Snyk

Op 11 september 2026 gaat de CRA-meldplicht in voor software die je liet bouwen. Dit is het draaiboek: het kwetsbaarhedenregister per product, de meldaccounts met levertijd, de ondersteuningsperiode en het bewijsspoor eronder.

Hudson Rock kreeg het buitgemaakte archief van de LiteLLM-aanval in handen en koppelt 118.829 gedumpte CI/CD-runners aan 2.488 bedrijfsdomeinen. Op de slachtofferlijsten staan ook Philips en TomTom.

Zodra je een MCP-tool aan een AI-agent koppelt, geef je de eigenaar van die tool-omschrijving dezelfde schrijftoegang tot je agent als jezelf. 'Het is maar een koppeling' is daarmee geen technisch detail, maar een vertrouwensbeslissing.

Beveiligingsbedrijf Wiz vond in zes AI-codeertools een lek dat het goedkeuringsvenster misleidt. Via een symbolische link schrijft de agent een SSH-sleutel buiten je project. Controleer of je op de gepatchte versie zit.

Het grootste deel van je AI-stack is code van vreemden. Zo leg je elke afhankelijkheid vast, verifieer je herkomst en houd je Langflow en LiteLLM dicht, stap voor stap.

Aanvallers kaapten een vergeten beheerdersaccount en injecteerden in ruim honderdveertig pakketten van het populaire AI-framework Mastra een wachtwoordsteler. Wie npm install draaide, liep risico, ook zonder de code te gebruiken.