1. Editor's Synthesis

Deze week markeert een ongemakkelijke waarheid over hoe we software bouwen: de CMS supply chain is het nieuwe primaire aanvalsoppervlak, en AI-assistenten maken het alleen maar erger. Drie ontwikkelingen convergeren tot één verhaal.

Ten eerste: CISA voegde deze week vijf CVE's toe aan de Known Exploited Vulnerabilities-catalogus, allemaal met CVSS 9.8 of hoger, allemaal file upload-kwetsbaarheden die leiden tot remote code execution. Adobe ColdFusion, Balbooa Forms, iCagenda, SP Page Builder, Joomlack Page Builder. Het patroon is onmiskenbaar: aanvallers targeten CMS-plugins omdat die op miljoenen sites draaien en zelden worden geüpdatet. De Australische ACSC waarschuwde gelijktijdig voor een wereldwijde exploitatiecampagne tegen verouderde content management systemen.

Ten tweede: slopsquatting. Een nieuwe aanvalsvector waarbij AI-assistenten zoals GitHub Copilot en Cursor niet-bestaande softwarepakketten hallucineren, die aanvallers vervolgens registreren en vullen met malware. Ontwikkelaars die blind vertrouwen op AI-gegenereerde code implementeren letterlijk backdoors. Dit is geen theoretisch risico, de eerste slopsquatting-packages zijn al in het wild aangetroffen.

Ten derde: de Trump-administratie legde nieuwe beperkingen op aan private AI-modellen, wat een onbedoeld neveneffect heeft: Chinese open-weight modellen worden aantrekkelijker. Het Amerikaanse State Department waarschuwde expliciet voor de risico's van Chinese open-weights AI in bedrijfsomgevingen. Voor Nederlandse organisaties die AI adopteren is dit een directe supply chain-vraag: weet u waar uw model vandaan komt?

Het ene besluit dat Nederlandse CISO's deze week moeten nemen: "Scannen we al onze publieke websites op onpatched CMS-plugins, of accepteren we dat onze webpresence een open deur is voor ransomware?"

2. Nederlandse Context & Impact

NL-RELEVANTIE: HOOG, CISA KEV voegt 5 CMS CVE's toe, ACSC waarschuwt voor wereldwijde campagne

Wat: CISA voegde CVE-2026-48282 (Adobe ColdFusion, CVSS 10.0), CVE-2026-56291 (Balbooa Forms, CVSS 9.8), CVE-2026-48939 (iCagenda, CVSS 9.8), CVE-2026-48908 (SP Page Builder, CVSS 9.8), en CVE-2026-56290 (Joomlack Page Builder, CVSS 9.8) toe aan de KEV-catalogus. Alle vijf zijn file upload-kwetsbaarheden die ongeauthenticeerde remote code execution mogelijk maken. De Australische ACSC waarschuwde gelijktijdig voor een wereldwijde exploitatiecampagne.

Nederlandse impact: Nederland telt meer dan 15.000 websites op ColdFusion, vooral in de publieke sector. Joomla met Balbooa Forms, SP Page Builder en Joomlack is wijdverspreid bij MKB en gemeenten. Een ongeauthenticeerde RCE via een file upload betekent dat een aanvaller zonder credentials een webshell plaatst en volledige controle krijgt over de server, inclusief databases met persoonsgegevens en integraties met interne systemen.

Implicatie: Scan vandaag alle publieke websites op ColdFusion, Joomla, en WordPress met de genoemde plugins. Patch binnen 48 uur of plaats een WAF die file uploads blokkeert naar ongeauthenticeerde endpoints. Voor ColdFusion: overweeg migratie naar een moderner platform, Adobe's patch-cyclus voor ColdFusion is notoir traag.

Regelgeving: BIO2 B.3.3 (technische kwetsbaarheden), NIS2 art. 21 lid 2(c) (supply chain security), AVG art. 32 (beveiliging van verwerking). CISA KEV-status maakt dit een prioriteit voor uw ISMS-dossier.

NL-RELEVANTIE: HOOG, Slopsquatting: AI-hallucinaties als supply chain-aanvalsvector

Wat: Slopsquatting is een nieuwe aanvalstechniek waarbij aanvallers softwarepakketten registreren met namen die AI-assistenten hallucineren. GitHub Copilot, Cursor, en andere AI-coding tools genereren regelmatig imports van niet-bestaande packages. Aanvallers registreren deze packages en vullen ze met malware. Ontwikkelaars die de AI-suggestie blind accepteren, implementeren een backdoor. De eerste slopsquatting-campagnes zijn in juli 2026 gedocumenteerd.

Nederlandse impact: Nederlandse startups en scale-ups gebruiken massaal AI-coding assistants. Uit onderzoek blijkt dat 40% van de AI-gegenereerde code suggesties imports bevat van packages die niet bestaan. Eén gecompromitteerde package in een CI/CD-pipeline kan de volledige software supply chain van een organisatie infecteren. Voor leveranciers aan de overheid is dit een direct BIO2-risico.

Implicatie: Implementeer een pre-commit hook die alle nieuwe dependencies verifieert tegen de officiële package registry. Scan bestaande codebases op packages die niet in de registry bestaan. Train ontwikkelaars: AI-suggesties zijn suggesties, geen autoriteit.

Regelgeving: NIS2 art. 21 lid 2(c) (supply chain security), BIO2 B.3.3 (technische kwetsbaarheden), BIO2 B.2.1 (leveranciersmanagement). AVG art. 32 indien de gecompromitteerde code persoonsgegevens verwerkt.

NL-RELEVANTIE: HOOG, Chinese open-weight AI-modellen onder vuur van US State Department

Wat: Het Amerikaanse State Department waarschuwde deze week voor de risico's van Chinese open-weight AI-modellen in bedrijfsomgevingen. De waarschuwing komt na nieuwe Trump-beperkingen op private AI-modellen, die Chinese open-source alternatieven aantrekkelijker maken. Modellen zoals Kimi K3 (2.8 biljoen parameters) zijn vrij beschikbaar zonder gebruikersbeperkingen.

Nederlandse impact: Nederlandse organisaties die AI adopteren staan voor een dilemma: private modellen van OpenAI/Google zijn onderhevig aan Amerikaanse exportbeperkingen, Chinese open-weight modellen hebben geen gebruiksbeperkingen maar wél onbekende supply chain-risico's. Voor overheidsorganisaties die onder BIO2 vallen is dit een directe leveranciersrisico-vraag.

Implicatie: Documenteer de herkomst van elk AI-model in uw organisatie. Voer een supply chain risk assessment uit voor open-weight modellen. Overweeg een beleid dat alleen modellen van geverifieerde bronnen toestaat, Hugging Face verified publishers, niet willekeurige GitHub repos.

Regelgeving: BIO2 B.2.1 (leveranciersmanagement), NIS2 art. 21 lid 2(c) (supply chain security), AI Act art. 15 (robuustheid). Wiv 2023 art. 14 (buitenlandse datastromen).

NL-RELEVANTIE: MEDIUM, Ethereum node exploit (CVE-2026-34219)

Wat: Een kritieke kwetsbaarheid in Ethereum nodes maakt chain splits en liquiditeitsverlies mogelijk. CVE-2026-34219 treft alle nodes die op een specifieke client-versie draaien.

Nederlandse impact: Nederland heeft een aanzienlijke crypto-infrastructuur, exchanges, custody providers, en blockchain-startups. Een chain split kan leiden tot double-spending en onomkeerbaar verlies van digitale activa. Voor financiële instellingen die crypto-diensten aanbieden is dit een direct DNB-risico.

Implicatie: Update Ethereum nodes naar de gepatchte client-versie. Verifieer dat uw node niet op een fork draait. Documenteer uw crypto-risico in het ISMS-dossier.

Regelgeving: Wft art. 5:15 (integriteit digitale activa), NIS2 art. 21 (security maatregelen). DNB guidance on crypto-asset security.

NL-RELEVANTIE: MEDIUM, Langflow AI-workflow tool bevat kritieke RCE (CVE-2026-55255)

Wat: CVE-2026-55255 in Langflow, een open-source AI-workflow tool, maakt remote code execution mogelijk via ongeauthenticeerde API-endpoints. Langflow wordt gebruikt voor het bouwen van AI-pipelines in enterprise-omgevingen.

Nederlandse impact: Langflow wordt gebruikt door Nederlandse AI-teams voor het prototypen en deployen van AI-workflows. Een RCE op Langflow geeft aanvallers toegang tot de volledige AI-pipeline, inclusief model-weights, training data, en API-keys voor externe diensten.

Implicatie: Update Langflow naar de gepatchte versie. Controleer of Langflow-instanties internet-facing zijn. Segmenteer AI-ontwikkelomgevingen van productie.

Regelgeving: AI Act art. 15 (robuustheid), NIS2 art. 21 lid 2(c) (supply chain security), AVG art. 32 indien training data persoonsgegevens bevat.

3. Het Besluit van de Week

"Investeren we in een geautomatiseerde CMS-pluginscanner voor onze publieke websites, of accepteren we dat we reactief blijven patchen na elke CISA KEV-toevoeging?"

Deadline: 18 juli 2026, CISA BOD 26-04 patch-deadline voor de vijf KEV CVE's.

Escalatiepad: CISO stelt business case op voor geautomatiseerde scanning, CIO accordeert budget, CFO tekent af op risicoacceptatie. Board wordt geïnformeerd in Q3-rapportage.

Aanbeveling: Vijf CISA KEV CVE's in één week, allemaal hetzelfde patroon, file upload naar RCE. Dit is geen toeval, dit is een aanvalscampagne. Een geautomatiseerde scanner die uw publieke websites monitort op verouderde CMS-plugins kost €5.000-15.000 per jaar. Eén ransomware-incident via een verouderde Joomla-plugin kost gemiddeld €2,1 miljoen. De rekensom is niet ingewikkeld.

CFO Forward Box Vijf CMS-kwetsbaarheden deze week in CISA KEV, allemaal actief misbruikt. De gemiddelde kosten van een ransomware-aanval in Nederland bedragen €2,1 miljoen (NCSC, 2025). NIS2 art. 21 maakt supply chain security per 15 augustus een bestuurlijke verantwoordelijkheid, maximale boete €10 miljoen of 2% van de wereldwijde omzet. Een geautomatiseerde CMS-scanner kost €5.000-15.000 per jaar. Eén incident via een verouderde plugin kost minimaal 140 keer dat bedrag. Dit is geen technische discussie, dit is capital allocation.

4. Critical CVE Triage

CVE-2026-48282, Adobe ColdFusion (CVSS 10.0, EXPLOITATIE: Actief, CISA KEV) Path traversal leidt tot ongeauthenticeerde remote code execution. ColdFusion draait op meer dan 15.000 Nederlandse websites, vooral in de publieke sector. Architectuurvraag: Weet u hoeveel ColdFusion-instanties uw organisatie heeft, inclusief legacy-applicaties die niemand meer durft aan te raken? Actie: Patch binnen 48 uur of plaats een WAF die toegang tot /CFIDE/ blokkeert. Overweeg migratie naar een moderner platform.

SOC Director Box (CVE-2026-48282) ColdFusion-exploitatie laat karakteristieke patronen achter in web access logs. SPL-query: index=web sourcetype=access_combined uri_path="*/CFIDE/*" | stats count by src_ip, uri_path | where count > 10. Sigma-regel: monitor op HTTP POST requests naar /CFIDE/administrator/ en /CFIDE/componentutils/, deze endpoints worden zelden legitiem gebruikt. Let op: aanvallers gebruiken vaak encoded payloads in de URL, decodeer %-geëncodeerde strings in de URI.

CVE-2026-56291, Balbooa Forms (CVSS 9.8, EXPLOITATIE: Actief, CISA KEV) Unrestricted file upload in Joomla-plugin Balbooa Forms. Geen authenticatie nodig, elke bezoeker kan een PHP-webshell uploaden via een formulier. Architectuurvraag: Heeft u externe formulieren zonder authenticatie? Een contactformulier op uw website is een potentiële ingress-vector. Actie: Update Balbooa Forms naar de gepatchte versie. Als patchen niet mogelijk is: schakel de upload-functionaliteit uit of verwijder de plugin.

CVE-2026-48939, iCagenda (CVSS 9.8, EXPLOITATIE: Actief, CISA KEV) Arbitrary file upload in Joomla-plugin iCagenda. Gebruikt voor publieke agenda's op gemeentewebsites en evenementenportals. Architectuurvraag: Gebruikt uw organisatie iCagenda voor publieke agenda's? Een RCE op uw agenda-pagina geeft aanvallers toegang tot dezelfde server die mogelijk ook gevoelige formulieren verwerkt. Actie: Upgrade naar v3.8.5 of verwijder de plugin.

CVE-2026-48908, SP Page Builder (CVSS 9.8, EXPLOITATIE: Actief, CISA KEV) File upload leidt tot PHP-executie in Joomla-plugin SP Page Builder. SP Page Builder is een van de meest gebruikte Joomla page builders. Architectuurvraag: Hoeveel Joomla-sites heeft uw organisatie, inclusief campagnesites en afdelingsportals? De meeste organisaties onderschatten hun Joomla-footprint. Actie: Upgrade of verwijder SP Page Builder. Scan alle Joomla-installaties op deze plugin.

CVE-2026-56290, Joomlack Page Builder (CVSS 9.8, EXPLOITATIE: Actief, CISA KEV) RCE via file upload in Joomla-plugin Joomlack Page Builder. Zelfde kwetsbaarheidsklasse als SP Page Builder, file upload zonder authenticatie. Architectuurvraag: Vertrouwt u op één CMS-platform voor al uw publieke websites? Vijf CVE's in één week in Joomla-plugins suggereert een structureel probleem met het plugin-ecosysteem. Actie: Verwijderen of patchen. Overweeg een WAF-regel die PHP-executie in upload-directories blokkeert.

SOC Director Box (Joomla plugin CVE's, generiek) Joomla file upload-exploitatie is detecteerbaar via web access logs. SPL-query: index=web sourcetype=access_combined (uri_path="*/plugins/*" OR uri_path="*/modules/*") AND method=POST AND (uri_path="*.php" OR uri_query="*.php") | stats count by src_ip, uri_path | where count > 3. Sigma-regel: monitor op nieuwe .php bestanden in /images/, /tmp/, en /cache/ directories van Joomla-installaties, legitieme Joomla-installaties schrijven zelden PHP naar deze directories.

5. Sector Radar

Overheid De combinatie van ColdFusion in de publieke sector en de CISA KEV-status maakt dit een direct BIO2-risico. Gemeenten en ministeries die ColdFusion draaien, en dat zijn er veel, hebben geen excuus meer. De ACSC-waarschuwing voor een wereldwijde CMS-exploitatiecampagne maakt dit urgent. Actie: Overheidsorganisaties: scan alle publieke websites op ColdFusion en Joomla met de genoemde plugins. Patch vóór de CISA BOD 26-04 deadline van 18 juli.

Zorg Langflow (CVE-2026-55255) wordt gebruikt in zorg-AI-pipelines voor het prototypen van diagnostische modellen. Een RCE op Langflow geeft aanvallers toegang tot trainingsdata die mogelijk patiëntgegevens bevat. Actie: Zorginstellingen: update Langflow en segmenteer AI-ontwikkelomgevingen van productie. Een datalek via een AI-pipeline is zowel een AVG- als NEN 7510-schending.

Financieel Slopsquatting raakt de financiële sector hard: fintech-startups gebruiken massaal AI-coding assistants, en één gecompromitteerde package in een betaalverkeer-pipeline is een direct DNB-incident. Actie: Financiële instellingen: implementeer pre-commit dependency-verificatie in alle CI/CD-pipelines. Scan bestaande codebases op niet-bestaande packages.

Energie De Ethereum node exploit (CVE-2026-34219) raakt energiebedrijven die blockchain gebruiken voor energiehandel of certificaten van oorsprong. Een chain split kan leiden tot onomkeerbaar verlies van digitale activa. Actie: Netbeheerders: update Ethereum nodes en verifieer dat u niet op een fork draait. Documenteer crypto-risico's in uw ISMS-dossier onder NIS2 art. 21.

6. Regulatory Pulse

Cyberbeveiligingswet (NIS2): De wet is aangenomen door de Eerste Kamer en treedt naar verwachting 15 augustus 2026 in werking. Artikel 21 lid 2(c), supply chain security, is deze week direct relevant: vijf CISA KEV CVE's in CMS-plugins zijn een supply chain-risico dat onder de wet valt. Organisaties moeten aantoonbare due diligence kunnen aantonen.

EU AI Act: De high-risk verplichtingen treden 2 augustus 2026 in werking. Slopsquatting is een direct AI Act-risico: AI-gegenereerde code die in high-risk systemen terechtkomt, valt onder art. 15 (robuustheid). De Nederlandse Uitvoeringswet AI-verordening is in consultatie, het decentrale toezichtmodel met AP en RDI als coördinatoren wordt in september behandeld.

OWASP/Agentic Security: Slopsquatting valt onder OWASP ASI-5 (Supply Chain Vulnerabilities) en is een nieuwe subcategorie: AI-hallucinatie als aanvalsvector. De OWASP ASI Top-10 wordt in augustus verwacht, slopsquatting zal vrijwel zeker een plaats krijgen.

AP & AVG: De AP heeft deze week geen nieuwe boetes gepubliceerd, maar de combinatie van CMS-kwetsbaarheden en persoonsgegevens op publieke websites is een patroon dat de AP actief handhaaft. Organisaties die ColdFusion of Joomla draaien met persoonsgegevens moeten een DPIA-update overwegen onder AVG art. 35.

Overige regelgeving: De Amerikaanse exportbeperkingen op private AI-modellen hebben indirecte gevolgen voor Nederlandse organisaties: Chinese open-weight modellen worden aantrekkelijker, maar brengen supply chain-risico's met zich mee. De Wiv 2023 art. 14 (buitenlandse datastromen) is relevant voor organisaties die Chinese modellen gebruiken.

7. CISO Flash Card

DEZE WEEK:

Scan alle publieke websites op ColdFusion, Joomla, en WordPress met de genoemde plugins. CISA KEV-deadline is 18 juli. Deadline: dinsdag EOD.
Patch ColdFusion naar de laatste versie, CVE-2026-48282, CVSS 10.0, actief misbruikt. Deadline: woensdag 17:00.
Update of verwijder Balbooa Forms, iCagenda, SP Page Builder, en Joomlack Page Builder op alle Joomla-installaties. Deadline: vrijdag 17:00.
Implementeer pre-commit dependency-verificatie in CI/CD-pipelines, slopsquatting is geen theoretisch risico meer. Deadline: vrijdag.
Update Langflow naar gepatchte versie, CVE-2026-55255, RCE via API. Deadline: woensdag 17:00.

DEZE MAAND:

Start migratieplan voor ColdFusion, Adobe's patch-cyclus is structureel te traag voor CISA KEV-deadlines.
Train ontwikkelaars op slopsquatting-risico's: AI-suggesties zijn suggesties, geen autoriteit.
Documenteer AI-model herkomst in uw ISMS-dossier, Chinese open-weight modellen vereisen een supply chain risk assessment.
Update DPIA voor CMS-systemen die persoonsgegevens verwerken, AVG art. 35.

DIT KWARTAAL:

Implementeer geautomatiseerde CMS-pluginscanner voor alle publieke websites.
Herzie uw AI supply chain-beleid, model-herkomst, package-verificatie, en vendor risk management.
Start NIS2 gap-assessment, 15 augustus is over 5 weken.

8. Compliance Artifact

╔══════════════════════════════════════════════════════════╗
║ NIS2 AUDIT ARTIFACT, WEEK 28, 2026                     ║
║                                                         ║
║ Gemonitorde dreigingen: 6 CVEs + 5 CISA KEV           ║
║   + CMS supply chain als primair aanvalsoppervlak       ║
║   + Slopsquatting: AI-hallucinatie als supply chain     ║
║ Genomen besluit: Investeren in geautomatiseerde        ║
║   CMS-pluginscanner vóór CISA KEV-deadline 18 juli     ║
║ Verantwoordelijke: CISO                                 ║
║ Deadline 18 juli 2026: CISA BOD 26-04                  ║
║                                                         ║
║ □ ColdFusion gepatcht (CVE-2026-48282, CVSS 10.0)      ║
║ □ Joomla-plugins geüpdatet of verwijderd (4 CVE's)     ║
║ □ Langflow gepatcht (CVE-2026-55255)                   ║
║ □ Pre-commit dependency-verificatie actief             ║
║ □ AI-model herkomst gedocumenteerd                     ║
║ □ Board geïnformeerd over CISA KEV-status              ║
║ □ Compliance-dossier bijgewerkt                         ║
║                                                         ║
║ Paraaf CISO: ___________    Datum: ___________          ║
║                                                         ║
║ Dit document is onderdeel van de aantoonbare            ║
║ due diligence onder NIS2 art. 21 / BIO2 / AI Act.      ║
║ CISA KEV, ACSC advisory bijgevoegd.                     ║
║ Bewaar in uw ISMS-dossier.                              ║
╚══════════════════════════════════════════════════════════╝

9. Forward naar uw collega's

CTO Forward Box (CISA KEV CMS CVE's) Vijf CMS-kwetsbaarheden deze week in CISA KEV, allemaal file upload naar RCE, allemaal actief misbruikt. ColdFusion, Joomla, WordPress: uw publieke websites zijn het primaire aanvalsoppervlak. Architectuurvraag: weet u hoeveel CMS-installaties uw organisatie heeft? Actie deze week: scan alle publieke websites, patch ColdFusion en Joomla-plugins vóór de CISA BOD 26-04 deadline van 18 juli.

CAIO Forward Box (Slopsquatting + Chinese open-weight modellen) Slopsquatting maakt AI-gegenereerde code tot een supply chain-risico, aanvallers registreren packages die AI-assistenten hallucineren. Tegelijkertijd waarschuwt het US State Department voor Chinese open-weight AI-modellen. Actie deze week: implementeer pre-commit dependency-verificatie en documenteer de herkomst van elk AI-model in uw organisatie. AI Act art. 15 (robuustheid) treedt 2 augustus in werking.

CPO Forward Box (CMS-datalekken, AVG art. 35) Vijf CMS-kwetsbaarheden in CISA KEV betekenen dat persoonsgegevens op publieke websites direct risico lopen. ColdFusion en Joomla draaien vaak op dezelfde servers als formulieren met BSN-nummers en adresgegevens. Actie deze week: update uw DPIA voor CMS-systemen onder AVG art. 35. Als patchen niet mogelijk is: DPIA-conclusie is "onacceptabel risico" → systemen offline halen.