AI en cybersecurity zorgen voor veel rumoer, maar achter al dat nieuws zit één kernvraag: welke kwetsbaarheden verdienen echte actie binnen jouw omgeving? De snelheid van ontdekkingen en het volume aan meldingen groeien enorm. Tegelijk blijft de uitdaging voor securityteams hetzelfde: uit alle bevindingen moeten besluiten volgen die passen bij risico, bereik en bedrijfsbelang.
Daarom verschuift de focus van alleen ‘hoe ernstig klinkt het?’ naar exposure-issues valideren: vaststellen of een exposure ook echt exploiteerbaar is, welke assets geraakt kunnen worden en of je beveiligingsmaatregelen aanvallen kunnen stoppen.
Waarom CVE-aantallen je niet vertellen wat je moet doen
In 2026 ligt het aantal gepubliceerde CVE’s extreem hoog. Maar slechts een klein deel blijkt daadwerkelijk al misbruikt te worden in de praktijk. Bovendien zien we dat er vaak een verschil is tussen wat er in theorie mogelijk is (op basis van een CVE) en wat er in jouw netwerk daadwerkelijk kan gebeuren.
Een belangrijk inzicht: zelfs als een kwetsbaarheid een hoge of kritieke score krijgt, betekent dat niet automatisch dat het voor jouw organisatie een onmiddellijke noodsituatie is. Dat hangt af van context, zoals welke systemen bereikbaar zijn en welke beveiligingslagen voorkomen dat aanvallen slagen.
CVSS is een startpunt, geen eindbeslissing
CVSS biedt een uniforme manier om kwetsbaarheden te classificeren. Dat is handig voor overzicht, maar het geeft je niet de informatie die je nodig hebt om prioriteiten te bepalen. Het vertelt je niet of de aanval in jouw omgeving werkt en het verklaart ook niet waarom impact per asset kan verschillen.
In de praktijk zijn er meerdere scenario’s die het risico drastisch veranderen. Denk aan omgevingen die niet bereikbaar zijn, controles die technieken onderbreken, detectie die faalt op kritieke momenten, of juist systemen waar preventie onvoldoende is. Dat betekent: je hebt bewijs nodig uit je eigen omgeving, niet alleen uit een algemene score.
Exploitability valideren: werkt het echt bij jou?
Een van de sterkste manieren om te onderbouwen of een exposure relevant is, is exploitability validation. Daarbij bepaal je of een exposure in jouw situatie daadwerkelijk exploiteerbaar is. Dat gaat verder dan “er is een CVE”: je test of een aanvalspad in jouw realiteit haalbaar is.
Dit is extra relevant wanneer er nog geen werkende PoC of exploit beschikbaar is. Ook dan kan een exposure toch onderdeel zijn van het verdedigingsbesluit, omdat je nog steeds moet beoordelen wat de exploitatiemogelijkheid is. Evenzo kan het voorkomen dat je een live test niet veilig kunt uitvoeren op bedrijfskritieke, afgeschermde of zelfs air-gapped systemen. Dan blijft er wél behoefte aan een exploitability-verdict, alleen op een manier die past bij je testmogelijkheden.
Controlevalidatie: blokkeren en detecteren jullie ook echt?
Zodra je weet dat een exposure theoretisch of praktisch exploiteerbaar kan zijn, komt de volgende vraag: tegenhouden je beveiligingsmaatregelen de aanval? Daarvoor is security control validation nodig.
Bij controlevalidatie test je of prevention en detection daadwerkelijk doen wat je verwacht. Stoppen je controles de relevante technieken? Wordt een aanval gedetecteerd zoals je vooraf hebt ingericht? En, minstens zo belangrijk: waar gaan aanvallen door je gaten omdat logica, configuratie of detectieregels niet kloppen?
Zo voorkom je dat je prioriteert op basis van CVSS-narratieven, terwijl de werkelijke beslissingsinformatie juist zit in het functioneren van je security stack.
Agentic pentesting: bewijs van aanvalspaden in je eigen omgeving
Naast exploitability- en controlevalidatie kan agentic pentesting een krachtige rol spelen. Dit type aanpak draait om het veilig uitvoeren van echte exploits en het ketenen van zwaktes om te laten zien hoe ver een aanvaller kan doordringen.
Het voordeel is dat je niet alleen afzonderlijke kwetsbaarheden beoordeelt, maar ook de samenhang tussen exposures. Daardoor wordt duidelijk of er in jouw omgeving een bruikbaar aanvalspad ontstaat, en hoe ver iemand kan komen wanneer meerdere voorwaarden samenkomen.
Automatisering kan pentestdekking uitbreiden, maar de realiteit blijft: niet elk deel van je attack surface wordt jaarlijks volledig getest. Bovendien geldt voor CVE-gedreven misbruik dat er een werkend exploitmodel moet bestaan en dat het doel geschikt moet zijn om veilig te testen. Dit is precies waarom pentesting niet “alles oplost”, maar wel essentieel bewijs levert binnen een breder validatiekader.
“Alleen High/Critical” werkt niet meer
Als je elke High of Critical melding als spoedcase behandelt, kom je snel in een onwerkbare workflow terecht. De kern is dat impact en exploitbaarheid niet universeel zijn. Ze hangen samen met bereikbaarheid, compensating controls, assetkriticiteit en detectie-effectiviteit.
Het volume aan bevindingen groeit, terwijl de tijd tussen openbaarmaking en daadwerkelijke inzet kleiner wordt. Dan is de enige duurzame route: de beslissingen baseren op exposure-issues valideren met het juiste type bewijs voor de juiste exposure.
Een praktisch validatieprogramma: drie bouwstenen samen
Om dit goed te organiseren heb je een model nodig waarin verschillende validatievragen worden beantwoord met passende methoden. In essentie komen er drie bouwstenen samen:
- Exploitability validation bepaalt of een exposure echt exploiteerbaar is in jouw omgeving, inclusief gevallen zonder werkende exploit en assets die live testen niet veilig toelaten.
- Security control validation checkt of je preventie en detectie aanvallen blokkeren, missen of juist onderbreken.
- Agentic pentesting voert veilig echte exploits uit en ketent exposures om te tonen hoe ver een aanvaller kan gaan binnen jouw netwerk.
Die onderdelen stellen verschillende vragen. Daarom hoeft het niet te betekenen dat je elke validatiemethode altijd voor elke melding inzet. Het doel is juist: evidence verzamelen waar het het meest helpt, en het laten meewegen in één samenhangend besluitvormingsproces.
Waarom één workflow zoveel verschil maakt
De grootste winst zit vaak niet in het toevoegen van een losse tool, maar in het verbinden van stappen. Wanneer validatie als één programma werkt, kan een bevinding bijvoorbeeld automatisch doorstromen naar de validatiestap die relevant is voor dat type risico. Daarna kan nieuw bewijs de prioriteit van remediation bijsturen.
Ook helpt dit bij hervalidatie. Fixes verdwijnen soms in gesloten tickets, terwijl het effect onduidelijk blijft. Met een geïntegreerde aanpak kun je opnieuw valideren of de patch of aanpassing daadwerkelijk exploitatiewaarden en aanvalspaden blokkeert.
Dat voorkomt dat securityteams tegelijk te veel doen én toch niet zeker weten of het echt werkt.
Wat je morgen kunt doen in je eigen organisatie
Je hoeft niet te wachten tot je volledige werkwijze is vernieuwd. Begin met het scherper maken van je besluitvorming rond exposure’s:
- Maak prioriteiten contextgedreven: kijk niet alleen naar CVSS, maar ook naar assetbereik, bereikbaarheid en bedrijfsbelang.
- Behandel exploitbaarheid als apart vraagstuk: bepaal of een exposure in jouw omgeving haalbaar is, ook wanneer live tests beperkt zijn.
- Test controles op effect: verifieer of preventie en detectie echt de relevante aanvalstechnieken afdekken.
- Gebruik pentesting voor aanvalspaden: zet agentische of geautomatiseerde pentest in om ketens en voortgang te bewijzen, niet enkel losse gaten te melden.
Op die manier stroomlijn je je security validation zonder dat je een onhaalbare “alles tegelijk” ambitie hoeft na te jagen.
Validation Summit: van bewijs naar besluit
Een ontwikkeling die hiermee samenhangt, is de groeiende aandacht voor geautomatiseerde en geverifieerde aanvalspaden in operationele workflows. Er wordt bijvoorbeeld gesproken over het bouwen van gevalideerde aanvalspaden en het verbinden van respons aan beslissingen die gebaseerd zijn op bewijs.
In dit kader organiseert Picus Security The Validation Summit ’26 op 14 en 15 oktober. Daar ligt de focus op de veranderende aanpak rond validatie, inclusief hoe exploitability validation, security control validation en agentic pentesting effectiever samen kunnen werken.
Daarnaast wordt er een workflow getoond waarbij een nieuw ontdekte kwetsbaarheid van “nog geen patch en geen werkende exploit” naar validatieproces stapt, inclusief hervalidatie na de fix. Dat sluit direct aan op het probleem dat teams vandaag ervaren: het gat tussen openbaarmaking en echte inzet vraagt om snellere, beter onderbouwde beslissingen.
Conclusie: exposure-issues valideren voor gerichte actie
De groei van CVE’s maakt securityteams niet alleen drukker, maar ook kwetsbaarder voor verkeerde prioriteiten. CVSS is nuttig als startpunt, maar het kan niet verklaren wat impact is in jouw omgeving. Daarom is exposure-issues valideren zo belangrijk: je hebt bewijs nodig over exploitbaarheid, controlewerking en (waar passend) aanvalspaden via agentic pentesting.
Wanneer je die bouwstenen als één samenhangend programma inzet, worden remediation-beslissingen concreter en blijft de status van een fix niet hangen in aannames. Zo verschuift cybersecurity van ruis naar richting—met acties die passen bij wat er echt kan gebeuren.
Gerelateerde verdieping: Bron: https://thehackernews.com/2026/09/ai-changed-exposure-problem-validation.html
