Waarom updates door AI extra belangrijk zijn geworden

Het nieuws over het kritieke PHP-lek van deze week laat weer eens zien hoe belangrijk snel updaten is. Via twee ontdekte kwetsbaarheden in PHP konden aanvallers op afstand code uitvoeren zonder in te loggen. En dat terwijl PHP gebruikt wordt door ongeveer 70% van de websites. De snelheid waarmee zulke lekken worden gevonden neemt bovendien toe, mede door AI. Het goede nieuws: daardoor komen oplossingen ook sneller beschikbaar. Maar die beschermen je alleen als de update ook daadwerkelijk op jouw website, laptop, telefoon of browser terechtkomt.

WAAROM UPDATES ALTIJD AL BELANGRIJK WAREN

Software bevat fouten, zoals bijvoorbeeld een beveiligingslek: een opening waardoor iemand ongemerkt toegang kan krijgen tot je apparaat of je gegevens. Een update, ook wel patch genoemd, is de reparatie die de maker van de software uitbrengt.

Een zero-day is een lek dat al misbruikt wordt voordat er een reparatie is. De maker heeft dan “nul dagen” gehad om het te dichten. Zodra de update er is, is die update de belangrijkste bescherming. Het is cruciaal dat je zo'n update snel uitvoert, zodat je lek gedicht is.

Dat was tien jaar geleden zo en dat is nog steeds zo. Maar de schaal waarop het gebeurd, is wel nieuw.

AI VINDT MEER LEKKEN (EN HELPT ZE DICHTEN)

AI-modellen worden namelijk steeds beter in het doorlezen van code en het opsporen van fouten. Softwaremakers zetten dat nu breed in, waardoor het aantal reparaties hard groeit:

• Microsoft repareerde in juli 2026 maar liefst 570 kwetsbaarheden in de maandelijkse update, op dat moment een record. In september waren het er zelfs 966. Op 13 oktober volgden er 1.411, opnieuw een record. Microsoft noemt de inzet van AI bij het zoeken naar fouten als een van de oorzaken.
• Apple bracht half september de grootste beveiligingsronde in zijn geschiedenis uit: 261 kwetsbaarheden, verspreid over al zijn systemen.
• Mozilla dichtte in april 423 beveiligingsbugs in de browser Firefox. In maart waren dat er 76, in 2025 gemiddeld 21,5 per maand.

Dat betekent niet dat software ineens slechter is geworden. Het betekent dat oude fouten nu gevonden worden, vaak door de makers zelf, voordat iemand anders ze vindt.

Aan de andere kant van de tafel gebeurt hetzelfde. In mei meldde Google het eerste bekende geval waarin criminelen met AI zelf een onbekend lek vonden en er een aanvalsmiddel van bouwden. Het ging om het omzeilen van tweestapsverificatie in veelgebruikte beheersoftware. Google en de maker dichtten het lek voordat de geplande aanvalsgolf goed op gang kwam.

Het Britse NCSC waarschuwde toen op 1 mei voor een “patch wave”: een golf aan updates over alle software heen. Het advies: zet automatische updates aan waar dat kan, installeer updates standaard zo snel mogelijk, en vervang apparaten en software die geen updates meer krijgen.

RECENTE VOORBEELDEN

Het PHP-lek is nu groot in het nieuws, maar het is niet een uniek geval. De volgende vier lekken deden zich alleen al de afgelopen twee maanden voor:

• Lek 1: Chrome (CVE-2026-87491) | Waar: Browser | Wanneer gedicht: 8 september 2026 | Risico: Een kwaadaardige webpagina kon door dit lek code uitvoeren. Dit was alweer de zevende misbruikte zero-day van Chrome in 2026.

• Lek 2: iPhone, iPad en Mac (CVE-2026-86950) | Waar: Beeldverwerking in het besturingssysteem | Wanneer gedicht: 28 september 2026 | Risico: Een kwaadaardig bestand kon je code wijzigen. Dit is vervolgens gebruikt bij gerichte aanvallen op iPhones zonder iOS 27.

• Lek 3: Windows (CVE-2026-96951) | Waar: Windows Shell | Wanneer gedicht: 13 oktober 2026 | Risico: De waarschuwing bij gedownloade bestanden kon worden omzeild. Toen de update verscheen was hier al misbruik van gemaakt.

• Lek 4: PHP2Shell (CVE-2026-109618 en CVE-2026-109619) | Waar: Software achter 69,3% van alle websites en webshops | Wanneer gedicht: 21 oktober 2026 | Risico: Een aanvaller kon zonder inloggen code uitvoeren op de webserver. Veel sites gingen uit voorzorg offline tot de update er was.

PHP2Shell laat zien hoe dit in de praktijk gaat. PHP is de programmeertaal achter 69,3% van alle websites en webshops. Onderzoekers vonden de twee lekken in augustus, met hulp van AI. Op 20 oktober kondigde het PHP-team een kritieke update aan voor de volgende dag.

In de tussentijd haalden veel organisaties hun sites uit voorzorg offline, waaronder DigiD, MijnOverheid, de Tweede Kamer en het NCSC zelf. Het NCSC zag nog geen actief misbruik, maar er werden al wel de eerste aanvalspogingen gezien. Na de update kwamen DigiD en MijnOverheid dezelfde avond weer online.

WAT DIT BETEKENT VOOR JOUW BEDRIJF

Cybercriminelen kunnen ook steeds sneller handelen wanneer er een lek ontstaat. Zo wordt de tijd tussen “het lek is bekend” en “het lek wordt misbruikt” steeds korter. Matthijs van Amelsfort, directeur van het Nederlandse NCSC, zei in mei tegen de NOS: “Vroeger duurde het dagen voordat een aanvaller een fout misbruikte, nu is dat uren.” Zijn verwachting: “Dat zal minuten worden.”

Voor jouw bedrijf betekent dat drie dingen:

• Updates zijn geen klusje voor later. Een update die een week blijft liggen, laat een bekend lek een week openstaan.
• Er komen meer updates, en dus moet je vaker je systeem herstarten. Dat is de prijs van software die sneller gerepareerd wordt.
• Oude apparaten worden een groter risico. Een laptop of telefoon zonder updates blijft openstaan voor alles wat vanaf dat moment gevonden wordt. Met AI is dat meer dan voorheen.

PHP2Shell was echter geen update voor je laptop of telefoon, maar voor de software achter websites. Heeft je bedrijf een eigen site of webshop? Dan moet die net zo goed bijgehouden worden, door je hoster of webbouwer. Vraag hen hoe snel zij een kritieke update doorvoeren, en wat ze doen als dat niet meteen kan.

WAT JE ALS MEDEWERKER ZELF KUNT DOEN

Je kunt vrij eenvoudig je eigen cyberveiligheid de baas zijn, met de volgende stappen:

• Herstart als je computer erom vraagt. Een update werkt vaak pas na een herstart. Doe dit het liefst dezelfde dag.
• Stel updates niet eindeloos uit. Eén keer “later” is prima, een week lang niet.
• Werk je telefoon en tablet bij, ook als je er alleen je werkmail op leest.
• Sluit je browser af en toe helemaal af, zodat browserupdates actief worden.
• Houd apps bij, ook de apps die je weinig gebruikt. Gebruik je een app niet meer, verwijder hem dan.
• Meld apparaten die geen updates meer krijgen, zodat ze vervangen kunnen worden.
• Twijfel je of een updatemelding echt is? Vraag het na. Echte updates komen uit je systeem of app zelf, niet via een link in een mail of pop-up op een website.

EEN NUCHTERE AANPAK

Er is geen reden tot paniek. Meer updates betekent vooral dat lekken gevonden worden, vaak voordat iemand ze misbruikt. De basis blijft hetzelfde: snel bijwerken en apparaten vervangen die geen updates meer krijgen.

Een update kan een enkele keer iets verstoren. Dat is een reden om het zorgvuldig te doen, niet om het uit te stellen.

Bij Workflo regelen en bewaken we in het beheer de updates voor je laptops, telefoons en software. Zo hoef jij in de praktijk alleen te herstarten als het moet. Twijfel je over een melding of een apparaat? Laat het ons weten.