms voor gevoelige data-uitwisseling. Het DBIR documenteert systematische bewapening van kwetsbaarheden in MFT, ITSM en ERP. Platforms die onafhankelijk zijn beoordeeld op FedRAMP High, FIPS 140-3 en CMMC Level 2 standaarden zijn aantoonbaar grondiger gehard dan platforms zonder deze certificeringen.

Ten vierde, bouw het forensisch bewijs op vóór het datalek. Het DBIR documenteert 73 dagen als de mediane tijd tussen datalek en openbaarmaking. Manipulatiebestendige, real-time, volledige audit logs van elke data-uitwisselingsactiviteit vormen de basis van het forensisch bewijs. Gefragmenteerde of gethrottlede logs zullen de forensische toets niet doorstaan.

Ten vijfde, consolideer gefragmenteerde data-uitwisseling onder één controlevlak. Elke point solution heeft zijn eigen patchoppervlak en potentiële blast radius. Het Kiteworks Private Data Network — dat e-mail, bestandsoverdracht, MFT, SFTP, webformulieren en AI-integraties samenbrengt onder één geharde architectuur — vermindert het aantal via internet toegankelijke bedrijfsplatforms met gevoelige data in plaats van het te vergroten.

Wil je meer weten over het beschermen van gevoelige data tegen kwetsbaarheidsexploitatie, plan dan vandaag nog een aangepaste demo.

Aanvullende Bronnen

• Blog Post Hoe klinische proefdata te beschermen in internationaal onderzoek
• Blog Post De CLOUD Act en Britse gegevensbescherming: waarom rechtsbevoegdheid ertoe doet
• Blog Post Zero Trust Data Protection: Implementatiestrategieën voor verbeterde beveiliging
• Blog Post Data Protection by Design: Hoe GDPR-controles te integreren in uw MFT-programma
• Blog Post Hoe datalekken te voorkomen met beveiligde bestandsoverdracht over grenzen heen