Advertentie
Het aantal geregistreerde softwarekwetsbaarheden heeft in 2026 voor het eerst de grens van 100.000 overschreden. Dat is nu al meer dan het dubbele van het totale aantal in 2025. Volgens beveiligingsbedrijf VulnCheck speelt kunstmatige intelligentie een belangrijke rol bij de sterke stijging. Tegelijkertijd worden kwetsbaarheden steeds sneller misbruikt door cybercriminelen.
Op vrijdag 13 november stond de teller volgens VulnCheck op 100.222 geregistreerde kwetsbaarheden, ook wel CVE's (Common Vulnerabilities and Exposures) genoemd. Deze identificatienummers worden gebruikt om beveiligingslekken in software en hardware te registreren en te volgen. Alleen Microsoft voegde tijdens de Patch Tuesday van november 1.094 kwetsbaarheden toe, tegenover 1.474 in oktober.
Volgens Josh Bressers, verantwoordelijk voor de gecoördineerde bekendmaking van kwetsbaarheden bij VulnCheck, ligt AI aan de basis van een groot deel van de stijging. Geautomatiseerde beveiligingstools kunnen steeds sneller software analyseren en fouten ontdekken die voorheen veel handmatig onderzoek vereisten. Hoe groot het aandeel van AI precies is, werd echter niet vastgesteld.
Cybercriminelen maken steeds sneller misbruik van kwetsbaarheden
Ondanks het recordaantal kwetsbaarheden blijft het percentage waarvan bekend is dat ze daadwerkelijk worden misbruikt relatief stabiel. Ongeveer 1,4 procent van de in 2026 geregistreerde kwetsbaarheden, goed voor 1.363 gevallen, staat in de Known Exploited Vulnerabilities-database van VulnCheck.
Dat percentage lijkt beperkt, maar door het sterk gestegen aantal registraties neemt ook het absolute aantal bekende misbruikte kwetsbaarheden toe.
Bovendien krijgen organisaties steeds minder tijd om beveiligingsupdates te installeren. Uit onderzoek van VulnCheck blijkt dat de mediane periode tussen de publicatie van een kwetsbaarheid en het eerste vastgestelde misbruik is gedaald van 120 dagen in 2025 naar 80 dagen in de eerste helft van 2026.
Beveiligingsbedrijf CrowdStrike stelde daarnaast vast dat 88 procent van de aanvallen waarbij publieke proof-of-conceptcode werd gebruikt, binnen 48 uur na het beschikbaar komen van die code plaatsvond. Sommige aan China gelinkte hackersgroepen slaagden er zelfs in om binnen 24 uur aanvallen uit te voeren.
In bepaalde gevallen gaat het nog sneller. VulnCheck publiceerde onlangs veertien beveiligingslekken in koelcontrollers van fabrikant Copeland, waarvan er twee al actief werden misbruikt. Volgens Bressers registreerden de honeypots van het beveiligingsbedrijf binnen enkele minuten na publicatie de eerste verdachte verbindingen.
Beveiliging moet zich meer richten op daadwerkelijke risico's
De snelle toename van het aantal kwetsbaarheden maakt het steeds moeilijker om alle beveiligingsproblemen op dezelfde manier te behandelen. Bedrijven moeten daarom gerichter bepalen welke kwetsbaarheden daadwerkelijk risico's opleveren voor hun infrastructuur.
Daarbij is niet alleen de technische ernst van een kwetsbaarheid belangrijk. Ook de vraag of een getroffen systeem vanaf het internet bereikbaar is, of er al aanvallen plaatsvinden en hoe eenvoudig misbruik kan worden geautomatiseerd, moet meewegen.
De Amerikaanse cybersecurityorganisatie CISA publiceerde in juni een richtlijn die deze risicogebaseerde aanpak ondersteunt. Organisaties worden daarin aangemoedigd om hun patchbeleid minder uitsluitend op CVSS-scores te baseren en meer rekening te houden met de praktische dreiging.
Open sourceprojecten overspoeld met AI-meldingen
Ook ontwikkelaars van opensourcesoftware ondervinden de gevolgen van AI-gestuurd beveiligingsonderzoek. Zij krijgen steeds grotere aantallen meldingen binnen, die niet altijd even relevant of correct zijn. Het beoordelen van die meldingen kan veel tijd kosten, vooral bij projecten die door een kleine groep vrijwilligers worden onderhouden.
Een bekend voorbeeld is curl, de veelgebruikte tool voor gegevensoverdracht. Hoofdontwikkelaar Daniel Stenberg besloot eerder dit jaar het bugbountyprogramma stop te zetten omdat de hoeveelheid AI-gegenereerde meldingen te veel werk veroorzaakte.
Sinds kort worden meldingen met een lage of gemiddelde ernst bovendien rechtstreeks via de publieke GitHub-repository behandeld. Alleen ernstige en kritieke kwetsbaarheden komen nog in aanmerking voor een vertrouwelijke afhandeling.
Ook de Eclipse Foundation heeft maatregelen genomen om de toenemende belasting van haar infrastructuur op te vangen. De organisatie introduceerde een betaalde beheerde versie van Open VSX, een registry voor extensies van ontwikkelomgevingen. Grote zakelijke gebruikers kunnen daarmee bijdragen aan de kosten van het platform.
Volgens Bressers zal de beveiligingssector zijn aanpak ingrijpend moeten veranderen. Niet het totale aantal gevonden kwetsbaarheden, maar de risico's die ze voor afzonderlijke organisaties vormen, moeten centraal komen te staan.
