Je beveiligingsachterstand is nu een wapen: Wat het 2025 Exposure Management Report betekent voor gevoelige content

Dit is iets waar elke CISO zich ongemakkelijk bij zou moeten voelen

Die drie jaar oude kwetsbaarheid die je nog steeds wilde patchen? Aanvallers hebben zojuist ontdekt hoe ze deze in minder dan een uur kunnen uitbuiten—dankzij AI-ondersteunde coderingstools die jouw achterstand omzetten in hun boodschappenlijstje.

De 2025 Exposure Management Index van Intruder analyseerde meer dan 3.000 kleine en middelgrote organisaties, en de bevindingen schetsen een beeld dat zowel bemoedigend als zorgwekkend is. Ja, teams worden sneller in het oplossen van kritieke kwetsbaarheden—89% wordt nu binnen 30 dagen hersteld, tegenover 75% in 2024. Maar hier komt de klap: het aantal kwetsbaarheden met een hoge ernst stijgt met 19% jaar-op-jaar, en aanvallers hebben ontdekt dat jouw “oude voorraad” van oudere CVE’s makkelijker te misbruiken is dan ooit tevoren.

Voor organisaties die gevoelige content verwerken—financiële documenten, zorgdossiers, klantgegevens, intellectueel eigendom—vormt deze verschuiving een existentiële bedreiging. Wanneer aanvallers zich richten op systemen met internettoegang die jouw meest waardevolle data beschermen, kan één niet-gepatchte “hoge” kwetsbaarheid het verschil zijn tussen business as usual en een datalekmelding.

Laten we uiteenzetten wat deze data betekenen voor jouw beveiligingsprogramma, je complianceverplichtingen en je vermogen om de content te beschermen die het meest telt.

Severity Shuffle: Waarom “Hoog” de Nieuwe Kritiek Is

De kop uit het 2025-rapport is niet subtiel: kritieke kwetsbaarheden zijn gestabiliseerd, maar issues met hoge ernst stijgen snel. Organisaties zagen hun gemiddelde aantal kwetsbaarheden met hoge ernst stijgen van 281 naar 334—een toename van 19% die direct samenhangt met een stijging van 34% in hoge CVE’s in het bredere ecosysteem.

Waarom zou je je druk maken om hoge ernst?

Omdat ernstclassificaties een vertrekpunt zijn, geen eindpunt. Een “hoge” kwetsbaarheid op een internetgerichte bestandsoverdracht, klantportaal of identity provider is niet zomaar een bevinding—het is een geladen wapen gericht op je meest gevoelige data. Het classificatiesysteem vertelt hoe erg iets kan zijn; blootstelling en gevolgen vertellen hoe erg iets zal zijn als het wordt uitgebuit.

Kijk naar de anatomie van moderne datalekken: ze beginnen zelden met complexe zero-days. In plaats daarvan worden bekende kwetsbaarheden op voorspelbare plekken uitgebuit—de VPN-gateway die je documentenrepository beschermt, de firewall die je samenwerkingsplatform beveiligt, de identity provider die toegang tot klantbestanden regelt. Deze systemen zijn bewust blootgesteld omdat ze toegankelijk moeten zijn. Als ze kwetsbaar zijn, wordt uitbuiting zowel wijdverspreid als verwoestend.

Voor organisaties die gebruikmaken van beveiligde bestandsoverdracht en communicatieplatforms, ontstaat hier een specifiek knelpunt. Je beveiligingsapparatuur en perimetrische infrastructuur beschermen niet alleen je netwerk—ze beschermen de kroonjuwelen van je bedrijf. Elke niet-gepatchte kwetsbaarheid met hoge ernst in deze systemen is een open uitnodiging.

AI-gedreven Exploitfabriek: Jouw Oude Problemen Zijn Weer Nieuw

Hier wordt het echt ongemakkelijk: aanvallers maken steeds vaker misbruik van kwetsbaarheden die één, twee of zelfs drie jaar oud zijn. Waarom? AI-ondersteunde codering heeft de drempel om betrouwbare exploitcode te maken drastisch verlaagd. Wat voorheen weken werk was voor ervaren onderzoekers, kost nu slechts enkele uren voor redelijk capabele dreigingsactoren.

De data bevestigen dit. De “kwetsbaarheden van het jaar” in 2025 lezen als een greatest hits-album van perimetrische en alomtegenwoordige infrastructuur:

ToolShell: De Zaterdagochtendnachtmerrie

Microsoft SharePoint CVE-2025-53770 liet de anatomie van een moderne “perfecte storm” zien. Niet-geauthenticeerde remote code execution op systemen die vaak aan Active Directory zijn gekoppeld, met details die op een zaterdag verschijnen wanneer veel teams geen buiten kantooruren-dekking hebben. Patchbeschikbaarheid liep achter op de bekendmaking, waardoor er een uitbuitbaar venster ontstond van dagen, niet uren.

Als jouw organisatie SharePoint gebruikt voor documentensamenwerking en -beheer, zou dit je moeten verontrusten. De eerste teams die reageerden, hadden een kans. Wie de eerste dagen miste? Die stapten mogelijk in actieve post-exploitatie, met aanvallers al binnen in hun documentenrepository’s.

Palo Alto PAN-OS: Wanneer “Opgelost” Niet Opgelost Is

De auth bypass-kwetsbaarheid (CVE-2025-0108) is een harde herinnering dat beveiliging nooit echt “opgelost” is. Eerdere beveiligingen na een eerdere bypass bleken onvolledig. Aanvallers combineerden variaties in hoe Apache, Nginx en PHP verzoeken verwerken om authenticatie op beheervlakken te omzeilen.

Als authenticatie faalt op een firewallbeheerinterface, is de impact direct en catastrofaal. Voor organisaties die gevoelige bestandsoverdrachten en communicatie achter beveiligingsapparatuur beschermen, is dit het rampscenario—de systemen die je data moeten beschermen worden het toegangspunt.

Apache mod_rewrite: Alomtegenwoordigheid Creëert Kansen

CVE-2024-38475 bewijst dat breed ingezette componenten de snelste route naar impact blijven. Door de enorme hoeveelheid Apache-installaties blijven bugs op applicatieniveau opduiken in exploitkits, omdat de installbase groot is en traag update.

De rode draad in deze drie casestudy’s is glashelder: internetgerichte, identity-gerelateerde en breed ingezette infrastructuur blijft de snelweg voor aanvallers die zich richten op gevoelige data.

Snelheidsparadox: Sneller Worden Maar Toch Achteropraken

Nu het goede nieuws—en dat is er echt. Organisaties verbeteren hun herstelsnelheid aanzienlijk. Noord-Amerika bracht de gemiddelde hersteltijd van kritieke kwetsbaarheden terug van 37 naar 16 dagen. Europa heeft gemiddeld ongeveer 100 minder kritieke kwetsbaarheden per organisatie dan Noord-Amerikaanse collega’s, al dragen ze wel een hogere hoeveelheid issues met hoge ernst (423 vs. 248).

Dat 89% van de kritieke kwetsbaarheden binnen 30 dagen wordt opgelost, is een echte prestatie. Het laat zien dat wanneer organisaties processen stroomlijnen, teams versterken en bureaucratische wrijving wegnemen, ze kunnen handelen op de snelheid die moderne dreigingen vereisen.

Maar hier is de paradox: zelfs als de herstelsnelheid verbetert, blijven de hoeveelheid en snelheid van uitbuitbare kwetsbaarheden toenemen. Je rent sneller, maar de finishlijn blijft opschuiven. Voor organisaties die gevoelige content beheren, betekent dit een voortdurende staat van gecontroleerde chaos—je verbetert, maar je loopt altijd achter de feiten aan.

Compliancegoudmijn Verborgen in Je Metrics

Voor compliance- en privacyverantwoordelijken betekent de 30-dagen herstelbenchmark meer dan een beveiligingsmetric—het is controleerbaar bewijs van effectiviteit.

Toezichthouders en zakelijke klanten eisen steeds vaker bewijs, geen beloften. Ze willen:

• Assetinventarissen met duidelijk eigenaarschap
• Ernstmotivering die prioriteringsbeslissingen uitlegt
• Wijzigingsgoedkeuringen met gedocumenteerde zakelijke rechtvaardiging
• Hersteltijdstempels die de snelheid van reactie aantonen
• Uitzonderingsafhandeling die volwassen risicobeheer laat zien

De verschuiving naar herstel binnen 30 dagen voor kritieke kwetsbaarheden creëert een praktisch, meetbaar doel dat auditors kunnen verifiëren. Dit is geen ambitie—de data bewijst dat het haalbaar is op schaal.

Voor organisaties die onder regelgeving vallen zoals GDPR, HIPAA, DORA of de NIS 2-richtlijn, biedt exposure management een essentiële brug tussen security operations en compliancebewijzen. Elke kwetsbaarheid die wordt ontdekt, geprioriteerd en hersteld, genereert artefacten die direct voldoen aan vereisten rond beveiliging van verwerking, operationele weerbaarheid en incidentrespons.

Denk aan de specifieke gevolgen voor het risico op datalekmeldingen. Niet-geauthenticeerde RCE’s en authentication bypasses op internetgerichte systemen—vooral identity providers, bestandsoverdrachtplatforms en beheervlakken—vergroten de kans op blootstelling van persoonsgegevens aanzienlijk. Exposure management vermindert niet alleen technisch risico; het verkleint de kans op het bereiken van meldingsdrempels en de bijbehorende regelgevende, financiële en reputatieschade.

Find-Fix Gap: Waar Goede Intenties Sneuvelen

Het rapport onthult een ongemakkelijke waarheid over organisatiegrootte en herstelsnelheid. In 2024 losten bedrijven met minder dan 50 medewerkers kritieke kwetsbaarheden bijna twee keer zo snel op als organisaties met 51-2.000 medewerkers (20 dagen vs. 38 dagen). In 2025 is dat gat kleiner geworden tot 14 vs. 17 dagen—vooruitgang, maar nog steeds veelzeggend.

Waarom zijn kleine teams sneller? Het antwoord is pijnlijk simpel: minder overdrachten, minder goedkeuringen, minder ballast uit het verleden.

Beveiligingsteams kunnen kwetsbaarheden vinden en triageren met indrukwekkende efficiëntie. Moderne scanningtools, Threat Intelligence-feeds en geautomatiseerde asset discovery maken detectie eenvoudig. Maar beveiligingsteams kunnen kwetsbaarheden niet oplossen—alleen infrastructuurengineers, DevOps-teams en productontwikkelaars kunnen dat. Elke overdracht tussen ontdekking en herstel voegt wrijving, vertraging en het risico toe dat het probleem blijft hangen in iemands achterstand.

De sectorspecifieke data illustreren deze dynamiek prachtig:

• Softwarebedrijven zijn de uitblinkers en brachten de gemiddelde hersteltijd van kritieke kwetsbaarheden terug van 24 naar 13 dagen. Cloudgerichte workflows, geautomatiseerde deployment pipelines en snelle rollbackmogelijkheden bieden natuurlijke voordelen.
• Financiële sector ging de verkeerde kant op—van een indrukwekkend gemiddelde van 14 dagen in 2024 naar 22 dagen in 2025. Complexiteit van de omgeving, strenge wijzigingscontroles en een risicomijdende cultuur verklaren waarschijnlijk de vertraging. Als je klantdata beheert en onder toezicht staat, kan de druk om operationele verstoringen te vermijden paradoxaal genoeg het herstel van kritieke beveiligingsproblemen vertragen.
• Zorgsector zit qua hersteltijd in de lage twintig, met unieke uitdagingen rond internetgerichte klinische systemen en samenwerkingsplatforms die niet langdurig offline kunnen voor onderhoud.
• Professionele dienstverlening liet een mooie verbetering zien (van 29 naar 21 dagen), al blijft het een uitdaging om dat tempo vast te houden als het klantwerk toeneemt.

Voor organisaties die gevoelige content beheren in al deze sectoren is de les duidelijk: de afstand tussen je beveiligingsteam en je engineeringteam wordt gemeten in dagen van blootstelling. Minimaliseer overdrachten, elimineer bureaucratische wrijving en geef de mensen die fixes kunnen toepassen de ruimte.

Zes Acties Die Echt Verschil Maken

Genoeg diagnose—laten we het hebben over wat echt werkt. De organisaties die herstel binnen 30 dagen halen en hun blootstelling effectief beheren, delen deze beste practices:

1. Verminder je internetfootprint meedogenloos
   Elk systeem met internettoegang is een potentieel toegangspunt. Controleer wat er blootstaat, stel de noodzaak ter discussie en verwijder alles wat niet door de “noodzakelijk en verdedigd”-test komt. Voor organisaties met beveiligde bestandsoverdracht betekent dit: zorg dat alleen correct geauthenticeerde, gemonitorde en verdedigde systemen aan het publieke internet hangen.
2. Herweeg je triageproces
   Kritieke kwetsbaarheden verdienen nog steeds directe aandacht, maar de toename van issues met hoge ernst betekent dat je ze niet kunt negeren tot de kritieke queue leeg is. Prioriteer op basis van:
   • Exploitability (is er werkende exploitcode beschikbaar?)
   • Blootstelling (is dit systeem internetgericht?)
   • Impact (wat is het gevolg als dit wordt gecompromitteerd?)
   • Datasensitiviteit (beschermt dit gereguleerde of waardevolle content?)

   Een kwetsbaarheid met hoge ernst op de authenticatielaag van je documentmanagementsysteem verdient meer urgentie dan een kritieke kwetsbaarheid op een interne testserver.

3. Leg sub-30-dagen SLA’s vast met zichtbaarheid op bestuursniveau
   Maak de 30/60/90-dagen hersteldoelen tot formeel beleid. Zet ze in een dashboard dat je bestuur elk kwartaal bekijkt. Kun je deze metrics vandaag niet meten en rapporteren, dan is het verbeteren van het meetsysteem je eerste prioriteit. De data bewijst dat deze termijnen haalbaar zijn—maak ze nu verplicht.
4. Sluit de Find-Fix Gap
   Breng herstelverantwoordelijkheid zo dicht mogelijk bij de teams die kunnen handelen. Voor kritieke infrastructuur en beveiligingsapparatuur, stel vooraf goedgekeurde noodwijzigingsvensters in voor perimeteradviezen. Documenteer het goedkeuringsproces, maar maak het snel. Het verschil tussen een gemiddelde van 16 en 37 dagen komt vaak neer op het aantal goedkeuringsstappen dat teams moeten doorlopen.
5. Behandel je leveranciersnetwerk als je eigen infrastructuur
   Risicobeheer door derden en shadow IT vergroten je aanvalsvlak, soms onzichtbaar. Asset discovery moet ook leveranciersomgevingen en “ongeautoriseerde maar gebruikte” diensten omvatten. Contractuele SLA’s met leveranciers moeten dezelfde 30/60/90-dagen verwachtingen weerspiegelen als intern. Als een leverancier systemen beheert die jouw gevoelige data raken, is hun herstelsnelheid jouw herstelsnelheid.
6. Engineeer compliance vanaf het begin
   Leg artefacten vast tijdens je werk: assetlijsten, ernstbeslissingen, tijdstempels, goedkeuringen, uitzonderingsmotieven. Koppel ze vanaf dag één aan regelgevende kaders en klantvereisten. Als je exposure management-programma ook je auditbewijzen opslaat, wordt je volgende assessment geen brandsituatie maar een simpele datapull.

Regionaal Regelgevend Effect

De data suggereren iets fascinerends over de impact van regelgevende druk. Europese organisaties hebben ongeveer 100 minder kritieke kwetsbaarheden per bedrijf dan Noord-Amerikaanse collega’s. Voorstanders van DORA, NIS 2 en de Cyber Resilience Act zullen dit zien als vroege bevestiging dat regelgevende kaders gedragsverandering stimuleren.

Het rapport is terecht voorzichtig—het is te vroeg om de overwinning uit te roepen, en Europese organisaties hebben nog steeds een hogere hoeveelheid issues met hoge ernst. Maar de trend suggereert dat externe druk, van toezichthouders of veeleisende zakelijke klanten, beveiligingsverbeteringen versnelt.

Je hebt geen verplichting nodig om deze beste practices toe te passen, maar als je te maken hebt met compliancevereisten of contractuele beveiligingsverplichtingen, gebruik ze dan als hefboom om budget, capaciteit en steun van het management te krijgen.

AI Wild Card: Snelle Code, Snelle Kwetsbaarheden

Een ongemakkelijke realiteit: dezelfde AI-ondersteunde ontwikkeltools die je softwarelevering versnellen, kunnen ook de uitrol van kwetsbare code versnellen. Als AI je ontwikkelaars helpt sneller te leveren, helpt het ze ook sneller kwetsbaarheden te leveren.

De oplossing is niet om AI-ondersteunde ontwikkeling te verbieden—dat is een gepasseerd station. Behandel AI-gegenereerde code als elk ander onderdeel van de toeleveringsketen. Pas dezelfde reviewstappen, geautomatiseerde beveiligingsscans en testvereisten toe op AI-ondersteunde output voordat deze in productie gaat. Je vulnerability management-programma moet rekening houden met de versnelling van zowel legitieme ontwikkeling als potentiële beveiligingsproblemen.

Drie Acties voor Dit Kwartaal

De data van 3.000+ organisaties bieden een stappenplan. Hierop kun je focussen voor maximaal effect:

1. Controleer je internetgerichte infrastructuur, vooral systemen die gevoelige content beschermen of ontsluiten. Als het blootstaat, moet het noodzakelijk zijn, correct geauthenticeerd, continu gemonitord en verdedigd met actuele beveiligingsmaatregelen. Alles wat niet voldoet, moet achter extra beschermingslagen of volledig worden verwijderd.
2. Herweeg je triage richting kwetsbaarheden met hoge ernst waarvoor exploitcode beschikbaar is, vooral in oudere CVE’s. De “oude voorraad is actueel” en aanvallers recyclen drie jaar oude kwetsbaarheden sneller dan jij ze patcht. Bouw specifieke draaiboeken voor de kwetsbaarheidsklassen uit het rapport—niet-geauthenticeerde RCE’s, authentication bypasses en kwetsbaarheden in alomtegenwoordige infrastructuur. Oefen vervolgens daadwerkelijk met het uitvoeren van die draaiboeken.
3. Institutionaliseer de sub-30-dagen herstelbenchmark voor kritieke kwetsbaarheden. Leg het vast in beleid, oefen het in de operatie en bewijs het in audits. Maak het een KPI die terugkomt in dashboards voor het bestuur en managementreviews. De data bewijst dat deze termijn haalbaar is voor organisaties van diverse omvang en sectoren—er is geen excuus voor trager presteren.

Bottom Line: Snelheid Telt, Maar Focus Telt Meer

De 2025 Exposure Management Index geeft een duidelijke boodschap, en die helderheid is waardevol. De organisaties die risico het meest effectief beheren, proberen niet elke kwetsbaarheid te patchen—ze beperken internetblootstelling, prioriteren de kwetsbaarheden die het verschil maken en zorgen dat hun fixes zichtbaar en verifieerbaar zijn.

Voor organisaties die gevoelige content beheren, zijn de risico’s bijzonder groot. Elk internetgericht systeem dat documenten, communicatie of data beschermt, is een potentieel toegangspunt. Elke authentication bypass, elke niet-gepatchte RCE, elke oude CVE met nieuwe exploitcode is een directe bedreiging voor de content die je moet beschermen.

Het goede nieuws? De herstelsnelheid verbetert. De tools zijn er. De benchmarks zijn haalbaar. Wat succesvolle organisaties onderscheidt van de achterblijvers is niet budget of capaciteit—het is focus, procesdiscipline en de bereidheid om te meten en rapporteren wat echt telt.

Jouw beveiligingsachterstand is niet langer alleen een technisch schuldprobleem. Het is een wapen dat op je organisatie is gericht door tegenstanders die het nu sneller kunnen uitbuiten dan jij het kunt oplossen. De vraag is niet of je je exposure management-programma verbetert—de vraag is of je dat doet voordat een aanvaller jouw achterstand gebruikt voor hun doorbraak.