AI & Security Intelligence - Week 30, 2026

1. Editor's Synthesis

Deze week markeert een omslagpunt in hoe we over supply chain security denken. Drie ontwikkelingen convergeren naar één onontkoombare conclusie: de perimeter is niet dood, hij is gedecentraliseerd naar uw dependency tree.

Microsoft SharePoint staat in de CISA KEV-catalogus met CVE-2026-50522 (CVSS 9.8, deserialization RCE), due date 25 juli, over 2 dagen. WordPress kent twee chaining-CVE's (CVE-2026-63030 + CVE-2026-60137) die standaardinstallaties compromitteren. Oracle publiceert 1.400 security patches in één ronde, waarvan het NCSC-NL expliciet roept tot directe installatie.

Het ene besluit dat Nederlandse CISO's deze week moeten nemen: stop met het behandelen van supply chain-kwetsbaarheden als "patch wanneer het uitkomt". De combinatie van CISA KEV-deadlines (72 uur voor federal), actieve exploitatie binnen uren na patch-release (WP2Shell), en ransomware-groepen die specifiek zoeken naar ungepatchte supply chain-componenten betekent dat uw patchmanagement-cadence uw grootste risico is geworden.

Volgende week wordt duidelijk of de Cyberbeveiligingswet voldoende haartandjes heeft om deze cadence af te dwingen bij vitale aanbieders. De teller staat op 19 dagen.

2. Nederlandse Context & Impact

NL-RELEVANTIE: HOOG, CVE-2026-50522, Microsoft SharePoint RCE in CISA KEV

Wat: Microsoft SharePoint bevat een deserialization vulnerability (CVE-2026-50522, CVSS 9.8) die remote code execution mogelijk maakt. CISA voegde de CVE toe aan de KEV-catalogus op 22 juli 2026 met due date 25 juli. Actief misbruik wordt verwacht binnen 72 uur.

Nederlandse impact: Nederlandse ministeries, gemeenten en zorginstellingen draaien op SharePoint als primaire documentmanagement- en collaboratieplatform. Een geslaagde aanval geeft directe toegang tot burgerdossiers, patiëntgegevens en vertrouwelijke beleidsstukken.

Implicatie: Patch SharePoint naar de laatste versie vóór woensdag 23 juli 17:00. Inventariseer alle internet-exposed SharePoint-instanties en segmenteer direct als patching niet mogelijk is.

Regelgeving: NIS2 art. 21 lid 2(c), supply chain security. BIO2 B.3.3, technische kwetsbaarheden. AVG art. 32, beveiliging van verwerking.

NL-RELEVANTIE: HOOG, CVE-2026-63030 + CVE-2026-60137, WordPress Core chaining RCE

Wat: WordPress Core bevat twee kwetsbaarheden die gecombineerd kunnen worden: CVE-2026-63030 (interpretation conflict) en CVE-2026-60137 (SQL injection). Samen leiden ze tot remote code execution op standaardinstallaties. CISA KEV sinds 21 juli, due date 24 juli respectievelijk 4 augustus.

Nederlandse impact: Nederlandse gemeenten, scholen en verenigingen draaien op WordPress voor hun primaire webpresence. Een geslaagde aanval compromitteert niet alleen de website maar geeft ook toegang tot de onderliggende serverinfrastructuur.

Implicatie: Upgrade WordPress naar 6.7.1+ vóór donderdag 24 juli. Schakel XML-RPC uit als niet expliciet nodig. Installeer een WAF met SQL injection-detectie.

Regelgeving: NIS2 art. 21 lid 2(c), supply chain security. BIO2 B.3.3, technische kwetsbaarheden.

NL-RELEVANTIE: HOOG, Oracle Critical Patch Update, 1.400 lekken, NCSC roept tot actie

Wat: Oracle publiceerde op 22 juli 2026 een Critical Patch Update met 1.400 security fixes. Het NCSC-NL riep organisaties expliciet op deze updates direct te installeren vanwege de ernst en het aantal kwetsbaarheden.

Nederlandse impact: Nederlandse organisaties draaien Oracle Database, Oracle E-Business Suite, en Oracle Cloud Infrastructure voor kritieke bedrijfsprocessen. Een geslaagde aanval op Oracle-infrastructuur legt financiële systemen, zorgregistraties en overheidsdiensten plat.

Implicatie: Installeer de Oracle CPU van juli 2026 binnen 7 dagen. Test in acceptatie-omgeving en plan productie-patch binnen 14 dagen. Documenteer uitzonderingen met compenserende maatregelen.

Regelgeving: NIS2 art. 21 lid 2(c), supply chain security. BIO2 B.3.3, technische kwetsbaarheden. NEN 7510 6.2.4, patchmanagement zorg.

NL-RELEVANTIE: MEDIUM, Hugging Face hack, OpenAI claimt verantwoordelijkheid

Wat: OpenAI claimt verantwoordelijkheid te zijn voor een hack van Hugging Face, het populaire AI model-hosting platform. Details zijn beperkt, maar de implicatie is dat AI-supply chains nu expliciete aanvalsdoelen zijn geworden.

Nederlandse impact: Nederlandse AI-startups en onderzoeksgroepen gebruiken Hugging Face voor model-hosting en -distribution. Een gecompromitteerd model kan backdoors bevatten die data exfiltreren of modelgedrag manipuleren.

Implicatie: Verifieer de integriteit van alle gedownloade modellen via checksums. Overweeg een privé model registry voor productie-modellen. Monitor op ongebruikelijk modelgedrag.

Regelgeving: EU AI Act art. 15, technical documentation. NIS2 art. 21 lid 2(e), supply chain risk assessment.

NL-RELEVANTIE: MEDIUM, AIVD waarschuwt voor Zimbra XSS-aanvallen

Wat: De AIVD waarschuwt voor XSS-aanvallen op gebruikers van Zimbra-webmail. De aanvallen richten zich op Nederlandse overheidsorganisaties en kritieke infrastructuur.

Nederlandse impact: Nederlandse gemeenten en ZBO's gebruiken Zimbra als e-mailplatform. Een geslaagde XSS-aanval kan leiden tot credential theft en vervolgcompromittering van het volledige netwerk.

Implicatie: Upgrade Zimbra naar de laatste versie. Schakel niet-essentiële webmail-functies uit. Implementeer CSP-headers om XSS-impact te beperken.

Regelgeving: BIO2 B.3.3, technische kwetsbaarheden. AVG art. 32, beveiliging van verwerking.

3. Het Besluit van de Week

"Investeren we in geautomatiseerd patchmanagement met 72-uur SLA voor kritieke CVE's, of accepteren we dat onze supply chain de primaire ingress-vector blijft?"

Deadline: Vrijdag 1 augustus 2026, 17:00

Escalatiepad: CISO beslist, CTO accordeert (infrastructuur-impact), Board wordt geïnformeerd via risk register update.

Aanbeveling: Start een gap-assessment van uw huidige patchmanagement-cadence tegen de CISA KEV-deadlines (72 uur voor federal, 7 dagen voor enterprise). Identificeer de top-10 systemen die niet binnen deze window gepatcht kunnen worden en plan compenserende maatregelen (segmentatie, WAF, EDR-versterking).

CFO Forward Box De financiële impact van een geslaagde supply chain-aanval via SharePoint, WordPress of Oracle: NIS2-boete maximaal €10M of 2% wereldwijde omzet. Incidentkosten (forensics, herstel, downtime): €500K-2M per incident. Verzekeraars vragen naar patchmanagement-SLA's, zonder 72-uur SLA voor kritieke CVE's kan premie verdubbelen of dekking worden geweigerd. Investering in geautomatiseerd patchmanagement: €50K-150K eenmalig, €10K-30K per jaar. ROI: één vermeden incident betaalt de investering terug.

4. Critical CVE Triage

CVE-2026-50522, Microsoft SharePoint (CVSS 9.8, EXPLOITATIE: Verwacht binnen 72 uur) Deserialization vulnerability in Microsoft SharePoint leidt tot remote code execution. CISA KEV sinds 22 juli, due date 25 juli. Architectuurvraag: Vertrouwt u op één enkel product voor ál uw documentmanagement en collaboratie? Wat is uw fallback als SharePoint 72 uur offline moet voor emergency patching? Actie: Patch SharePoint naar laatste versie vóór woensdag 23 juli 17:00.

SOC Director Box (CVE-2026-50522) Splunk SPL: index=main sourcetype="ms:sharepoint" (deserialization OR "untrusted data") | stats count by src_ip, user Sigma-rule: detection: selection: EventID: 4688 | CommandLine: '*sharepoint*' | Condition: selection Let op: abnormale PowerShell-spawn vanaf SharePoint-workerprocessen, ongebruikelijke HTTP POST-requests naar _layouts endpoints.

CVE-2026-63030, WordPress Core (CVSS 9.1, EXPLOITATIE: Actief misbruikt) Interpretation conflict in WordPress Core dat gecombineerd kan worden met CVE-2026-60137 voor RCE. CISA KEV sinds 21 juli, due date 24 juli. Architectuurvraag: Waarom draait uw organisatie WordPress op een internet-exposed server zonder WAF? Is er een business case voor headless CMS met gesegmenteerde backend? Actie: Upgrade WordPress naar 6.7.1+ vóór donderdag 24 juli.

CVE-2026-60137, WordPress Core (CVSS 9.1, EXPLOITATIE: Actief misbruikt) SQL injection in WordPress Core die chainable is met CVE-2026-63030. CISA KEV sinds 21 juli, due date 4 augustus. Architectuurvraag: Heeft u plugin-installeerbeleid? Welke plugins hebben database-write access en waarom? Actie: Upgrade WordPress, schakel XML-RPC uit, installeer WAF.

CVE-2026-0770, Langflow (CVSS 9.8, EXPLOITATIE: PoC publiek) Inclusion of functionality from untrusted control sphere in Langflow, een visuele UI voor LLM-applicaties. CISA KEV sinds 21 juli. Architectuurvraag: Bouwt u AI-agents op een platform dat nog geen 18 maanden bestaat? Wat is uw exit-strategy als Langflow tomorrow verdwijnt? Actie: Upgrade Langflow naar laatste versie of migreer naar een alternatief framework met enterprise support.

CVE-2026-16232, Check Point SmartConsole (CVSS 9.3, EXPLOITATIE: Actief misbruikt) Improper authentication in Check Point SmartConsole geeft aanvallers volledige admin-rechten. CISA KEV sinds 22 juli, due date 25 juli. Architectuurvraag: Staat uw SmartConsole direct exposed aan het internet? Waarom? Actie: Patch Check Point naar laatste versie, segmenteer management interfaces, forceer MFA voor alle admin-accounts.

SOC Director Box (CVE-2026-16232) Splunk SPL: index=firewall dest_port=8080 OR dest_port=443 src_ip=* | search "SmartConsole" OR "admin_login" | stats count by src_ip, action Let op: login-pogingen vanaf ongebruikelijke IP's, multiple failed logins gevolgd door success, admin-acties buiten kantooruren.

5. Sector Radar

Overheid SharePoint en Oracle zijn ruggengraat van ministeriële systemen. De CISA KEV-deadline (25 juli) overlapt met de Cyberbeveiligingswet countdown (19 dagen). Actie: CISO's bij ministeries en ZBO's: escalatie naar secretaris-generaal deze week als patching niet binnen 72 uur mogelijk is. Documenteer als NIS2 art. 21 risk acceptance.

Zorg Zorginstellingen draaien Oracle Database voor EPIC, ChipSoft, en HiX. NEN 7510 eist patchmanagement binnen 30 dagen, maar CISA KEV eist 72 uur voor kritieke CVE's. Actie: Update NEN 7510 patchmanagement-beleid om CISA KEV-deadlines te incorporeren. Start gap-assessment voor Oracle CPU juli 2026.

Financieel DNB-verplichtingen overlappen met NIS2, maar DNB eist vaak snellere patching (24-48 uur voor kritiek). SharePoint en Oracle zijn veelgebruikt in backoffice. Actie: Vergelijk DNB-eisen met CISA KEV-deadlines en adopteer de strengste. Rapporteer afwijkingen aan risk committee.

Energie OT/IT-convergentie betekent dat SharePoint en Oracle ook in productie-omgevingen draaien. Air-gap is een mythe geworden. Actie: Inventariseer alle SharePoint en Oracle-instanties in OT-netwerken. Plan patching tijdens maintenance windows maar documenteer compenserende maatregelen voor de tussenliggende periode.

6. Regulatory Pulse

Cyberbeveiligingswet (NIS2): Geteld: 19 dagen tot inwerkingtreding (15 augustus 2026). Eerste Kamer behandeling verwacht week van 4 augustus. Vitale aanbieders moeten 15 augustus compliant zijn, dat is over 19 dagen.

EU AI Act: Omnibus-wijzigingen verwacht Q3 2026. High-risk classificatie voor AI in recruitment, credit scoring, en law enforcement blijft gehandhaafd. Conformity assessments starten 2 augustus 2026.

OWASP Agentic Security: OWASP ASI Top-10 is gepubliceerd (juni 2026). Verwacht update in Q3 met lessons learned uit productie-implementaties.

AP & AVG: Geen nieuwe handhavingsbesluiten deze week. AP WAF blokkeert geautomatiseerde monitoring, vertrouw op security.nl voor AP-nieuws.

Overig: NCSC-NL publiceert nieuwe richtlijn voor supply chain security (verwacht augustus 2026). Consultatie loopt tot 10 augustus.

7. CISO Flash Card

DEZE WEEK:

1. Patch Microsoft SharePoint naar laatste versie, CVE-2026-50522, CVSS 9.8, due 25 juli. Deadline: woensdag 17:00.
2. Upgrade WordPress naar 6.7.1+, CVE-2026-63030 + CVE-2026-60137, chaining RCE. Deadline: donderdag 17:00.
3. Installeer Oracle CPU juli 2026, 1.400 fixes, NCSC roept tot directe actie. Deadline: vrijdag 17:00.
4. Inventariseer alle internet-exposed SharePoint, WordPress, en Oracle-instanties. Deadline: dinsdag 12:00.
5. Update patchmanagement-beleid om CISA KEV-deadlines (72 uur) te incorporeren. Deadline: vrijdag 17:00.

DEZE MAAND:

1. Voer gap-assessment uit tegen NIS2 art. 21 voor vitale aanbieders (deadline 15 augustus).
2. Implementeer WAF voor alle internet-exposed CMS-systemen (WordPress, Drupal, Joomla).
3. Start leveranciersassessment voor AI-supply chain (Hugging Face, Langflow, LLM-providers).

DIT KWARTAAL:

1. Migreer van handmatig naar geautomatiseerd patchmanagement met 72-uur SLA voor kritieke CVE's.
2. Implementeer zero trust-architectuur voor management interfaces (SmartConsole, Oracle Admin, SharePoint Central Admin).
3. Ontwikkel exit-strategy voor kritieke AI-dependencies (model hosting, LLM providers, agent frameworks).

8. Compliance Artifact

╔══════════════════════════════════════════════════════════╗
║ NIS2 AUDIT ARTIFACT, WEEK 30, 2026                     ║
║                                                         ║
║ Gemonitorde dreigingen: 6 CVEs + 3 incidenten          ║
║   + SharePoint RCE, WordPress chaining, Oracle 1400    ║
║ Genomen besluit: Investeren in geautomatiseerd         ║
║   patchmanagement met 72-uur SLA voor kritieke CVE's   ║
║ Verantwoordelijke: CISO                                 ║
║ Deadline: 1 augustus 2026, 17:00                        ║
║                                                         ║
║ □ SharePoint gepatcht naar laatste versie               ║
║ □ WordPress geüpgraded naar 6.7.1+                      ║
║ □ Oracle CPU juli 2026 geïnstalleerd                    ║
║ □ Patchmanagement-beleid updated met CISA KEV-deadlines ║
║ □ Board geïnformeerd                                    ║
║ □ Compliance-dossier bijgewerkt                         ║
║                                                         ║
║ Paraaf CISO: ___________    Datum: ___________          ║
║                                                         ║
║ Dit document is onderdeel van de aantoonbare            ║
║ due diligence onder NIS2 art. 21 / BIO2 / AI Act.      ║
║ OWASP ASI Top-10, CISA KEV Catalog bijgevoegd.         ║
║ Bewaar in uw ISMS-dossier.                              ║
╚══════════════════════════════════════════════════════════╝

9. Forward naar uw collega's

CTO Forward Box (CVE-2026-50522, CVE-2026-63030) SharePoint en WordPress zijn single points of failure. Als deze 72 uur offline moeten voor emergency patching, wat is dan uw business continuity plan? Actie deze week: inventariseer alle alternatieve workflows en documenteer fallback-procedures vóór woensdag.

CAIO Forward Box (Hugging Face hack) AI-supply chains zijn nu expliciete aanvalsdoelen. Uw AI-governance framework moet model integrity verification bevatten. Actie deze week: check of uw AI Act conformity assessment model supply chain-risico's dekt. Zo niet: aanvulling vóór 2 augustus (AI Act deadline).

CPO Forward Box (SharePoint, Zimbra) SharePoint bevat burgerdossiers en vertrouwelijke beleidsstukken. Zimbra bevat e-mailcorrespondentie. Beide zijn AVG art. 32-relevant. Actie deze week: update uw DPIA om SharePoint en Zimbra als verwerkingen met hoog risico te markeren.