CISA

Zelf je mail hosten geeft je de controle terug, maar ook een doelwitprofiel en een verdedigingsplicht die niemand inkoopt. Waarom soevereine e-mail vooral een inkoopbeslissing is.

Je leverancier hoeft je nu nergens over te waarschuwen. Vijf contractbepalingen met kant-en-klare Nederlandse tekst, de meldtermijnen die erin horen en de tegenwerpingen die je gaat horen.

Aanvallers manipuleren de DNS-instellingen van wifi-apparatuur in hotels en congrescentra en sturen gasten zo naar valse Microsoft 365-inlogpagina's. Geen phishingmail, geen bijlage. Wat dat betekent voor het reisbeleid van een Nederlands bedrijf.

Elke tweede dinsdag patchen was een prima plan toen een lek nog jaren bleef liggen. Nu een vers gat binnen uren een wapen is, bepaalt niet je patch-datum maar je reactie-tempo of je nog staat.

Oracle dichtte in zijn juli-patchronde tien lekken in Fusion Middleware met de maximale score 10.0. Het NCSC roept organisaties op meteen te patchen, want aanvallers buiten Oracle-software dit jaar al bij grote bedrijven uit.

Er ligt een datum in de agenda van elke organisatie die op Microsoft 365 draait, of de beheerder het nu weet of niet.

Passwork oogt als een Europese wachtwoordmanager, maar is Russisch en FSB-gecertificeerd, en draait bij Nederlandse energie-, omroep- en IT-bedrijven. Onderzoek toont dat de Russische en Europese versie vrijwel identieke, gesynchroniseerde updates delen.

Het Witte Huis lanceert Gold Eagle, een AI-clearinghouse dat door AI gevonden softwarekwetsbaarheden verzamelt en laat patchen, onder leiding van het ministerie van Financiën. Wat betekent die overheidsstap voor Nederlandse organisaties die software bouwen of draaien?

De Europese Commissie kwam op 7 juli met een Actieplan Cybersecurity en AI. Het bevat vooral aanbevelingen en Europese testcapaciteit, geen nieuwe verplichtingen. Voor Nederlandse bedrijven blijven NIS2 en de AI Act de harde compliancelat.

De FBI bracht een officiele waarschuwing uit voor TeamPCP, die breed gebruikte ontwikkel- en beveiligingstools vergiftigde. De concrete raad: installeer een pakket pas na een minimale leeftijd van zeven dagen.

Voor het eerst is gedocumenteerd dat een AI-agent zelfstandig een volledige ransomware-aanval uitvoert. Sysdig volgde JADEPUFFER, dat via een oud Langflow-lek inbrak en een productiedatabase versleutelde. Een governance-vraag voor elk bedrijf met AI-agents.

Een lek in beheersoftware SimpleHelp (CVSS 10) wordt actief misbruikt om via RMM-servers de infostealer Djinn te verspreiden op Windows, macOS en Linux. Voor bedrijven die hun IT-beheer uitbesteden is dat een ketenrisico, geen los patchbulletin.

Vier dagen na de Amerikaanse waarschuwing slaan nu ook de AIVD en MIVD alarm: Russische hackers stelen via nep-supportberichten de herstelsleutel van je Signal-back-up, waarmee ze je volledige berichtgeschiedenis op hun eigen toestel terugzetten.

Iets minder dan drie weken na het exportbevel heft de VS de blokkade op Anthropics krachtigste modellen Fable 5 en Mythos 5 volledig op. Het topmodel keert terug, maar de les over afhankelijkheid blijft staan.

Het Amerikaanse Rewards for Justice-programma biedt tot 10 miljoen dollar voor informatie over twee Russische groepen die via social engineering Signal- en WhatsApp-accounts overnemen, een trucendoos die ook gewone bedrijven raakt.

De Amerikaanse overheid drukt Meta om zijn krachtigste AI-modellen vrijwillig te laten toetsen op veiligheid. OpenAI, Anthropic, Google, Microsoft en xAI gingen al akkoord. Meta is de enige grote aanbieder die nog ontbreekt.

De meeste aanvallen mikken op de basis, niet op geniale hacks. Met deze basischeck in vijf lagen breng je credentials, netwerk, supply chain, AI-tools en herstelplan in een halve dag op orde.

Anthropic schakelde Mythos en Fable 5 wereldwijd uit na een Amerikaans exportbevel, maar een kleine groep vroege testers zoals Dragos en Cisco houdt toegang. Europese instanties als ENISA vallen juist buiten de boot.

Een kritiek lek in de populaire AI-workflowbouwer Langflow wordt actief misbruikt. Aanvallers kunnen zonder in te loggen code uitvoeren op je server. Draai je Langflow zelf, dan is directe actie nodig.