Het NCSC publiceerde op 12 en 13 oktober 2026 achter elkaar waarschuwingen over systemen die vaak aan de rand van het netwerk of in de ontwikkelketen staan. Deze serie is een goed moment om te bepalen hoe snel een organisatie werkelijk kan patchen.
Ivanti Connect Secure: zero-day, al misbruikt
Op 13 oktober waarschuwde het NCSC voor CVE-2026-104935 in Ivanti Connect Secure. Een aanvaller kan het systeem op afstand en zonder in te loggen aanvallen. Ivanti geeft de kwetsbaarheid een score van 8,6 en meldt dat zij al is misbruikt bij een beperkt aantal klanten, voor de openbare bekendmaking. Het NCSC beoordeelt zowel de kans op misbruik als de mogelijke schade als hoog. Omdat Connect Secure toegang geeft tot de omgeving van de organisatie, lopen ook gekoppelde systemen en gegevens risico.
De oplossing hangt af van de versie: 22.8R2.4 en ouder krijgt een oplossing in 22.8R2.5 (Ivanti raadt voor de 22.8-serie aan om naar 25.1.1.2 of nieuwer te gaan), 25.1.1.1 en ouder in 25.1.1.2, en 25.1.2.2 en ouder in 25.1.3.0 of 25.1.3.1. Versies 22.7R2.14 en ouder zijn niet getroffen. Het NCSC wijst erop dat patchen een eerdere inbraak niet ongedaan maakt: bij verdenking van een compromittering volgt u de herstelstappen van Ivanti.
GitLab: score 10 in de ontwikkelketen
Eveneens op 13 oktober meldde het NCSC kwetsbaarheden in GitLab CE en EE, waarvan CVE-2026-97229 de maximale score van 10,0 heeft. Via een kwaadaardige configuratie in de CI/CD-pijplijn kan een aanvaller ongeautoriseerd code uitvoeren, onder bepaalde voorwaarden van buiten en zonder in te loggen. Het NCSC schat de kans op misbruik als middel en de impact als hoog. Alle versies vóór 19.2.8, 19.3.5 en 19.4.2 zijn kwetsbaar; update naar de versie van uw releaselijn.
HPE Networking AOS-Switch en andere recente adviezen
Op 12 oktober volgde HPE Networking AOS-Switch (NCSC-2026-0413): zes kwetsbaarheden met scores van 9 tot 9,8 in de beheerinterface en API, waaronder omzeilen van authenticatie en code-uitvoering zonder inloggen. Eerder deze weken waarschuwde het NCSC ook voor Microsoft Exchange Server (6 oktober), Citrix NetScaler (30 september, waarvan twee kwetsbaarheden al werden misbruikt), Zammad (30 september, twee actief misbruikte zero-days) en F5 BIG-IP APM (22 september, actief misbruikt). De MIVD en AIVD verwachten bovendien een forse toename van Chinese aanvallen op kwetsbare randapparatuur.
Wat dit vraagt van detectie en patchbeleid
Voor een CISO is de reeks de vraag of de organisatie kan voldoen aan een aantal praktische eisen. Onderstaande punten zijn onze duiding, geen onderdeel van de NCSC-adviezen:
- Houd een actuele lijst bij van alle systemen die vanaf internet bereikbaar zijn of toegang tot het netwerk geven (VPN, gateways, switches, CI/CD), met eigenaar en versie.
- Spreek vooraf een kortere termijn af voor kwetsbaarheden in zulke systemen die als actief misbruikt zijn gemeld dan voor reguliere patches, en laat het bestuur die termijn vaststellen.
- Behandel een patch van een systeem met bekend misbruik als de start van onderzoek: zoek naar sporen van eerdere inbraak, omdat patchen een bestaande toegang niet verwijdert.
- Zorg dat logging van deze systemen centraal wordt verzameld en bewaard, zodat een onderzoek achteraf mogelijk is.
- Maak afspraken met externe beheerders: wie krijgt de melding, wie besluit en wie voert uit, ook buiten kantoortijd.
Meldplicht en bestuur
Voor organisaties onder de Cbw geldt dat significante incidenten gemeld moeten worden bij het sectorale CSIRT en de toezichthouder. Het NCSC noemt bij de adviezen zelf geen termijnen; bepaal die uit de wet en de handreikingen. Het bestuur kan het best vooraf bepalen wie beoordeelt of een misbruikte kwetsbaarheid tot een meldplichtig incident leidt, zodat die afweging niet pas tijdens het incident wordt gemaakt.
Wat betekent dit? De reeks laat zien dat de periode waarin een fout alleen bekend is bij de leverancier kort is, en dat misbruik soms eerder begint dan de bekendmaking. Een organisatie die kritieke randsystemen binnen dagen patcht en tegelijk op sporen van eerder misbruik let, verkleint de kans op schade aanzienlijk. Onze dienst Verkorten tijd-tot-detectie helpt om logging en monitoring van deze systemen zo in te richten dat misbruik sneller opvalt, en om de meldlijn naar CSIRT en toezichthouder vooraf te regelen.