Hackers lezen je patch als een kaart. Stop met “patchen en doorgaan”

In het kort: Een beveiligingsupdate sluit een gat. Maar de update laat ook zien waar dat gat zat. Aanvallers lezen patches als kaarten. Ze zoeken de weg eromheen. Daarom is “patchen en doorgaan” geen veilige gewoonte meer.

Het belangrijkste in het kort

• Terra Security meldt een scherpe stijging van gefaalde patches in 2026.
• Van 2019 tot 2025 bleef het aandeel rond 0,2 procent.
• In 2026 sprong dat naar 2,3 procent.
• Gaten met een omzeilde fix staan vier keer vaker op de CISA-lijst met misbruikte kwetsbaarheden.
• Blijf wel patchen. Controleer daarna of de fix echt werkt.

Wat zegt het onderzoek?

Terra Security is een startup die AI inzet voor penetratietests. Het bedrijf bekeek alle gepubliceerde CVE-records. Ook GitHub-adviezen kwamen aan bod. Het zocht naar fixes die achteraf niet bleken te werken.

Onderzoeker Oren Yomtov legt het zo uit. Een beveiligingsfix sluit een bug. Maar het is ook een kaart. Hij laat zien waar de bug zat. Hij laat zien hoe de ontwikkelaar hem sloot.

Het patroon is helder. Eerst komt een fix. Dan vindt iemand een omweg. Daarna volgt weer een nieuwe fix.

Hoe groot is de stijging?

Terra keek naar GitHub-fixes met een vervolgadvies binnen 90 dagen. Dat advies meldt dat de fix faalde. Dit aandeel bleef zes jaar rond 0,2 procent. In 2026 steeg het naar 2,3 procent.

Dat is een sprong van meer dan tien keer. Het gaat om gemelde fixes. Het zegt niets over elke patch ter wereld.

Waarom dit vooral de ergste bugs raakt

Gaten met een omzeilde fix staan vaker op de lijst van CISA. Dat is de lijst met kwetsbaarheden die al misbruikt worden. Ze staan er vier keer vaker op dan andere bugs van dezelfde leveranciers.

Yomtov noemt een waarschijnlijke reden. Het is aandacht. Misbruikte bugs trekken meer onderzoekers aan. Zij bestuderen de patch. Ze vinden wat de ontwikkelaar miste.

Dus juist bij de belangrijkste gaten is de gewoonte het slechtst.

Een voorbeeld uit de praktijk

Russische staatshackers misbruikten een Windows-gat. Het ging om CVE-2026-21510 in Windows Shell. Dat gebeurde minstens een maand voor de patch van februari.

Microsofts fix was niet volledig. Er bleef een tweede gat over. Dat was CVE-2026-32202, een zero-click-kwetsbaarheid voor authenticatiedwang. Ook dat gat werd misbruikt. Microsoft herstelde het pas in april.

Eén gat leverde dus twee rondes op.

Welke bugs gaan het vaakst mis?

Twee soorten springen eruit. Dat zijn prototype pollution en server-side request forgery (SSRF). Prototype pollution komt ongeveer elf keer vaker voor onder gefaalde fixes. Bij SSRF is dat 4,6 keer.

De oorzaak ligt in de aanpak. Ontwikkelaars blokkeren vaak een lijst met slechte invoer. Denk aan hostnamen, paden of objectsleutels. Zo’n lijst is nooit compleet. Een aanvaller zoekt maar één vorm die ontbreekt. Eén coderingstruc is genoeg.

Ook de Linux-kernel kent het probleem

De kernel laat hetzelfde zien. Van alle kernel-CVE’s kwam 3,2 procent voort uit de fix van een andere CVE. In drukke onderdelen is dat ongeveer 10 procent. Het gaat dan om fs/smb en net/sched. Die cijfers komen uit de CNA-gegevens van de kernel per 8 oktober.

Wat heeft AI hiermee te maken?

Het jaar 2026 is ook het jaar van AI in kwetsbaarheidsonderzoek. AI vindt bugs sneller. AI schrijft ook sneller patches. Aanvallers hebben dezelfde hulpmiddelen. Ze vergelijken de oude en nieuwe code sneller dan ooit.

Dat verklaart niet alles. De bronnen leggen het verband niet hard vast. Het past wel bij het beeld.

Moet je dan stoppen met patchen?

Nee. Dat is de verkeerde conclusie. Een patch installeren blijft de eerste stap. Niet patchen is nog gevaarlijker. Terra vraagt om meer. Patchen is een begin, geen einde.

Wat moeten leveranciers doen?

Terra stelt drie vragen vóór elke release:

1. Lost de fix de oorzaak op?
2. Dekt de fix de hele klasse van bugs?
3. Breekt de fix iets anders?

Een fix voor één voorbeeld is niet genoeg. De hele familie van het probleem moet weg.

Wat moeten beheerders doen?

Terra geeft beheerders dezelfde vragen mee. Verder geldt een eenvoudige regel. Als een leverancier een misbruikt gat dicht, kijkt iemand naar die patch. Die persoon zoekt een weg eromheen.

Dit helpt in de praktijk:

• Installeer kritieke patches snel. Begin met bugs op de CISA-lijst.
• Test na het patchen of het gat echt dicht is.
• Volg de adviezen van de leverancier. Een vervolgpatch kan snel volgen.
• Houd logs en detectie actief rond het getroffen systeem.
• Leg lagen van bescherming aan. Denk aan segmentatie en strikte toegangsrechten.
• Beperk wat bereikbaar is vanaf internet.
• Plan een tweede controle na twee tot vier weken.

Dit zijn mijn eigen praktische aanbevelingen. Ze komen niet letterlijk uit het Terra-onderzoek.

Een kanttekening

Terra is een commerciële partij. Het verkoopt AI-gestuurde beveiligingstests. De gegevens komen uit gemelde adviezen. Meer onderzoek door AI kan ook meer meldingen opleveren. Een deel van de stijging kan dus komen door beter zoeken. Toch past het beeld bij echte aanvallen, zoals het Windows-voorbeeld laat zien.

Veelgestelde vragen

Wat betekent “patch and move on”?
Je installeert een update en denkt dat het probleem voorbij is. Terra noemt dat een slechte gewoonte.

Waarom zijn patches een kaart voor hackers?
Een patch toont waar de bug zat en hoe die is opgelost. Aanvallers zoeken dan de zwakke plek in de fix.

Hoe vaak falen fixes?
Bij GitHub-fixes steeg dat aandeel van ongeveer 0,2 procent naar 2,3 procent in 2026.

Moet ik minder patchen?
Nee. Blijf patchen. Controleer daarna of de fix werkt.

Welke bugs falen het vaakst?
Prototype pollution en SSRF. Dat komt door fixes die op lijsten met slechte invoer leunen.

Wat is de CISA-lijst?
Het is de lijst van kwetsbaarheden die al zijn misbruikt in aanvallen.

Conclusie

Een patch is geen finish. Hij is een tussenstand. Wie patcht, moet ook controleren. Wie software maakt, moet de oorzaak aanpakken. Alleen dan sluit het gat echt.