Je maandelijkse patchcadans is dood: een lek wordt nu binnen uren een wapen

Ergens in je bedrijf leeft een aanname die niemand hardop uitspreekt: dat een lek lang genoeg blijft liggen om het rustig te dichten, op een gepland moment. Elke tweede dinsdag van de maand. Aan het eind van de sprint. In het onderhoudsvenster van zondagnacht. Die aanname is dood, en de meeste bedrijven merken dat pas als de aanval al binnen is.

Kijk naar wat er op 14 juli gebeurde. Microsoft dichtte die dag een gat in SharePoint, keurig op Patch Tuesday. Alleen was CVE-2026-58644 op dat moment al als zero-day misbruikt, voordat er een patch bestond: een kritiek lek waarmee een aanvaller op afstand code kon draaien op elke ondersteunde on-prem versie. De vaste datum was geen finish. Hij was al te laat.

Mijn stelling is simpel. De vaste patchcadans, maandelijks of per sprint, is als beveiligingsstrategie dood. Niet je patch-datum bepaalt nog of je veilig bent, maar het tempo tussen het moment dat een lek bekend wordt en het moment dat jij het dicht of afschermt.

Het venster is van jaren naar uren gekrompen

De cadans is een erfstuk uit een tijd waarin je die tijd nog had. In 2018 zat er gemiddeld meer dan twee jaar tussen de publicatie van een lek en het eerste waargenomen misbruik. Twee jaar. Op zo'n klok is een maandelijks venster ruim bemeten.

Die klok bestaat niet meer. Check Point documenteerde dit jaar aanvallen waarin AI is opgeschoven van hulpje naar operator: in één inbraak dreef een enkele aanvaller twee commerciële AI-tools tot 5.317 uitgevoerde commando's over 34 sessies, met minimale menselijke sturing. Het gevolg dat jou raakt: AI maakt van een vers gepubliceerd lek binnen uren een werkend wapen, en toezichthouders verkorten de hersteltermijn voor de meest kritieke internet-systemen daarom tot soms 12 uur. Zet dat naast een maandcyclus: tot dertig dagen open deur, tegenover een dreiging die in uren wordt geklokt.

Er zit een wrange logica onder. Zodra een leverancier een patch uitbrengt, geeft hij aanvallers meteen het vergelijkingsmateriaal: door de oude en de nieuwe versie naast elkaar te leggen, reconstrueren ze in machinetempo waar het gat zat. Een patch stopt de klok niet, hij start hem. Wie dan nog dagen wacht op een gepland venster, geeft precies dat tijdvoordeel weg.

"Actief misbruikt voor je venster" is de norm, en soms valt er niets te patchen

Dat SharePoint-gat is geen uitzondering, het is het patroon. Het NCSC riep deze maand op tot directe installatie van Oracle-patches na tien lekken met de maximale CVSS-score van 10.0, niet in je volgende cyclus maar nu. Een kritiek lek in de WordPress-kern werd actief misbruikt terwijl beheerders nog moesten patchen. Het woord cadans veronderstelt een ritme dat jij bepaalt. Dat ritme ligt nu bij de aanvaller.

En soms valt er niet eens iets te installeren. Progress gaf ShareFile-klanten de opdracht hun on-prem Storage Zone Controllers uit te zetten vanwege een geloofwaardige externe dreiging, dagen voordat er een gepatchte versie klaarstond. Geen "installeer dit op je onderhoudsmoment", maar "trek de stekker eruit, nu". Een cadans gaat uit van twee dingen: dat er een patch is om te installeren, en dat je tot je volgende venster de tijd hebt. Allebei breken.

AI versnelt ook jouw kant, maar een kalender kan die snelheid niet opnemen

Nu het eerlijke tegenwicht, want het is geen eenrichtingsverhaal. Dezelfde AI die aanvallers versnelt, spuit ook een recordaantal lekken naar boven aan de goede kant: het CVE-volume ligt dit jaar ruim 46 procent boven de oorspronkelijke prognose, richting zo'n 66.000, grotendeels door AI-gedreven ontdekking. Meer gaten, sneller gevonden.

En de verdediging schaalt mee. IBM en Red Hat leveren met Lightwell geautomatiseerde remediation op schaal: duizenden vooraf herstelde, ondertekende afhankelijkheden die in productie landen zonder dat je een hele major-versie hoeft op te schuiven. Capital One bracht een open-source AI-scanner uit die kwetsbare code zelf lokaliseert. Het gereedschap om jouw kant van de race in te korten bestaat.

Alleen kan een vaste cadans dat gereedschap niet gebruiken. Een maandelijkse batch bovenop een realtime-probleem blijft een maandelijkse batch. Je kunt detectie-tot-mitigatie automatiseren zodat het in uren draait; je kunt "het komt dinsdag wel" niet in uren laten draaien. De flessenhals is niet je tooling. Het is de kalender die je eraan vasthield.

Om eerlijk te zijn: alles achterna rennen is ook geen plan

Het sterkste tegenargument verdient zijn beste vorm, want het klopt. Lang niet elk lek wordt een wapen. Van alle in 2025 gepubliceerde CVE's is amper 1 procent daadwerkelijk in het wild misbruikt, en een derde van de bekende ransomware-lekken had begin dit jaar nog helemaal geen werkende exploit. Al die tienduizenden gaten in realtime achtervolgen is waanzin: je sloopt je productie met haastige, ongeteste patches en je brandt je team op aan lekken die niemand ooit aanraakt. Een vaste, geteste cadans brengt discipline: staging, een terugrolplan, changecontrole. Dat gooi ik niet weg.

Maar kijk wat dat tegenargument bewijst. Als maar een fractie ooit wordt misbruikt, was het spel nooit "alles sneller patchen". Het is triage op misbruik-signaal: de handvol lekken die nú worden uitgebuit dicht je in uren, de lange staart houd je op een rustig ritme. Wat dood is, is niet de discipline. Het is de cadans met één versnelling als je hele verdediging.

Je hebt twee banen nodig. Een spoedbaan die draait op signalen van actief misbruik, de KEV-lijst van CISA, het "zet het uit"-bericht van je leverancier, en die in uren handelt. En een routebaan voor de rest, op cadans. Die spoedbaan is trouwens vaak niet eens de patch zelf: een tijdelijke mitigatie, een regel op je firewall, een uitgeschakelde functie, koopt je de uren tot de geteste patch door je routebaan komt. Een kalender ziet het verschil niet tussen een lek dat niemand ooit aanraakt en een lek dat op dit moment wordt geëxploiteerd. Een signaal wel. De concrete lagen om zo'n spoedbaan op te hangen staan in de vijf-lagen-basischeck voor mkb-security; dit stuk gaat over waaróm je kalender ze niet meer kan vervangen.

De klok, niet de datum

De vraag die ik zou stellen is dus niet welke dinsdag je patcht. Het is: hoeveel uur zit er tussen signaal en mitigatie, op de lekken die ertoe doen. Je patch-datum meet of je gisteren op orde was. Je reactie-tempo meet of je morgen nog staat.

En dit is maar één klok. Wie jouw keten het eerst scant, en met wiens model, is de vraag die er direct naast ligt, en de tools die je eigen AI ongemerkt binnenhaalt openen een deur die op geen enkel patchschema staat. Maar begin bij het tempo. Beveiliging is opgehouden een datum in de agenda te zijn. Het is een tempo geworden, en voor het eerst houdt de aanvaller de metronoom vast. De kalender aan je muur wijst naar de tweede dinsdag. De zandloper zegt dat je uren hebt. Geloof de zandloper.