Drie leveranciers, een week, dezelfde patchkloof

Een IT-lead controleert drie patchlogs voor de lunch

Een IT-lead bij een middelgroot logistiek bedrijf opent op 2 september voor de lunch drie tabbladen: de SonicWall-beheerconsole, het Switchvox-dashboard en de Artifactory-instantie die de build-artefacten van het bedrijf bevat. Geen van de drie leveranciers heeft iets met de andere te maken. De ene verkoopt VPN-gateways, de andere telefoonsystemen, de derde softwarerepository's. En toch staan alle drie de tabbladen open om dezelfde reden: elke leverancier heeft in de afgelopen tweeënzeventig uur actief misbruik van een kwetsbaarheid bevestigd.

Dit is geen slechte week voor een enkel bedrijf. Het zijn drie afzonderlijke, gelijktijdige incidenten bij drie ongerelateerde producten, ontdekt en bekendgemaakt binnen enkele dagen van elkaar begin september 2026. Afzonderlijk gelezen is elk een routinematige leveranciersmelding. Samen gelezen beschrijven ze een patroon dat meer betekent dan welk individueel CVE-nummer dan ook.

SonicWall SMA1000 staat voor een zero-day met maximale ernst

SonicWall bevestigde op 1 en 2 september 2026 dat aanvallers actief twee eerder niet openbaar gemaakte kwetsbaarheden misbruiken in zijn SMA1000-appliances voor toegang op afstand, op de modellen 6210, 7210 en 8200v. CVE-2026-83548 is een pre-auth SSRF-kwetsbaarheid in de Appliance Work Place-interface, met een CVSS-score van 10.0, de maximaal mogelijke beoordeling. CVE-2026-83549 is een OS-commando-injectie in de Appliance Management Console waarmee een geauthenticeerde beheerder remote code execution kan bereiken.

Firmwareversies onder 12.4.3-03526 en 12.5.0-02952 zijn kwetsbaar. Op het moment dat de aanvallen werden bevestigd, bestond er nog geen patch, wat dit tot een echte zero-day maakt: er was geen enkel venster waarin een verdediger de kloof had kunnen dichten door een update toe te passen, omdat er geen update beschikbaar was. Het is ook het derde SMA1000-beveiligingsincident dit jaar, na een diefstal van MFA-seeds in juli 2026 die we destijds afzonderlijk hebben behandeld.

Switchvox en Artifactory laten twee verschillende patchkloof-verhalen zien

Sangoma Switchvox SMB Edition 8.3 bevat een ongeauthenticeerde SQL-injectiekwetsbaarheid, CVE-2026-9586, met een CVSS-score van 9.3. Hiermee kan een aanvaller zonder enige inloggegevens een reverse shell installeren, via het "/pa"-eindpunt van het product. Sangoma patchte het op 14 juli 2026 met versie 8.4.0.2. Misbruikpogingen begonnen op 30 augustus 2026, volgens honeypot-telemetrie, een kloof van zes weken tussen het beschikbaar komen van de fix en het daadwerkelijke gebruik ervan door aanvallers. Ongeveer 4.000 Switchvox-instanties blijven vandaag blootgesteld aan het publieke internet.

JFrog Artifactory vertelt een sneller verhaal. Een authenticatie-bypass met CVSS 9.8, CVE-2026-82329, treft self-hosted Artifactory in de standaardconfiguratie en stelt een niet-geauthenticeerde aanvaller in staat om beheerderstokens te genereren. JFrog patchte het op 28 augustus 2026 in de versies 7.111.21, 7.117.28, 7.125.20 en 7.133.29. Aanvallers begonnen het binnen enkele dagen te misbruiken. Het honeypot-netwerk van Watchtowr zag bijna direct na het uitbrengen van de patch geautomatiseerde enumeratie van gebruikers, inloggegevens en federatieve toegangstopologieën. Dit is een andere, nieuwere kwetsbaarheid dan het Artifactory-misconfiguratieprobleem dat we in juli 2026 behandelden onder de titel "controleer een instelling voordat u Artifactory patcht" - dat was een aparte fout, en de twee mogen niet worden verward.

Voorbij de koppen: gepatcht is niet hetzelfde woord als beschermd

Drie ongerelateerde leveranciers, drie ongerelateerde productcategorieën: een VPN-gateway, een VoIP-telefoonsysteem en een softwarearchief. Hetzelfde patroon duikt bij alle drie op. Kijk naar de kloof tussen het moment waarop een fix bestaat en het moment waarop aanvallers het gat dat die fix dicht daadwerkelijk gebruiken. Bij Artifactory was die kloof dagen. Bij Switchvox was het zes weken, ook al stond de patch de hele tijd al klaar. Bij SonicWall was er helemaal geen kloof, omdat er nog geen patch bestond waar een kloof omheen had kunnen ontstaan.

Wij denken dat het echte blootstellingsverhaal voor bedrijven in de EU en het VK niet om een enkele CVE draait. Het gaat erom dat het bestaan van een patch en de daadwerkelijke bescherming van een systeem twee verschillende feiten zijn, en het verschil daartussen is precies het bedrijf dat de update niet toepaste in de zes weken dat die beschikbaar was. Het internet-blootgestelde edge-apparaat op mkb-schaal - de VPN-box, het telefoonsysteem, de artefactserver in een hoekje van het netwerk - is het betrouwbare toegangspunt juist omdat niemand het na de eerste uitrol nog eens controleert.

Dit is niet hypothetisch. Ongeveer 4.000 Switchvox-boxen en een onbekend maar reëel aantal SonicWall- en Artifactory-instanties staan op dit moment, terwijl dit wordt geschreven, blootgesteld op het publieke internet. The Register werpt een aparte en oprecht open vraag op: of de snelheid van de Artifactory-uitbuiting, geautomatiseerde enumeratie binnen dagen na het uitbrengen van de patch, wijst op door AI-agenten aangestuurde aanvalstools in plaats van menselijke operators die de honeypots handmatig bewerken. Daar hebben wij nog geen antwoord op, en publiekelijk heeft niemand anders dat op dit moment ook.

Wat het NCSC-advies aan het beeld toevoegt

Op 27 augustus 2026 publiceerde het Britse National Cyber Security Centre een advies dat waarschuwde voor toenemende gerichtheid op operationele technologie en internet-blootgestelde edge-apparaten in alle sectoren. De kernboodschap is eenvoudig: ga er niet vanuit dat een systeem ontoegankelijk is vanaf het internet zonder dit te verifiëren. Dat advies verscheen vijf dagen voordat alle drie deze incidenten openbaar werden, en leest minder als toeval en meer alsof het NCSC dezelfde categorie blootstelling zag groeien voordat een enkele leverancier een actieve aanval bevestigde.

Voor een bedrijf dat een van deze drie producten gebruikt, of vergelijkbare producten, is de praktische vraag niet of de specifieke CVE's van deze week van toepassing zijn. Het is of er een vast, regelmatig proces bestaat dat controleert of elk internet-blootgesteld edge-apparaat daadwerkelijk het patchniveau draait dat het zou moeten draaien, en niet alleen of er ooit een patch is toegepast.

Servola Journal

We doen dit voor iedereen die probeert bij te blijven met wat technologie met ons leven doet. De mensen die het bouwen, en de mensen die het overkomt. Servola Journal bestaat zodat wat we leren van hen allemaal is.

Niemand betaalt ons hiervoor. Geen advertenties, geen betaalmuur, gratis voor iedereen. We geloven gewoon dat begrijpen wat er met ons allemaal gebeurt niet zou moeten afhangen van wie het zich kan veroorloven ervoor te betalen.

Als dit je vandaag iets heeft gegeven, zeg ons dan om door te gaan. Volg ons, laat een like achter, of schrijf een positieve reactie. We lezen ze allemaal, en ze zijn wat ons op de been houdt.

Lees hierna: Gunra-ransomware Draait op Fortinet-lekken uit 2025  |  Uw oudere Macs kostten zeven pogingen