Het lijkt alsof defenders altijd bezig zijn met dezelfde eindeloze ronde: kwetsbaarheden vinden, patches uitrollen en hopen dat het genoeg is. Maar recente inzichten uit de sector schetsen een ander beeld. AI-gedreven kwetsbaarheden zorgen voor een compressie van tijd: meldingen komen sneller, bewijscode duikt eerder op en aanvallers weten publieke informatie sneller om te zetten in praktische toegang.
In dit artikel zetten we de kern van die analyse op een rij en vertalen we het naar een aanpak die verder gaat dan “maandelijkse patch, klaar”.
Waarom het patchmodel onder druk staat
Rapid7 beschrijft Q2 2026 als een soort stress test voor hoe organisaties hun exposure beheren. De kern is simpel: het tempo en volume van kwetsbaarheden is zo hoog dat traditionele patchcycli niet meer bijbenen. Het gevolg is dat teams steeds vaker achter de feiten aan lopen.
De cijfers illustreren dat. Het aantal meldingen van high- en critical-kwetsbaarheden (CVSS 7 tot 10) verdubbelde van 4.268 in Q2 2025 naar 8.539 in Q2 2026. Tegelijkertijd steeg het aantal nieuw ontdekte exploited vulnerabilities met 8% naar 40. Dat verschil—veel meer gevonden dan werkelijk misbruikt—gaat volgens de analyse niet alleen over technische “grootte”, maar over context: of aanvallers kunnen landen waar jij ze niet toelaat.
AI maakt ontdekken én combineren sneller
Een belangrijk punt in de analyse is dat AI niet alleen helpt bij het vinden van zwakke plekken. Het beïnvloedt ook de snelheid waarmee proof-of-conceptcode verschijnt en hoe vroeg exploitability wordt getest. Daardoor wordt de marge kleiner: van “we zien het later wel” naar “ze hebben het al” verschuift sneller dan veel patchprocessen aankunnen.
Daarnaast speelt volgens Christiaan Beek (VP cyber intelligence bij Rapid7) een trend die de aanvoer van nieuwe fouten voedt: vibe coding. Het idee: AI schrijft nieuwe code op basis van patronen uit trainingsmateriaal, en die patronen kunnen dezelfde oude fouten bevatten. Onderzoek waarnaar wordt verwezen toont zelfs dat code in verschillende apps dezelfde kwetsbaarheden kan dragen—waardoor AI-gedreven scans telkens opnieuw nieuwe issues rapporteren.
Discovery en exploitatie zijn twee verschillende problemen
Dat “veel gemelde kwetsbaarheden” niet automatisch betekent “veel succesvolle aanvallen” is precies het nuancepunt dat defenders vaak lastig vinden. Beek benadrukt dat ontdekking en exploitatie gescheiden zijn. Een aanvaller kan een exploit wel klaarzetten, maar kan er pas iets mee als het doelwit bereikbaar is én bescherming niet voldoende barrières opwerpt.
Met meerdere firewalls en andere verdedigingsmechanismen kan een exploit “op papier” bestaan, terwijl het in de praktijk niet bruikbaar is. Dit is ook waarom de focus verschuift: niet alleen naar wat er bekend is, maar naar waar je netwerk bereikbaar is en welke impact een succesvolle aanval heeft.
De zichtbaarheid-kloof voor defenders groeit
Naast tempo speelt ook schaal. In klassieke omgevingen bescherm je endpoints en servers, maar organisaties zijn intussen vaak afhankelijk van meerdere typen leveranciers en gekoppelde ecosystemen. Daardoor wordt het voor defenders moeilijker om volledig zicht te houden op routes waar aanvallers binnen kunnen komen.
De analyse beschrijft dit als een “widening gap” tussen wat er wordt bekendgemaakt en wat een team realistisch kan triagen. Met andere woorden: zelfs als je competent bent, kan de hoeveelheid werk groter zijn dan de beschikbare tijd—zeker wanneer attackers sneller prioriteren.
“Holy Grail”-kwetsbaarheden: sneller misbruik zonder drempels
Rapid7 introduceert voor een specifieke categorie de term “Holy Grail”: kwetsbaarheden die geen authenticatie of gebruikersactie nodig hebben. Denk aan issues waarbij een aanvaller dichtbij een apparaat of product kan komen en direct kan proberen misbruik te maken, zonder dat er eerst een inlog of klik nodig is.
In Q2 2026 vormden die Holy Grail-kwetsbaarheden 25 van de 40 exploited vulnerabilities. Dat is een stijging van 9 punten jaar-op-jaar. Voor defenders betekent dit vooral dat de “poortwachterlaag” (authenticatie of user interaction) minder vaak bescherming biedt, waardoor exposure extra zwaar weegt.
Nationale spelers en cybercriminelen: andere motieven, vergelijkbare impact
De rapportage zet ook aanhoudende activiteit van nation-state dreigingen in de verf, met een regionale focus per land. China richt zich bijvoorbeeld op Taiwan, Rusland op Oekraïne en bondgenoten, Iran op de VS en bondgenoten, en Noord-Korea op wat mogelijk te gelde te maken valt.
Beek stelt daarbij dat zulke APT’s niet per se “slimmer” zijn dan financieel gemotiveerde groepen; het verschil zit in motivatie en resources. Nation-state actoren hebben vaker budget en capaciteit voor langdurige operaties, waardoor ze geavanceerdere technieken kunnen ontwikkelen. Cybercriminelen hebben vaak genoeg aan toegang: ze kunnen “in”, wat ze nodig hebben verzamelen en weer weg.
Ransomware blijft een groot monetization-kanaal
Als het om geld gaat, blijft ransomware een van de belangrijkste routes. De focus ligt volgens de analyse vooral op de Verenigde Staten. In Q2 2026 waren er 881 slachtoffers in de VS tegenover 91 in Duitsland. De belangrijkste doelgebieden zijn daarbij breed: business services, healthcare, manufacturing, technology en construction.
Voor organisaties betekent dat niet alleen dat je systemen moet patchen, maar dat je ook de keten van voorbereiding en lateraal bewegen moet verkleinen. Als attackers sneller hun toegang kunnen voorbereiden, moet je verdediging dus sneller kunnen beperken.
Van CVSS naar exposure: wat je nu kunt doen
Een van de meest praktische conclusies uit de analyse is dat het tijd is om CVSS-score-gedreven prioritering te heroverwegen. Beek stelt dat als je nog uitgaat van een maandelijkse patchcyclus, je het model moet aanpassen. Voor nieuwe kwetsbaarheden: kijk vooral naar de exposure—waar bevindt het zich in je netwerk en wat is het effect als een host wordt gecompromitteerd?
Exposure betekent niet alleen “we hebben het systeem”, maar ook: is het bereikbaar vanuit relevante netwerken, via welke routes, en met welke barrières zijn die routes afgedekt? Daar ligt het winstpunt ten opzichte van alleen severity scoren.
Wil je hier direct mee aan de slag? Gebruik dit als denkkader:
- Breng bereikbaarheid in kaart: waar kan een aanvaller komen zonder dat authenticatie een harde blokkade vormt?
- Prioriteer op impact, niet alleen op score: wat gebeurt er als de exploit slaagt op een specifieke locatie?
- Versnel wat risicovol is: patch of mitigeer eerst de segmenten waar exposure het hoogst is.
- Meet effect, niet alleen output: draait het echt om minder exposure en kortere aanvalspaden?
Patchen combineren met structurele risicoreductie
De boodschap van de analyse is niet “patchen heeft geen nut”. Het is eerder: patchen alleen is niet meer de volledige oplossing. Als AI-gedreven kwetsbaarheden de tijdlijn comprimeren, moet je defensie ook vooruit kunnen lopen.
In de praktijk betekent dat vaak een combinatie van maatregelen: het beperken van bereik (segmented toegang), het verminderen van outsourcings- en ketenrisico’s (zowel in software als in configuratie), en het aanscherpen van detectie op vroege signalen van exploitpogingen.
Ook kan het helpen om cyberhygiëne te versterken rond endpoints en beheersystemen. Als aanvallers snel van public info naar operationele toegang kunnen, moet je al vroeg weten dat er iets misgaat.
Gerelateerde inzichten: verschuiving in aanpak
Het bovenstaande sluit aan bij eerdere berichtgeving op onze site over het verschuiven van de rol van traditionele patchprioritering en het tempo waarin aanvallers naar binnen proberen te komen. Lees bijvoorbeeld:
- Preventie valt stil binnenin het netwerk — over waarom interne paden vaak onderschat worden.
- API-lek in OpenAI, Anthropic en Google: risico’s — over hoe moderne koppelingen nieuwe aanvalsvlakken creëren.
- AI-ondersteunde SharePoint exploitketen: on-auth RCE — over het belang van blootstelling zonder gebruikersinteractie.
Conclusie: minder focus op “patchen”, meer op “exposure”
De kern van het probleem is dat AI-gedreven kwetsbaarheden een systeemstress test veroorzaken: er komen meer meldingen, proof-of-concept verschijnt sneller en aanvallers benutten kansen zodra ze toegang hebben. In zo’n omgeving is een patchcyclus alleen niet langer voldoende als je niet tegelijk de aanvalsroutes verkleint.
Het actiepunt is duidelijk: prioriteer niet uitsluitend op CVSS, maar op exposure—waar een aanvaller kan komen en wat de impact is als een exploit slaagt. Door bereik en aanvalspaden te beperken, maak je het verschil tussen “kwetsbaarheid bekend” en “kwetsbaarheid bruikbaar” kleiner.
Bron: https://www.securityweek.com/ai-driven-vulnerability-surge-breaks-the-traditional-patching-model/
