Nieuws
image

Google registreert recordaantal actief misbruikte Windows-kwetsbaarheden

vrijdag 9 januari 2026, 11:06 door Redactie, 6 reacties

Vorig jaar is een recordaantal kwetsbaarheden in Windows actief misbruikt bij aanvallen, waar op het moment van de aanval nog geen beveiligingsupdate voor beschikbaar was. Dat blijkt uit cijfers van Google die Security.NL analyseerde. Google houdt al jaren een overzicht bij van actief aangevallen kwetsbaarheden in populaire producten. Vorig jaar werden 43 kwetsbaarheden geregistreerd, waarvoor pas na ontdekking van het misbruik een patch verscheen.

Van de 43 kwetsbaarheden bevonden zich er 18 in Windows. Niet eerder werden er zoveel actief aangevallen beveiligingslekken in het besturingssysteem van Microsoft waargenomen. In 2024 ging het nog om 9 kwetsbaarheden en in 2023 registreerde Google 12 aangevallen Windows-lekken. Nagenoeg alle Windows-kwetsbaarheden die vorig jaar bij aanvallen werden waargenomen maken het mogelijk voor een aanvaller die al toegang tot een systeem heeft om zijn rechten te verhogen, en zo het systeem verder te compromitteren, of om bepaalde beveiligingsmaatregelen te omzeilen.

Google rapporteerde 8 actief aangevallen kwetsbaarheden in de eigen producten, voornamelijk in Chrome. Het techbedrijf registreerde in 2024 nog 16 beveiligingslekken in de eigen software waar op het moment van de aanval geen update voor beschikbaar was. Apple zag volgens Google het aantal misbruikte kwetsbaarheden stijgen van 5 in 2024 naar 9 in 2025. In 2023 ging het echter nog om 20 beveiligingslekken, voornamelijk in iOS en WebKit.

Reacties (6)
Reageer met quote
Gisteren, 12:05 door Anoniem
Er zijn dus 18 zero-day-lekken Windows misbruikt vorig jaar.
Reageer met quote
Gisteren, 13:17 door Anoniem
Door Anoniem: Er zijn dus 18 zero-day-lekken Windows misbruikt vorig jaar.
En toch blijft men er mee doorgaan terwijl het al jaren continue kritiek lek is. Dit kudde gedrag gaat ons de das om doen. Luiheid in denken en doen en die schil van desinteresse is heel dik.
Vrolijk doorgaan mensen, Trump en zijn bigtech vrienden houden van je.
Reageer met quote
Gisteren, 13:40 door Anoniem
Door Anoniem:
Door Anoniem: Er zijn dus 18 zero-day-lekken Windows misbruikt vorig jaar.
En toch blijft men er mee doorgaan terwijl het al jaren continue kritiek lek is. Dit kudde gedrag gaat ons de das om doen. Luiheid in denken en doen en die schil van desinteresse is heel dik.
Vrolijk doorgaan mensen, Trump en zijn bigtech vrienden houden van je.

Wat stel je voor dan? De Linux kernel alleen al, had vorig jaar meer dan 2500 CVE's. Apple is niet veel beter.
Veiligheid zit niet in een systeem, maar in de gebruiker, die weet hoe hij moet handelen. Toegegeven, dat is veel gemakkelijker met open source, dan met closed source, maar daar heb je dan wel alles mee gezegd.
Reageer met quote
Gisteren, 13:52 door Anoniem
wat heeft dat nou met Trump te maken??? dla nergens op..en in Nederland of Europa zijn er niet zo bij de hand om zelf nog tech
te produceren...zijn er te dom voor de ja oorlogs voeren zijn er goed in wat Europa betreft....
Reageer met quote
Gisteren, 18:16 door Xavier Ohole
Door Anoniem:
Door Anoniem:
Door Anoniem: Er zijn dus 18 zero-day-lekken Windows misbruikt vorig jaar.
En toch blijft men er mee doorgaan terwijl het al jaren continue kritiek lek is. Dit kudde gedrag gaat ons de das om doen. Luiheid in denken en doen en die schil van desinteresse is heel dik.
Vrolijk doorgaan mensen, Trump en zijn bigtech vrienden houden van je.

Wat stel je voor dan? De Linux kernel alleen al, had vorig jaar meer dan 2500 CVE's. Apple is niet veel beter.

Geen zero-days want dat zou wereldnieuws zijn geweest, nietwaar?

Door Anoniem: Veiligheid zit niet in een systeem, maar in de gebruiker, die weet hoe hij moet handelen. Toegegeven, dat is veel gemakkelijker met open source, dan met closed source, maar daar heb je dan wel alles mee gezegd.

Bij closed source software weet je nooit wat er onder de motorkap gebeurt en ben je overgeleverd aan de leverancier. Als je er dan eentje treft als Micro$oft dan zit je met de ellende van zero-days, brak updatemechanisme, spaghetticodesoftware en vendor lock-in. Succes daarmee!
Reageer met quote
Gisteren, 19:17 door Anoniem
Door Anoniem: Wat stel je voor dan? De Linux kernel alleen al, had vorig jaar meer dan 2500 CVE's.
Dat komt hierdoor:
Note, due to the layer at which the Linux kernel is in a system, almost any bug might be exploitable to compromise the security of the kernel, but the possibility of exploitation is often not evident when the bug is fixed. Because of this, the CVE assignment team is overly cautious and assign CVE numbers to any bugfix that they identify. This explains the seemingly large number of CVEs that are issued by the Linux kernel team.
https://docs.kernel.org/process/cve.html

OpenBSD pakt al heel lang security aan door domweg bugs op te sporen en te repareren, zonder zich zorgen te maken over de vraag of het nou wel of geen security issue is, dat ontdek je namelijk typisch pas later dan de bug zelf:
Our security auditing team typically has between six and twelve members who continue to search for and fix new security holes. We have been auditing since the summer of 1996. The process we follow to increase security is simply a comprehensive file-by-file analysis of every critical software component. We are not so much looking for security holes, as we are looking for basic software bugs, and if years later someone discovers the problem used to be a security issue, and we fixed it because it was just a bug, well, all the better.
[...]
Another facet of our security auditing process is its proactiveness. In most cases we have found that the determination of exploitability is not an issue. During our ongoing auditing process we find many bugs, and endeavor to fix them even though exploitability is not proven. We fix the bug, and we move on to find other bugs to fix. We have fixed many simple and obvious careless programming errors in code and only months later discovered that the problems were in fact exploitable. (Or, more likely someone on BUGTRAQ would report that other operating systems were vulnerable to a "newly discovered problem", and then it would be discovered that OpenBSD had been fixed in a previous release).
Ik heb het idee dat ze daar bij de Linux-kernel lering uit hebben getrokken, en dat in hoe men dat bij Linux invult elke bug een CVE-nummer krijgt.

Als ik berichten over problemen in Windows zie dan krijg ik regelmatig de indruk dat men daar een bug pas prioriteit geeft als uit het exploiteren ervan blijkt dat die bug een securitylek is of er onderdeel van uitmaakt. Dan is deze benadering juist veel beter. Je ziet meer CVE's omdat er meer opgelost wordt, inclusief bugs waarvan anders later was gebleken dat ze geëxploiteerd hadden kunnen worden.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.

Zoeken
search
Image