De recente SecurityWeek-nieuwsronde onderstreept een terugkerend patroon: dreiging en patchvertraging gaan in de praktijk steeds vaker samen. Waar organisaties vroeger soms maanden hadden om te reageren, lijken aanvallers nu sneller te testen, te automatiseren en bewijs in het wild te vinden—met alle gevolgen van dien.
In dit overzicht bespreken we de belangrijkste ontwikkelingen: van phishingcampagnes gericht op Microsoft en Google-accounts tot LLMjacking dat binnen dagen tot grote fraudeclaims kan leiden. We zoomen extra in op SAP, waar de tijd tussen een patch en bewezen misbruik volgens onderzoekers sterk is afgenomen.
Waarom dreiging en patchvertraging nu sneller samenkomen
Een patch uitrollen is één ding; de tijd tot daadwerkelijke misbruikpogingen is iets anders. In verschillende meldingen deze week zie je dat aanvallers niet alleen kwetsbaarheden vinden, maar ze ook sneller operationeel inzetten. Dat komt doordat tooling volwassen is, misbruikketens herhaalbaar zijn en toegang soms al aanwezig is via gestolen credentials.
Dat is precies het punt waar dreiging en patchvertraging het hardst binnenkomt: hoe langer je wacht, hoe meer kansen je openzet voor partijen die direct proberen te profiteren.
SAP: van maanden naar dagen
Een rapport van Onapsis en Recorded Future schetst een duidelijke trend voor SAP-kwetsbaarheden die in 2025 en 2026 zijn gepatcht. Voor kwetsbaarheden die toen een beveiligingsupdate kregen, lag de mediane periode tussen de publicatie van de security note en de eerste geverifieerde exploit of publiek proof-of-concept op 1 tot 3 dagen. Ter vergelijking: voor issues die in 2021 waren gepatcht, was dat volgens het onderzoek gemiddeld 489 dagen.
Naast snelheid werd ook de belangstelling voor SAP in de ondergrondse handel groter. Het aantal ransomware- en extortion-groepen die in SAP-gerelateerde content opdoken steeg van 8 in 2023 naar 26 in 2025. Ook het aantal SAP CVE’s met bevestigd in-the-wild misbruik of publieke proof-of-concept-code verdubbelde volgens de studie tussen eind 2023 en medio 2026 (van 9 naar 18).
Er wordt bovendien gesproken over listings voor SAP-toegang die variëren van $500 tot $30.000. Dat wijst erop dat het niet alleen om technische exploitatie gaat, maar ook om het snel verzilveren van toegang.
Als je hiermee te maken hebt, helpt het om je patchproces te koppelen aan een realistische exploit-tijdlijn: niet alleen “patchen als het kan”, maar “patchen voordat misbruik waarschijnlijk wordt”. Wil je meer context over dit soort tijdsdruk? Lees ook dreiging en patchvertraging in 2026.
Synology: een patch uit 2024 nu opnieuw een doelwit
Niet alleen SAP staat onder druk. Synology waarschuwt dat aanvallers een kwetsbaarheid misbruiken die in december 2024 is verholpen, maar die nog steeds op systemen kan bestaan omdat sommige apparaten draaien op verouderde DSM-versies.
Het doel is volgens Synology data te versleutelen en slachtoffers te chanteren. Synology noemt hierbij geen volledige technische details in het overzicht, maar verwijst naar een advisory (Synology-SA-24:20). De kernboodschap is helder: werk kwetsbare DSM-releases zo snel mogelijk bij en zet automatische updates aan waar dat kan.
Phishing draait door: fake events en device code flows
Push Security beschrijft een phishingcampagne die gebruikmaakt van misleidende registratiepagina’s voor neppe OpenAI-, SpaceX- en Anthropic-evenementen. Daarbij worden marketingmedewerkers verleid met beloningen, zoals (in het beschreven scenario) drie maanden ChatGPT Pro of Grok Heavy.
Opvallend is dat de OpenAI-variant een device code phishing-flow gebruikt die draait via de Kali365 phishing-as-a-service-omgeving. De methode koppelt de operator aan een eerdere set van nep-Zoompagina’s en maakt gebruik van korte links (o.a. via Google en Zapier), Cloudflare-achtige uitdagingen en variërende domeinen om detectie te vertragen.
Voor organisaties betekent dit dat “alleen maar opletten bij e-mail” niet genoeg is. Event-registraties en beloftegedreven prikkels moeten net zo streng worden behandeld als andere social engineering-varianten, zeker wanneer er werkaccounts bij betrokken zijn.
LLMjacking en ‘LLM Mixers’: fraude via gekaapte AI-toegang
Mandiant onderzocht meerdere gevallen van LLMjacking: aanvallers nemen toegang tot AI-modellen of AI-diensten over en gebruiken die om valse facturen op te bouwen. In de gemelde incidenten ontstonden fraudebedragen van meer dan $100.000 binnen één dag, en in sommige organisaties oplopend tot ongeveer $1 miljoen totaal.
Volgens Mandiant komt de initiële toegang vaak voort uit gestolen of blootgelegde cloud-credentials en API-sleutels. In één beschreven intrusie werd een LiteLLM-kwetsbaarheid (CVE-2026-40217) uitgebuit om gewone sleutels op te waarderen naar admin-achtige bevoegdheden.
Ook Google Threat Intelligence Group stelt dat gekaapte toegang wordt verkocht via zogenoemde LLM Mixers. Daarbij wordt gesproken over een token routing service (Jet Night) die onbeperkte plannen claimt met “frontier model access” voor ongeveer $60 per maand, vermoedelijk via gestolen keys.
Het belangrijkste praktische punt: beveiliging rond AI-toegang moet verder gaan dan het beschermen van één API-sleutel. Je wilt zicht op misbruik (billing anomalies, afwijkend gebruik) en snelle interventie wanneer credentials worden gebruikt op manieren die je niet herkent.
Flowise-aanvallen met ‘hello’-bommen
Era onderzoekers rapporteerden een Chinese-language exploitation framework dat Flowise-honeypots bestookte met duizenden chatberichten die alleen “hello” bevatten. Het systeem misbruikte daarnaast een oudere code-injectiekwetsbaarheid (CVE-2024-58351) om commando’s uit te voeren.
De aanvallen zouden ook bestaan uit het in kaart brengen van de host, het bevragen van cloud metadata services, het zoeken naar SSH keys en andere vertrouwelijke gegevens, en het testen of payloads vanuit geheugen konden draaien. Era telde 4.372 Flowise-instances die online zichtbaar waren, en bij een deel daarvan ontbrak authenticatie of leek de versie/instelling overeen te komen met de opzet die in de honeypots werd gezien.
Hardware wallet-implant: ‘seed’ onderschept bij verbinding
Daarnaast is er melding over een hardware wallet-implant die mogelijk wordt aangetroffen bij apparaten die via een specifieke reseller zijn verkocht. Trezor vraagt klanten die sinds maart 2026 een Trezor Safe 5 zouden hebben gekocht via CryptoBilis om hun tegoeden over te zetten naar een nieuw aangemaakt wallet-adres met een nieuwe seed.
Volgens een klantmelding (waar Trezor de details nog niet volledig heeft bevestigd) is er in het apparaat een extra printplaat geplaatst met een cellulair module en antenne. Die zou de herstelzin (seed phrase) die op het scherm verschijnt, kunnen afluisteren en direct via een mobiel netwerk kunnen doorsturen wanneer het toestel wordt aangesloten. In de gemelde situatie zijn nog geen gestolen tegoeden gerapporteerd.
Wat je nu kunt doen
Als we de meldingen samenleggen, zie je vooral twee vragen terug: hoe snel kun je patchen, en hoe snel merk je misbruik op zodra een aanvaller “binnen is”? Voor dreiging en patchvertraging betekent dat concreet:
- Maak patchvensters korter voor omgevingen met bekende hoge waarde, zoals SAP en endpoints met verouderde applicatieversies.
- Bewaar niet alleen patchstatus, maar ook exploit-kans: prioriteer op wat al binnen dagen kan worden misbruikt.
- Monitor toegang en gebruikspatronen bij AI- en cloudkoppelingen, inclusief billing-afwijkingen en ongebruikelijke API-calls.
- Versterk identiteits- en toegangsbeveiliging tegen device code phishing en event-gebaseerde social engineering.
Door patchbeheer te koppelen aan detectie en respons, verklein je de ruimte waar aanvallers graag op wachten: de periode waarin de kwetsbaarheid al bestaat, maar nog niet is uitgeschakeld.
Conclusie
De week benadrukt dat dreiging en patchvertraging steeds vaker een direct probleem vormt: bij SAP is de tijd tot geverifieerd misbruik volgens onderzoekers van maanden naar dagen gegaan. Tegelijkertijd laten phishingcampagnes, LLMjacking en uitbuiting van verouderde Synology-omgevingen zien dat aanvallers blijven doorontwikkelen en organisaties onder druk zetten op meerdere fronten.
Wie snel patcht én tegelijk detectie op orde heeft, staat het best opgesteld om schade te beperken, juist wanneer de aanvalsketen sneller wordt.
