De Microsoft Patch Tuesday van 2026 van vorige maand brak opnieuw een record: er verschenen beveiligingsupdates voor 1.411 kwetsbaarheden en 3 zerodays. Ter vergelijking: in heel 2025 loste Microsoft ruim 1.100 kritieke kwetsbaarheden (of CVE’s) op, gemiddeld 91 CVE’s per maand als onderdeel van de Patch Tuesday-releases.
Sommige experts voorspellen dat het aantal kwetsbaarheden tegen het einde van het jaar in totaal boven de 100.000 CVE’s uitkomt. Over 2 tot 3 jaar zou het niet verbazen als de maandelijkse aantallen structureel in de duizenden lopen.
Een aantal factoren zorgt ervoor dat recordaantallen kwetsbaarheden per maand inmiddels de norm zijn, waarbij AI veruit de belangrijkste is.
Analisten zoals Gartner voorspellen al langer dat we aan het begin staan van een lange patchgolf, omdat nieuwe AI-gestuurde detectietools van organisaties als Microsoft zich blijven ontwikkelen en decennia aan code steeds sneller doorspitten. Naarmate tools als Mythos en Daybreak beter worden, vergelijkbare Chinese modellen zich verspreiden en de hoeveelheid geproduceerde code blijft groeien, zullen de aantallen kwetsbaarheden verder oplopen.
Dat is op zichzelf geen slechte zaak. Het zijn modellen die code ontdekken en repareren die anders misbruikt had kunnen worden. En het is belangrijk dat grote leveranciers als Microsoft kwetsbaarheden in recordtempo blijven vinden én oplossen, voordat concurrerende modellen hen inhalen vanuit een exploitperspectief (dat zou kwaadwillenden dezelfde inzichten geven, zonder de morele beperkingen of beveiligingscontroles).
Leveranciers als Microsoft werken hier tegen de klok. Als zij kwetsbaarheden niet weten te vinden en te verhelpen voordat goed uitgeruste tegenstanders dat doen, wacht heel veel organisaties een hoop ellende. De inzet is, zoals de CVE-aantallen helaas laten zien, bijzonder hoog.
Slimmere IT begint hier
Abonneer u op de wekelijkse NinjaOne nieuwsbrief en word deel van een actieve community van IT-liefhebbers die samen de lastigste IT-taken automatiseren.
Dit kunt u op korte termijn verwachten
Het aantal kwetsbaarheden blijft stijgen, omdat er vaker kwetsbaarheden worden ontdekt en via patches worden verholpen. Patchcycli moeten voorbij een maandelijkse cadans bewegen om beter aan te sluiten bij een dreigingslandschap en detectiemogelijkheden die zich niet langer aan de kalender houden. Het goede nieuws is dat steeds meer leveranciers al overgaan op tweewekelijkse releases – vooruitgang, al zijn we er nog niet. En naarmate leveranciers meer patches uitbrengen, ligt de verantwoordelijkheid bij organisaties om hun software navenant te beveiligen (zodra een kwetsbaarheid bekend is, kunnen de “bad guys” AI inzetten om die te reverse-engineeren en aanvallen sneller en succesvoller uit te voeren dan voorheen).
De patchgolf legt daardoor de komende weken en maanden veel meer druk op technici en engineers. Zowel binnen Microsoft in de komende 6 tot 12 maanden, waar men racet om het voordeel aan verdedigerszijde te behouden, als bij technici in organisaties verderop in de softwaretoeleveringsketen, die steeds meer patches moeten triëren die vaak onmiddellijk actie vereisen.
Dit is de richting op lange termijn
Er is wel een lichtpuntje. Na de pijn op korte termijn wordt stabiliteit verwacht. Als leveranciers kwetsbaarheden vinden en oplossen voordat aanvallers die capaciteiten evenaren en organisaties waakzaam blijven in hun patch- en vulnerability management (CISA verplicht federale instanties inmiddels om kritieke kwetsbaarheden binnen 72 uur te verhelpen), dan is de basisbeveiliging straks sterker dan ooit.
Dankzij vooruitgang in patchautomatisering hoeven technici niet langer handmatig door oplopende aantallen kwetsbaarheden te spitten, en dat zonder concessies te doen aan beveiliging of vertrouwen in het proces. Het is goed gedocumenteerd dat een slechte update die wordt doorgevoerd een organisatie schade kan berokkenen (denk aan storingen in IT of remote support of simpelweg extra wrijving in de digitale werkbeleving van medewerkers), maar niets doen is evenmin nog een optie.
De organisaties en technici die de golf aan kwetsbaarheden doorstaan, zijn degenen die patchautomatisering in enige vorm inzetten om te beoordelen welke patches het meest van toepassing zijn op hun daadwerkelijk blootgestelde assets, en die vervolgens risico- en ernstscores gebruiken om prioritering en uiteindelijk remediatie te stroomlijnen. Zo kunnen teams snel en op schaal beter onderbouwde beslissingen nemen over welke patches het meest essentieel zijn en welke het minst waarschijnlijk verderop verstoring veroorzaken.
We bevinden ons in een onzekere tijd en hoewel 1.411 kwetsbaarheden in één maand bijzonder veel lijkt, zitten we nog lang niet aan de piek. Wat de stijgende Patch Tuesday-aantallen vooral signaleren, is niet alleen méér detectie. Het is een hogere prijs voor uitstel. Het moment om uw fundament te versterken, automatisering in te zetten om processen te stroomlijnen en uw beveiliging te verbeteren is nu.
