Wat is een kwetsbaarheid? Beveiligingslekken in gewone taal

WindowsMaciPhoneAndroidBijgewerkt

Een kwetsbaarheid is een zwakke plek of fout in software, een systeem of een proces, die een aanvaller kan uitbuiten, bijvoorbeeld om zonder toestemming toegang te krijgen tot een computersysteem. Zo omschrijft het Britse National Cyber Security Centre het in zijn woordenlijst. Makers herstellen kwetsbaarheden met updates, en die updates installeren heet patchen. Deze gids is bijgewerkt tot 23 oktober 2026.

Kort antwoord

Een kwetsbaarheid is een zwakke plek of fout in software, een systeem of een proces waar een aanvaller misbruik van kan maken. Onderzoekers, leveranciers en gebruikers vinden ze, melden ze bij de organisatie die verantwoordelijk is, en daarna volgen een oplossing en een advies. Door updates snel te installeren komt die oplossing op je eigen apparaten.

Wat betekent kwetsbaarheid in beveiliging?

In gewone woorden: een gat dat er niet hoort te zitten. Het Britse NCSC noemt het "a weakness, or flaw, in software, a system or process", een zwakte of fout in software, een systeem of een proces. Het Amerikaanse National Institute of Standards and Technology (NIST) is formeler: een zwakte in een informatiesysteem, in beveiligingsprocedures, interne controles of de uitvoering ervan, die door een bedreiging kan worden uitgebuit of geactiveerd.

Twee woorden komen vaak terug. Een exploit is volgens het Britse NCSC het ontwikkelen van hulpmiddelen om een kwetsbaarheid in een systeem te benutten, om onbevoegd toegang te krijgen of ongewenste effecten te veroorzaken. De kwetsbaarheid is dus de zwakke plek, en de exploit is het middel om die te gebruiken. Een zero-day is in dezelfde woordenlijst een pas ontdekte kwetsbaarheid die hackers kunnen misbruiken, terwijl er nog geen oplossing of patch openbaar beschikbaar is.

Een kwetsbaarheid op zichzelf is geen hack. Het is een zwakke plek die gebruikt zou kunnen worden, en daarom gaat het advies na een kwetsbaarheid over herstellen voordat iemand dat doet.

Hoe worden kwetsbaarheden gevonden?

Door mensen die ernaar kijken. Het Britse NCSC zegt dat beveiligingslekken voortdurend worden ontdekt en dat mensen ze rechtstreeks willen kunnen melden bij de verantwoordelijke organisatie. Het Amerikaanse agentschap CISA noemt onderzoekers, leveranciers en anderen als melders.

In Nederland heet zo'n melding een Coordinated Vulnerability Disclosure-melding, of CVD-melding. Veiliginternetten.nl schrijft dat die vroeger een responsible disclosure-melding heette, en dat je als gebruiker of ethische hacker een kwetsbaarheid bij de organisatie kunt melden en haar voldoende tijd kunt geven om de zwakke plek aan te pakken. Veel organisaties zetten op hun eigen website hoe ze met zulke meldingen omgaan.

Het Britse NCSC moedigt organisaties aan het makkelijk te maken, met een duidelijke contactroute zoals een beveiligd webformulier en een gepubliceerd beleid. Het beschrijft ook security.txt, een klein bestand op een website waarin staat bij wie je een probleem meldt.

Wat is coordinated vulnerability disclosure?

Het is de manier om een lek op een ordelijke manier hersteld en bekendgemaakt te krijgen. Het Nederlandse NCSC omschrijft het als het gecoördineerd melden van kwetsbaarheden: je meldt een technisch beveiligingslek dat je hebt gevonden, zodat het kan worden opgelost voordat kwaadwillenden het misbruiken.

Het NCSC neemt zelf meldingen aan over systemen of producten van de Rijksoverheid, en over kwetsbaarheden die meerdere systemen of leveranciers treffen. Vind je een kwetsbaarheid in een systeem buiten de Rijksoverheid, meld die dan eerst bij de eigenaar. Krijg je geen adequate reactie, dan kun je het NCSC inschakelen als tussenpersoon.

CISA beschrijft de stappen die het in de Verenigde Staten volgt: de melding komt binnen, CISA controleert of die echt is en binnen zijn taak valt, het werkt met de leverancier om het lek te bevestigen, het bepaalt of er een CVE-nummer nodig is, de partijen spreken de tekst en het moment van een advies af, en dan volgt de publicatie. Reageert een leverancier niet of wil hij geen redelijke termijn afspreken, dan kan CISA een lek al 45 dagen na de eerste poging tot contact bekendmaken, of er nu een patch is of niet.

Hoe krijgen kwetsbaarheden een naam en een oplossing?

Veel krijgen een CVE-nummer. CISA noemt het CVE-programma een wereldwijd erkend systeem om kwetsbaarheden te identificeren, te benoemen en te catalogiseren. Daarom staan in adviezen codes als CVE-2026-109618. Ook het advies van het Nederlandse NCSC over PHP2Shell noemt de lekken bij hun CVE-nummer. Onze gids over CVE-nummers en CVSS-scores legt uit wat de nummers en de ernstscores betekenen.

De oplossing zelf is meestal een patch. Het Britse NCSC omschrijft patchen als het installeren van updates op apparaten of software om de beveiliging te verbeteren of de werking uit te breiden.

Waarom zijn updates belangrijk?

Omdat een update de manier is waarop een oplossing bij jou komt. Veiliginternetten.nl zegt over slimme apparaten thuis, zoals je router, dat updates je niet alleen nieuwe functies geven, maar vaak ook betere beveiliging, en dat apparaten zonder updates zelfs gehackt kunnen worden. Het advies is kort: krijg je een melding om een update te doen, doe het direct. Safeonweb, de Belgische site voor veilig internetten, raadt ook aan je smartphone en computer regelmatig bij te werken.

Het Britse NCSC waarschuwt dat fabrikanten oudere apparaten op een gegeven moment niet meer bijwerken. Een apparaat dat niet meer wordt ondersteund, krijgt geen beveiligingsupdates meer, en volgens het NCSC is een telefoon dan minder veilig.

Wat laat PHP2Shell zien over kwetsbaarheden?

PHP2Shell is een recent voorbeeld van de hele cyclus. Volgens Safeonweb ontdekte een cybersecuritybedrijf met hulp van kunstmatige intelligentie twee ernstige beveiligingsproblemen in PHP en waarschuwde het de ontwikkelaars, zodat zij ze konden oplossen. Het PHP-project maakte op 21 oktober 2026 de twee kritieke kwetsbaarheden bekend, CVE-2026-109618 en CVE-2026-109619, die zonder inloggen remote code execution mogelijk kunnen maken, en bracht dezelfde dag herstelde versies uit. Het advies zegt dat Linux-distributies en leveranciers met langdurige ondersteuning de patches vooraf kregen.

Dezelfde dag publiceerde het Nederlandse NCSC zijn advies NCSC-2026-0443 en adviseerde het de beveiligingsupdates met spoed toe te passen. Het NCSC meldde op 23 oktober 2026 dat het één melding kent van mogelijk misbruik in het buitenland, maar dat niet is bevestigd dat de aanval ook echt succesvol was. Het schrijft ook dat misbruik ingewikkeld is en dat de kans op grootschalig misbruik kleiner is dan eerder werd ingeschat. Het hele verhaal staat in onze uitleg over de PHP-kwetsbaarheid.

Meer vragen

Wat is het verschil tussen een kwetsbaarheid en een lek?

In het dagelijks gebruik betekenen ze vaak hetzelfde. Op zijn meldpagina spreekt het Nederlandse NCSC zowel van een beveiligingslek als van een kwetsbaarheid. Een datalek is iets anders: veiliginternetten.nl omschrijft dat als toegang tot persoonsgegevens zonder dat dit mag of zonder dat dit de bedoeling is.

Is een kwetsbaarheid hetzelfde als een virus?

Nee. In de omschrijvingen van het Britse NCSC is een kwetsbaarheid een zwakke plek of fout, en een exploit een hulpmiddel dat is ontwikkeld om die te benutten. Een kwetsbaarheid is dus de zwakke plek, niet de aanval, en daarom is het advies haar te herstellen voordat iemand haar gebruikt.

Wordt elke kwetsbaarheid hersteld?

Niet altijd snel. CISA zegt dat het een lek na 45 dagen kan bekendmaken als een leverancier niet reageert, of er nu een patch is of niet. Software die niet meer wordt ondersteund, krijgt soms helemaal geen oplossing: PHP 8.1 en ouder worden volgens het NCSC niet meer regulier door het PHP-project ondersteund.

Wat als mijn apparaat geen updates meer krijgt?

Het Britse NCSC zegt dat een apparaat dat niet meer wordt ondersteund, geen beveiligingsupdates meer van de fabrikant krijgt en daardoor minder veilig is. Het raadt aan online na te gaan of een bepaald model nog updates krijgt. Voor software geldt hetzelfde: is PHP veilig? laat zien hoe ondersteuning werkt bij PHP-versies.

Ik heb een lek in een website gevonden. Hoe meld ik dat?

Zoek op de website van de organisatie naar haar beleid voor CVD-meldingen of naar een security.txt-bestand, en meld het daar. Gaat het om een systeem van de Rijksoverheid, of om een kwetsbaarheid die meerdere organisaties treft, dan kun je het melden bij het NCSC. Reageert een andere organisatie niet adequaat, dan kan het NCSC als tussenpersoon helpen.

Bronnen