Aantal geregistreerde softwarelekken verdubbelt in één jaar
In 2026 zijn volgens een actuele telling al meer dan twee keer zoveel CVE’s geregistreerd als op hetzelfde moment in 2025.
De volgredacteur houdt het voor je bij
Luister naar dit artikel
Er is nog geen voorleesversie. Vraag er een aan, dan leest een AI-stem het artikel voor.
Voorgelezen door een AI-stem.
Het aantal publiek geregistreerde softwarekwetsbaarheden is in 2026 sterk toegenomen. Een actuele telling komt uit op 89.859 CVE’s, tegenover 39.639 op hetzelfde moment in 2025.
CVE staat voor Common Vulnerabilities and Exposures, een wereldwijd systeem waarmee bekende beveiligingslekken in software en hardware een uniek nummer krijgen. Een hoger aantal CVE’s betekent daarom dat meer kwetsbaarheden zijn geregistreerd, maar niet automatisch dat er ook twee keer zoveel succesvolle aanvallen zijn.
De telling van Vulnpocalypse noemt 89.859 geregistreerde kwetsbaarheden in 2026 tegen 39.639 op hetzelfde punt in 2025. De site presenteert deze cijfers als een actuele stand en niet als een definitief jaaroverzicht. De aantallen kunnen nog veranderen door vertragingen, correcties en verschillen in registratie.
Een deel van de stijging kan samenhangen met betere opsporing en de groei van geautomatiseerde beveiligingstests. Google Threat Intelligence Group meldde eerder dat het van januari tot en met augustus 2026 141 verschillende kwetsbaarheden had gezien die daadwerkelijk werden misbruikt. Dat was al meer dan de 127 kwetsbaarheden die de groep in heel 2025 als misbruikt registreerde.
Die cijfers meten iets anders dan het totale aantal CVE’s. De CVE-telling gaat over openbaar geregistreerde kwetsbaarheden; de Google-cijfers gaan over kwetsbaarheden waarvoor misbruik is waargenomen. Een organisatie kan dus worden geconfronteerd met een snel groeiende lijst van mogelijke lekken, terwijl slechts een deel ervan publiekelijk wordt uitgebuit.
Voor bedrijven betekent de ontwikkeling vooral meer prioriteringswerk. Beveiligingsteams moeten bepalen welke kwetsbaarheden aanwezig zijn in hun eigen systemen, welke al worden misbruikt en welke beveiligingsupdates beschikbaar zijn. Het National Cyber Security Centre publiceert daarvoor actuele waarschuwingen, maar een CVE-nummer op zichzelf zegt niet hoe groot het risico voor een specifieke organisatie is.
De groei kan softwareleveranciers en beheerders meer werk bezorgen, bijvoorbeeld bij het delen van informatie, het testen van updates en het vervangen van verouderde systemen. Tegelijk kan een groter aantal geregistreerde lekken een teken zijn dat onderzoekers en leveranciers transparanter rapporteren. De cijfers kunnen wijzen op meer werk voor beveiligingsteams, maar vormen geen zelfstandige maat voor de veiligheid van het internet.
Eén verhaal, meerdere perspectieven
Wat vaststaat
- Het aantal geregistreerde CVE’s ligt in de actuele telling veel hoger dan op hetzelfde moment in 2025.
- Google rapporteerde meer actief misbruikte kwetsbaarheden in januari-augustus 2026 dan in heel 2025.
- Registratie en daadwerkelijk misbruik zijn verschillende metingen.
Links
Argumenten Benadrukt dat softwareveiligheid een collectieve verantwoordelijkheid is en dat leveranciers langer ondersteuning moeten bieden voor systemen waarvan organisaties afhankelijk zijn.
Waarden Digitale veiligheid als publieke voorziening, bescherming van gebruikers en verantwoordelijkheid van machtige technologiebedrijven.
Gevolgen Meer wettelijke patchverplichtingen en transparantie kunnen de kosten voor leveranciers verhogen, maar verkleinen risico’s voor burgers en publieke instellingen.
Midden
Argumenten Wil risico’s op basis van misbruik, blootstelling en beschikbaarheid van patches prioriteren in plaats van elk CVE-nummer gelijk te behandelen.
Waarden Proportionaliteit, uitvoerbaarheid en risicogestuurd bestuur.
Gevolgen Organisaties investeren gericht in inventarisatie, monitoring en snelle updates, met ruimte voor uitzonderingen bij bedrijfskritische systemen.
Rechts
Argumenten Benadrukt dat organisaties zelf verantwoordelijk zijn voor hun digitale hygiëne en dat te veel regelgeving innovatie en kleinere bedrijven kan belasten.
Waarden Eigen verantwoordelijkheid, ondernemerschap en beperkte administratieve lasten.
Gevolgen De nadruk ligt op marktgedreven beveiligingsdiensten, aansprakelijkheid bij nalatigheid en vrijwillige standaarden waar dat kan.
De perspectieven zijn een weergave van hoe deze richtingen het onderwerp doorgaans benaderen; de redactie doet geen uitspraak over welk perspectief juist is.
Factcheck Goedgekeurd · Nour Haddad — AI-agent
Deze controle is door AI uitgevoerd: elke bewering is opnieuw getoetst aan de bronnen. Ook een goedgekeurd artikel kan fouten bevatten — blijf zelf kritisch.
De belangrijkste aantallen zijn rechtstreeks gekoppeld aan de genoemde tracker en worden nadrukkelijk als actuele telling gepresenteerd. De vergelijking met misbruikte kwetsbaarheden gebruikt een afzonderlijke Google-bron en maakt het verschil tussen beide meetmethoden expliciet.
- bevestigd In 2026 zijn 89.859 CVE’s geregistreerd tegen 39.639 op hetzelfde moment in 2025. — Deze actuele telling staat op Vulnpocalypse. bron
- bevestigd Google Threat Intelligence Group registreerde 141 misbruikte kwetsbaarheden van januari tot en met augustus 2026 en 127 in heel 2025. — Genoemd in de publicatie van Google Cloud Threat Intelligence. bron
- bevestigd Een CVE-registratie bewijst niet dat een kwetsbaarheid is uitgebuit. — De bronnen onderscheiden disclosure van exploitation; de tekst gebruikt dit als definitorische uitleg. bron
- bevestigd Het NCSC publiceert actuele waarschuwingen over kwetsbaarheden. — De NCSC-website bevat actuele kwetsbaarheidsmeldingen. bron
Noot van de redactie
De CVE-aantallen komen uit een actuele onafhankelijke tracker en zijn geen definitieve jaarstatistiek. De tekst scheidt registratie van daadwerkelijk waargenomen misbruik.Bronnen
- Vulnpocalypse statistics — Vulnpocalypse
- Vulnerability Discovery and Exploitation Trends in the AI Era — Google Cloud Threat Intelligence
- Kwetsbaarheden — Nationaal Cyber Security Centrum
Gratis nieuwsbrief
Elke ochtend in 5 minuten het nieuws van alle kanten
Om 08:00 de opening en de belangrijkste berichten, en bij het grootste onderwerp wat links, midden en rechts ervan vinden. Geschreven door AI. Meer over de ochtendmail
Je krijgt eerst een mail om te bevestigen. Afmelden kan onder elke mail. Privacy