Elke patch is een bekentenis.
Op het moment dat een leverancier een beveiligingsoplossing verzendt, vertelt het verschil tussen de oude code en de nieuwe code iedereen die kijkt precies wat er kapot is en waar. Verander dat verschil weer in een werkende exploit, en je kunt elk systeem aanvallen dat nog niet is bijgewerkt. Dit is N-day-exploitatie, en het is altijd een race geweest: de leverancierspatches, de klok begint en verdedigers proberen in te zetten voordat een aanvaller klaar is met het reverse-engineeren van de oplossing.
De afgelopen dertig jaar wonnen verdedigers die race meestal.
Het reverse-engineeren van een patch tot een betrouwbare exploit was traag en gespecialiseerd werk, dat doorgaans wekenlange inspanningen op expertniveau vergde. Historisch gezien duurde de kloof tussen een patch en een werkende publieke exploit weken, vaak maanden.
Het traditionele draaiboek ging ervan uit dat je minimaal een paar weken de tijd had. Dat doe je niet meer. Niet eens in de buurt.
Het reverse-engineeren van een patch duurde vroeger weken. Mythos doet het in een uur.
Het rode team van Anthropic heeft precies dat gemeten.
Gegeven niets anders dan het publieke verschil en twee builds, heeft Claude Mythos Preview 18 Firefox-patches op zichzelf omgezet in 8 werkende exploits voor het uitvoeren van code. De eerste exploit kwam binnen een uur nadat Mozilla de patch had verzonden. De Firefox-release met die oplossing was nog steeds 18 dagen uit.
De Windows-resultaten zijn nog moeilijker: geen broncode, alleen gestripte binaire bestanden en decompileruitvoer. Toch bouwde het van de 21 kernelbugs 18 proof-of-concept-crashes (de snelste in 31 minuten) en koppelde er 8 helemaal aan SYSTEM, voor een prijs van ongeveer $2.000 per stuk.
Het wordt nog erger: een van die SYSTEEM-ketens was voor een bug die Microsoft had getagd met ‘Exploitatie onwaarschijnlijk’, en die beoordelingen zijn afgestemd op menselijke onderzoekers. Het is duidelijk dat die kalibratie niet langer geldt.
De publieke Claude-modellen bouwden, met hun beveiligingen ingeschakeld, ook exploits, alleen minder, dus dit is niet één vergrendelde mogelijkheid achter een enkel gated model.
Verdedigers kunnen er enige troost uit putten dat het omzetten van een exploit in een volledige inbreuk nog steeds meer werk, uitvoering, doelgerichtheid en ontwijking vergt. Maar de stap waarmee verdedigers hun weken kochten – het veranderen van een patch in een werkende exploit – is precies de stap waarvan de tijdlijn volledig is ingestort.
Zoals het eigen team van Anthropic het verwoordde: “N-hour komt dichter bij de realiteit waarin we nu opereren.”
Sorry, je kunt hier niet uit komen
Hier is de asymmetrie die het oude draaiboek doorbreekt: de patch die bedoeld is om je te beschermen is hetzelfde artefact dat de aanvaller bewapent. O jongen.
Verzend de oplossing en je overhandigt aanvallers een routekaart naar de bug, en iedereen die niet heeft bijgewerkt, wordt een doelwit. Onderzoekers noemen dit omslagpunt nu de ‘Vulnpocalyps’, het moment waarop een model een onthulling sneller kan bewapenen dan verdedigers de oplossing kunnen inzetten.
Dat is de reden dat een exploit van één dag er niet zo uitziet als twee jaar geleden.
De reflexmatige reactie om sneller te patchen is een verloren voorstel. De cijfers ondersteunen dit:
- Verizons DBIR uit 2026 schat de gemiddelde tijd om een bekende uitgebuite fout te repareren op 43 dagen, tegen 32 het jaar daarvoor, waarbij slechts 26 procent ooit volledig is gepatcht. Zelfs de best presterende bedrijven dichten slechts 30 tot 40 procent van de bekende misbruikte kwetsbaarheden in de eerste week.
- De Zero Day Clock schat de gemiddelde time-to-exploit in 2026 op minder dan 24 uur, vergeleken met ongeveer 53 dagen in 2024.
Patches wachten op regressietests, wijzigingsvensters en uptime-verplichtingen; Het terugbrengen van de productie om een exploit te ontlopen is gewoon een andere storing. En met ongeveer 135 nieuwe CVE’s per dag (momenteel een stijging van ongeveer 40 procent jaar-op-jaar), is het geen verrassing dat uw teams de achterstand nooit zullen kunnen wegwerken. De huidige inbreuken vinden steeds vaker plaats in die kloof.
De vraag is dus niet langer “wat is kwetsbaar?” Een achterstand waarbij alles een 9,8 scoort, geeft feitelijk niets prioriteit. De vraag die we ons in plaats daarvan moeten stellen is: “Welke blootstelling kan een aanvaller hier daadwerkelijk misbruiken, zouden onze controles de poging kunnen stoppen, en kunnen we dit bewijzen?”
Validatie zorgt er niet voor dat u sneller patcht. Het maakt patchsnelheid minder belangrijk.
Valideer de exploiteerbaarheid, ga er niet van uit
Om dit te bewijzen zijn drie methoden nodig, omdat geen enkele de hele omgeving bereikt.
Eén: vuur een echte exploit af waar je dit veilig kunt doen.
Een live exploit-keten tegen een bereikbaar item is het sterkste bewijs dat er is, en dat is wat autonome penetratietesten doen. Maar een live-exploit kan alleen tot ontploffing komen als dat veilig is. Dat sluit uit bedrijfskritische systemen, beperkte netwerkenEn segmenten met luchtspleten, dit zijn over het algemeen de activa die er het meest toe doen. Het sluit elke CVE uit zonder openbare, veilige exploit. En op de eerste dag duurt het even voordat er sprake is van een exploit. Tel dit bij elkaar op en het veilig testbare deel van uw totale blootstelling bedraagt een schamele 10 tot 15 procent van uw omgeving.
Het maakt niet uit hoeveel pentesttools je bezit, uiteindelijk botsen ze allemaal op dezelfde muur. De overige 85 tot 90 procent, de kroonjuwelen die je niet kunt aanraken en de bedreigingen die nog niemand als wapen heeft geuit, is waar de beslissing feitelijk om draait.
Twee: bewijs voor die 85 tot 90 procent tegen uw controles in plaats van een exploit af te vuren.
Dit is niet het lezen van een configuratie en aannemen; het voert het daadwerkelijke gedrag van de aanvaller uit tegen je live-stack en kijkt naar wat er vasthoudt. Denk aan een raket die je niet kunt lanceren, uniek in zijn soort, met menselijke bemanning of misschien nog in ontwikkeling. Je bewijst het op alle mogelijke manieren op de grond vóór die eerste testvlucht, waarbij je elk onderdeel aan reële omstandigheden test; als een vereist onderdeel defect raakt, zal het niet vliegen, en dat weet u zonder de kosten, risico’s en risico’s van een live lancering.
Een exploit is in wezen hetzelfde idee: een reeks technieken die achter elkaar worden uitgevoerd.
Ontleed een CVE in die keten en valideer elke link aan de hand van uw daadwerkelijke controles, EDR-beleid, segmentatie, allow-listing en firewall.
Verbreek een vereiste link en je weet dat de blootstelling hier niet kan worden uitgebuit, met bewijsmateriaal, zelfs op de activa die je nooit kunt aanraken en tegen de bedreigingen die nog niemand heeft bewapend.
Drie: bewijs dat uw controles daadwerkelijk standhouden.
Voer voortdurend de nieuwste technieken voor aanvallers uit op uw live preventie- en detectiestack, zodat u weet wat er wordt geblokkeerd, wat er stilletjes doorheen glipt en waar een controle is verdwenen, voordat een aanvaller dit voor u ontdekt.
Als ze samen worden uitgevoerd, zijn dit niet langer drie afzonderlijke processen, maar worden ze één doorlopende lus: valideren, beslissen, repareren, opnieuw valideren. Dat is de verschuiving die Gartner’s validatie van vijandige blootstelling beschrijft, en het is wat een kritische bevinding verandert in een verdedigbare oproep: patchen, mitigeren, monitoren of accepteren, in plaats van een gok die berust op een ernstscore.
Waar Picus in past
Het vinden van de belichting was nooit het moeilijkste deel. Het bewijzen van de juiste oproep is, en dat is de lus die Picus continu doorloopt, zodat het antwoord nooit oud wordt.
- Waar het afvuren van een live exploit veilig is, biedt Picus Autonomous Penetration Testing u het sterkste bewijs dat er is door de echte keten tegen bereikbare activa te runnen.
- Voor alles wat u niet veilig kunt aanraken, de beperkte, air-gapped en bedrijfskritische systemen, plus de CVE’s zonder exploit, bewijst Picus Exposure Validation exploiteerbaarheid via TTP-chaining, geen ontploffing vereist, met een antwoord op de eerste dag van openbaarmaking.
- En Picus Breach and Attack Simulation controleert voortdurend uw live beveiligingsstack aan de hand van de nieuwste technieken. Wanneer een controle mislukt, wordt de exacte handtekening of regel teruggegeven om het gat te dichten, en wordt vervolgens opnieuw gevalideerd dat deze daadwerkelijk is gesloten.
Drie methoden, één lus. Allemaal op machinesnelheid bestuurd door Picus Swarm, een team van AI-agenten dat werkt binnen de vangrails die je hebt geplaatst, met een traceerbare keten van bewaking, zonder ondoorzichtige scores of hallucinerende aanvalspaden.
Hieronder volgen daadwerkelijke klantresultaten, door echte gaten te dichten in plaats van meer tools te kopen:
- 92% minder SLA-overtredingen op basis van hoge en kritische bevindingen
- 89% lagere MTTR
- 2x controleeffectiviteit in drie maanden
Dat is de business case: houd de activiteiten draaiende en besteed budget daar waar het de uitkomst verandert, in plaats van alles op te lossen en niets te beschermen, en daarbij de haren van uw teams in vuur en vlam te zetten. De bordvraag is verplaatst van “zijn we gepatcht?” tot “zijn we nu veilig, en kun je het bewijzen?”
Ontdek wat een aanvaller feitelijk in uw omgeving zou kunnen misbruiken voordat de volgende patchgolf toeslaat. Vraag hier uw gratis demo aan.
Opmerking: dit artikel is geschreven door Sıla Özeren Hacıoğlu, Security Research Engineer bij Picus Security.
