IBM telt circa 578 procent meer CVE-meldingen bij vier leveranciers

IBM X-Force meldt over januari tot september 2026 ruim 10.124 publiek gemelde CVE’s bij Microsoft, Oracle, Google Chrome en Apache, tegen circa 1.493 een jaar eerder, een stijging van circa 578 procent.

Je securityteam krijgt daarmee mogelijk meer leveranciersmeldingen om aan de software te koppelen die echt in gebruik is. Die stijging voorspelt niet hoeveel van die CVE’s jouw omgeving raakt: de werkdruk hangt af van product, versie, bereikbaarheid en bekende exploitatie.

Vier leveranciers, vier groeipercentages

De telling bestrijkt negen maanden in beide jaren en omvat vier grote softwareleveranciers. Het gaat om publiek gemelde CVE’s die IBM bij Microsoft, Oracle, Google Chrome en Apache telt, niet om alle leveranciers of alle kwetsbaarheden in software die Nederlandse organisaties gebruiken.

Op basis van de genoemde totalen komt de telling voor 2026 uit op ongeveer 6,8 keer die van dezelfde periode een jaar eerder. De stijging is niet gelijk verdeeld: IBM rapporteert 204 procent groei voor Microsoft, 1.292 procent voor Oracle, 2.456 procent voor Chrome en 367 procent voor Apache.

IBM beschrijft de eerste drie maanden van 2026 als ongeveer gelijk aan eerdere niveaus. De versnelling begint in april en loopt door in de zomer. De vier percentages laten zien dat de sprong over verschillende leveranciers en softwarecategorieën loopt, al zegt de onderlinge spreiding ook dat één totaalcijfer de beweging niet volledig beschrijft.

Een CVE-telling wijst geen impact per organisatie aan

Een openbaar CVE-record maakt een kwetsbaarheid herkenbaar en bespreekbaar, maar vertelt op zichzelf niet of een organisatie de getroffen software gebruikt. Ook de productversie en de manier waarop het systeem bereikbaar is, bepalen of een melding in de eigen omgeving relevant wordt. Een telling van vier leveranciers is daarom geen voorspelling dat elke Nederlandse organisatie 6,8 keer zoveel toepasbare patches krijgt.

IBM’s artikel noemt de vier leveranciers en toont de totalen en maandgrafieken, maar beschrijft geen reproduceerbare zoekmethode, selectiecriteria of manier waarop dubbele meldingen zijn behandeld. Daardoor is de 578 procent hier IBM’s eigen telling, geen onafhankelijk herberekende maat voor de hele softwaremarkt. Het is een X-Force-kennisartikel, met onderaan promotie voor IBM’s beveiligingsdiensten. Dat maakt de cijfers niet onbruikbaar, maar de ontbrekende methode begrenst wat uit de vergelijking kan worden afgeleid.

IBM verbindt de stijging niet rechtstreeks aan AI

De cijfers vallen volgens IBM samen met meer AI-ondersteund beveiligingsonderzoek. Het bedrijf schrijft er ook bij dat de gegevens geen direct oorzakelijk verband aantonen. De telling laat zien hoeveel CVE’s in de gekozen leveranciersgroep publiek zijn gemaakt, niet hoeveel daarvan door AI zijn gevonden of of AI de stijging veroorzaakte. De pagina maakt niet duidelijk of veranderde meldingspraktijken of later gepubliceerde, eerder ontdekte fouten de vergelijking beïnvloeden.

IBM analyseert ook een aparte verzameling van 223 publiek gemelde kwetsbaarheden die met frontier-AI-modellen zijn gevonden. Daarvan kreeg 55,2 procent volgens NVD’s CVSS-versie 3 de classificatie hoog of kritiek, was 91 procent op afstand bereikbaar en ondersteunde 25,6 procent code-uitvoering. Dat is een ander gegevensbestand dan de 10.124 CVE’s uit de vier leveranciers. Het cijfer zegt iets over deze onderzochte AI-vondsten, niet over het aandeel van AI in IBM’s stijging.

Unit 42 van Palo Alto Networks beschrijft een eigen AI-scan: NOVA onderzocht in twee maanden 3.915 open-sourceprojecten en vond 14.090 bevestigde kwetsbaarheden. Unit 42 zegt dat 99,4 procent daarvan eerder niet publiek was gemeld en dat 40 procent hoog of kritiek was. Bij 2.776 blootstellingen die via afhankelijkheden verder doorwerkten, zegt het team de uitbuitbaarheid met een werkende proof-of-concept te hebben gecontroleerd. Daarbij zaten 1.280 kwetsbaarheden in afhankelijkheidspakketten en telde Unit 42 4.141 blootstellingen in software die zulke pakketten gebruikt.

Die uitkomst toont dat AI-systemen op grote schaal code kunnen doorlichten. Het meet iets anders dan IBM’s telling van gepubliceerde CVE’s bij vier leveranciers. Beide onderzoeken komen bovendien van beveiligingsbedrijven die hun eigen onderzoeks- en verdedigingscapaciteit beschrijven. De resultaten ondersteunen dat AI-onderzoek sneller en omvangrijker kan worden; ze bewijzen niet dat dit de stijging in IBM’s reeks heeft veroorzaakt. De vraag wie die capaciteit kan inzetten speelde al toen Anthropic’s Mythos binnen enkele uren zwakke plekken in geheime Amerikaanse overheidssystemen vond.

De patchvolgorde begint bij blootstelling

De CVSS-score helpt ernst te beschrijven, maar NVD zegt expliciet dat CVSS geen risicomaat is. NVD levert vooral basisbeoordelingen en berekent niet hoe een kwetsbaarheid uitpakt binnen een specifieke organisatie. De score weet niet of de getroffen versie online staat, of een compenserende maatregel actief is en hoeveel bedrijfsprocessen van die omgeving afhangen.

Voor bekende exploitatie is er een ander signaal. CISA adviseert organisaties de KEV-catalogus met kwetsbaarheden die in het wild zijn misbruikt als input voor hun prioriteringskader. Voor een Nederlands team ligt de praktische volgorde daarom bij het koppelen van een CVE aan de eigen softwarelijst, de getroffen versie, internetblootstelling en aanwijzingen voor actief misbruik. Pas daarna wordt duidelijk welke melding een patchvenster of aanvullende maatregel nodig heeft.

De 578 procent beschrijft hoe sterk de publicatiestroom bij vier leveranciers veranderde. De herstelvolgorde ontstaat wanneer die meldingen aan softwareversies, bereikbaarheid en bekend misbruik in de eigen omgeving worden gekoppeld. Die koppeling bepaalt hoeveel van IBM’s wereldwijde telling op de patchkalender van een Nederlandse organisatie terechtkomt.